最近かなり危機感を覚えるニュースである楽天証券やSBI証券で勝手にログインされて株を全部売却された後にゴミ株を大量に買われる事件、対策として二段階認証を入れてください！と各社出されています。以下各サイトから引用します。
ttps