パスキー設定しても乗っ取られる！3つの弱点＆Googleアカウント強化

パスキーを設定していても Google アカウントは乗っ取られます！パスキーには大きな弱点があるのをご存知でしょうか？

知らずにパスキーを設定しただけで安心していると、思わぬ抜け穴から大切な Google アカウントや資産を簡単に盗まれてしまいます。今回はパスキーの仕組みの裏にある弱点と、乗っ取りを防ぐために必ずやっておきたい対策を厳選してご紹介します。動画でも分かりやすくご紹介しておりますので、ぜひご覧ください。

パスキーを設定していても乗っ取られる3つの弱点

最近は Google をはじめ、ネット銀行や証券会社など多くのサービスで「パスキーを設定しましょう」と案内されていますよね。

パスキーを簡単に説明すると、パスワードを入力する代わりに、いつもスマホのロック解除で使っている指紋認証や顔認証でログインできる仕組みのことです。パスワードを覚えたり入力したりする必要がなく、本人の手元にあるスマホでしか認証できないため、非常に安全性の高い仕組みになっています。

特に、本物そっくりの偽サイトに誘導してパスワードを盗み取るフィッシング詐欺に対しては、偽サイト側でパスキーが反応しないため、騙されるのを防げるという大きなメリットがあります。なので、設定していない人は絶対に設定した方が良いです。

でも「パスキーさえ設定しておけばもう安心」と思い込んでいる人も多いようです。実はパスキーの仕組みそのものは強固でも、その「周りにある仕様」や「ログインした後の状態」を狙う手口が増えています。特に注意したい弱点が3つあります。

1. ログイン後の「セッションクッキー」を盗まれる

まず1つ目の最も警戒したい弱点が、パスキーでログインした「後」の状態を狙う「セッションハイジャック」という手口です。

私たちが Google などの Web サービスにログインすると、ブラウザの中に「セッションクッキー」と呼ばれる一時的なデータが保存されます。毎回メールを開いたりページを移動するたびに顔認証やパスワードを求められたら不便ですよね。

そこで、一度ログインすると「この人はすでに本人確認が済んでいますよ」というログイン状態の証明データ（セッションクッキー）がブラウザに保存され、次回からログイン操作を省略してそのまま使える仕組みになっています。

パスキーの認証自体は非常に強固なため、攻撃者は正面からパスキーを突破することを諦めます。その代わりに、パソコンなどをウイルス（インフォスティーラーと呼ばれる情報窃取型マルウェア）に感染させ、ブラウザに保存されている「セッションクッキー」を丸ごと盗み出そうとしてきます。

もしこのセッションクッキーを盗まれてしまうと、攻撃者は自分のパソコンにそのデータを取り込むだけで、パスキーの認証画面や2段階認証をすべてスキップして「すでにログインしている本人」としてアカウントを乗っ取ることができてしまいます。入り口でどれだけ厳しく本人確認をしても、中に入った後の「ログイン済みの証明データ」を奪われてしまえば素通りされてしまうわけですね。

2. パスワードや SMS 認証という「裏口」が残っている

2つ目の弱点は、パスキーを設定しても、これまでの「パスワード」や「SMS（ショートメッセージ）の認証コード」でログインする入り口がそのまま残っている点です。

これはスマホを紛失したときや、パスキーに対応していない環境からログインするための救済措置（フォールバック）として用意されている仕組みです。しかし、最近の相次ぐ企業の情報漏洩などで、すでに自分のパスワードが外部に漏れてしまっているケースは珍しくありません。

せっかく表玄関にパスキーという頑丈なロックをかけても、勝手口にこれまで通りのパスワードや SMS 認証という入り口が開いたままになっていれば、攻撃者はパスキーを使わずにログイン画面の［別の方法を試す］から入り込もうとしてきます。

また、「不正なログインを検知しました」といった偽の通知を送りつけ、SMS に届いた認証コードをフィッシングサイトに入力させて突破する手口も確認されています。

3. Google アカウントが乗っ取られると他のサービスまで連鎖する

3つ目の弱点は、パスキーの便利な「クラウド同期」が裏目に出てしまうリスクです。

スマホやパソコンの Google Chrome などで作成した各サイトのパスキーは、Google パスワード マネージャーを通じて Google アカウントの中に保存され、同じアカウントでログインしている端末間で自動的に同期されます。スマホを機種変更したときなどにはすごく助かりますよね。

ただ、これは裏を返せば「大元の Google アカウントが乗っ取られると、その中に保存されている他のサイトのパスキーやパスワードまで一斉に悪用されてしまう」ということを意味しています。

実際に SBI 証券や SMBC 日興証券などの証券会社からも、「Google アカウントや Apple アカウントが第三者に不正取得され、クラウド上に保存されたパスキーやパスワードが悪用されて証券口座で不正取引が行われた疑いがある」という注意喚起が出されています。つまり、すべての土台となっている Google アカウントの守りを固めることが何より重要になります。

対策1：別端末へのパスキーとセキュリティキーを登録

ここまでの弱点を見て、「じゃあどうすれば守れるの？」「設定が難しそうで大変そう…」と不安に感じた方もいらっしゃるかもしれません。正直、私も最初は同じように感じましたが、やるべき対策は限られています。まずは Google アカウントの守りを固める具体的な手順から順番に見ていきましょう。

最初に必ずやっておきたいのが、いま使っているメインのスマホ以外に「別の端末のパスキー」や「物理的なセキュリティキー」を追加で登録しておくことです。まずは登録の手順を確認してみましょう。

なぜ複数の端末にパスキーを登録しておく必要があるのかというと、このあとご紹介する設定でパスワードの裏口を塞いだ場合、Google アカウントにログインできる手段がパスキー（またはセキュリティキー）だけになるためです。

もしメインのスマホ1台だけにしかパスキーを登録していない状態で、そのスマホを紛失したり、突然故障して電源が入らなくなったりすると、自分自身が Google アカウントにログインできなくなってしまいます。

私の場合は、メインで使っているスマホだけでなく、パソコン、さらに USB で差し込む物理的なセキュリティキーも含めて複数の端末・キーを登録しています。

物理的なセキュリティキーを使う

予備のスマホやパソコンをお持ちであれば、そちらでもパスキーを作成しておけば安心です。もし予備の端末がない場合や、さらに確実な保険を持っておきたい方には、「物理的なセキュリティキー」を1つ用意しておくことをおすすめします。

＞ Amazon でセキュリティキーを探す

USB メモリのような小さな機器で、パソコンやスマホにかざしたり差し込んだりして認証できるものです。これを登録して自宅の安全な場所に保管しておけば、万が一スマホとパソコンが同時に壊れるようなトラブルが起きても、確実にアカウントへログインできます。

セキュリティキーを選ぶ際は、次の2点を確認しておくと失敗しにくいです。

価格は1つあたり5千円〜1万円程度で、Google の［パスキーとセキュリティ キー］の登録画面からそのまま追加できます。

対策2：「高度な保護機能プログラム」で裏口とウイルスを遮断

複数のパスキーやセキュリティキー、そして再設定用の連絡先を登録したら、次はパスワードや SMS 認証といった「裏口」を塞ぎ、マルウェアへの防御力も引き上げる設定を行います。それが Google が無料で提供している［高度な保護機能プログラム］です。

まずは、この［高度な保護機能プログラム］を有効にする手順から見ていきましょう。

先ほどの手順でパスキーを複数登録していれば、ボタンを押すだけで数秒で設定が完了します。もし後から「やっぱり元の設定に戻したい」と思ったときも、同じページを開いて［登録解除］を押すだけでいつでも簡単に解除できますので安心してください。

この［高度な保護機能プログラム］は、もともとジャーナリストや政治家、企業経営者など、サイバー攻撃の標的になりやすい人を守るために Google が開発した最高水準のセキュリティ機能ですが、一般のユーザーでも誰でも無料で使うことができます。有効にすると、主に3つのメリットが得られます。

高度な保護機能プログラムのメリット

1つ目は、パスワード単体でのログインや、SMS・メールで認証コードを送るような弱い代替手段（裏口）が強制的に遮断される点です。ログインには登録したパスキーやセキュリティキーが必須となるので、万が一どこかの情報漏洩でパスワードが流出していたとしても、攻撃者が裏口から侵入することはできなくなります。

なお、有効にした後は、登録してある［再設定用の電話番号］や［再設定用のメールアドレス］にその場でログイン用の認証コードが送られることはなくなります。万が一すべての端末を紛失してしまった際に、数日間の本人審査を経てアカウントを復旧するための連絡先へと役割が変わる仕組みです。

2つ目は、Google Chrome でファイルをダウンロードする際のマルウェア（ウイルス）検出が通常よりも大幅に強化される点です。冒頭でお伝えした「セッションクッキーを盗み出すウイルス」を誤ってパソコンにダウンロードしてしまうリスクを、Chrome 側で厳しくチェックして食い止めてくれます。

3つ目は、Google が安全性を確認していない外部アプリによるデータアクセスが自動的にブロックされる点です。怪しいアプリやサービスが、あなたの Gmail や Google ドライブのデータに勝手にアクセスするのを防いでくれます。

高度な保護機能プログラムの注意点

ただし、安全性が高くなる分、注意しておきたい点も2つあります。

1つ目は、一部の外部アプリやサービスで Google アカウントを使ったログインや連携ができなくなる場合がある点です。例えば、Google 以外のメールアプリで Gmail を読み込んでいる場合などは、連携が制限されることがあります。

2つ目は、すべてのパスキーやセキュリティキーを失ってしまった場合、アカウントの復旧に数日かかる点です。本人確認の審査が厳しくなっている分、すぐに元通りとはいきません。だからこそ、対策1で予備のパスキーやセキュリティキーを登録しておくことが大切になります。

普段 Gmail や YouTube、Google ドライブを使う範囲であれば、使い勝手が大きく変わることはありません。もし使っているアプリで不具合が出た場合は、先ほどお伝えした通りいつでも解除できますので、まずは試してみてください。

対策3：ウイルス感染とスマホ盗難を防ぐ4つの習慣

［高度な保護機能プログラム］を設定すれば裏口からの侵入はほぼ完封できますが、最後にもう1つだけ意識しておきたいのが、パソコン自体をウイルスに感染させないことと、スマホ本体の物理的な管理です。

どれほど Google アカウントの設定を固めても、自分自身の操作でウイルスを実行してしまい、ログイン済みのセッションクッキーを抜かれてしまえば防ぎきれません。日頃から次の4つのポイントだけは意識してみてください。

［スポンサー］（広告枠）からソフトをダウンロードしない

まず1つ目は、広告に表示されるアプリやソフトを直接ダウンロードしないことです。

例えば有名なフリーソフトや業務ツールを検索した際、一番上の［スポンサー］（広告枠）に公式サイトそっくりの偽サイトが表示され、そこからセッションクッキーを盗むウイルスをダウンロードさせる手口が多発しています。ソフトを入れる際は広告枠を避け、よく使う重要なサイトはブックマークからアクセスするのが安全です。

また、公式を騙るメールアドレスから届いたメール内のリンクや添付ファイルから、直接ソフトやアプリをダウンロードすることもやめましょう。「アプリの更新が必要です」「セキュリティ機能の確認をお願いします」といったもっともらしい案内から偽のソフトやウイルスを入れさせる手口も多いため、ソフトやアプリを入れる際はメールのリンクを開かず、必ず自分で公式サイトや公式ストア（Google Play ストアなど）を検索して開いてからダウンロードするようにしてください。

「私はロボットではありません」の画面でコマンド操作を実行しない

2つ目は、認証画面でキーボード操作を指示されても絶対に実行しないことです。

最近被害が急増している「ClickFix（クリックフィックス）」と呼ばれる手口では、普段通り Web サイトを開いたときに、よく見かける［私はロボットではありません］という偽のチェック画面や、「Chrome の更新が必要です」「ページの表示エラーを修復してください」といった本物そっくりの案内画面を出して騙してきます。

例えば、画面の［私はロボットではありません］にチェックを入れると、その瞬間に裏側でこっそり「ウイルスをパソコンに呼び込むための命令文（コマンド）」が自動的にコピーされます。そして画面には、「認証を完了するために次の手順を行ってください」として、次のような具体的な操作が指示されます。

Mac の場合も同じような手口があり、「［command］キーと［スペース］キーを押して検索を開き、ターミナルと入力して開いてください。開いたら［command］キーと［V］キーで貼り付けて［return］キーを押してください」といった指示が表示されます。

一見すると「エラーを直すための手順」や「認証番号を入力するだけの作業」に見えるため、指示通りにキーを押してしまう方が後を絶ちません。しかし実際には、裏で勝手にコピーされていたウイルス実行用の命令文を、自分自身の手でパソコンのシステム画面に貼り付けて動かしてしまっています。

怪しいファイルをダウンロードするわけではないためセキュリティソフトの警告もすり抜けやすく、［Enter］キーを押した瞬間にブラウザ内のセッションクッキーが丸ごと抜き取られてしまいます。Web サイトを見ているときにキーボードでコマンド画面を開かせることは絶対にありませんので、こうした指示が出たら何も押さずにすぐ画面を閉じてください。

共用のパソコンを使った後は必ず［ログアウト］する

3つ目は、共用のパソコンを使った後は画面を閉じるだけでなく必ず［ログアウト］することです。

ネットカフェや職場、ホテルなどの共用パソコンでログインした際、ブラウザの閉じるボタンで閉じただけではセッションクッキーが有効なまま残ってしまうことがあります。使い終わったら必ずアカウントアイコンから［ログアウト］を押して、ログイン状態そのものを解除してください。

外出先ではスマホのロック解除にパスコードを手入力しない

そして4つ目は、外出先ではスマホのロック解除にパスコード（暗証番号）を手入力しないことです。

ネット上の攻撃だけでなく現実世界での盗難対策も重要で、電車内やカフェなどで肩越しにスマホのパスコード（数字の暗証番号）を覗き見（ショルダーハッキング）した上で、スマホ本体を盗み出す手口も報告されています。

スマホ本体とパスコードの両方が奪われると、生体認証がなくてもパスコードだけでスマホ内のパスキーをすべて使われてしまいます。人目がある場所では必ず指紋認証や顔認証でロックを解除し、万が一の紛失に備えて［デバイスを探す］機能から遠隔でロックやデータ消去ができるようにしておくと安心です。

盗難保護を有効にする（Android）

さらに Android スマホには、盗難に備えた［盗難保護］という機能が用意されています。主な機能は次の3つです。

特に3つ目の本人確認は、パスコードを覗き見されてスマホを盗まれた場合でも、パスキーを勝手に使われにくくなるため、今回の手口に対して効果的です。設定は次の手順で確認できます。

※ 機種や Android のバージョンによって、項目の場所や名称が異なる場合があります。

乗っ取られていないか今すぐ確認する方法

ここまで対策をご紹介してきましたが、「もしかしたら、もうセッションクッキーを盗まれているかも…」と心配になった方もいらっしゃるかもしれません。最後に、自分のアカウントに知らない端末からログインされていないかを確認する方法をお伝えします。

もし見覚えのない端末が見つかった場合は、すぐにパスワードも変更しておきましょう。Google アカウントのパスワードを変更すると、今使っている端末以外のログイン状態が解除されるため、盗まれたセッションクッキーも使えなくなります。

まとめ

「パスキーを設定して、別端末も登録して、高度な保護機能もオンにするなんて少し手間がかかりそう…」と感じるかもしれませんが、順番に次の3つだけ試してみてください。

どれも数分で終わる作業ですが、これだけで Google アカウントの安全性は見違えるほど高まります。

Google アカウントは、あなたのメールや写真だけでなく、証券口座や銀行、各種サービスのパスキーまで束ねる一番大切な土台ですので、ぜひ時間のあるときに1つずつ設定を見直してみてください。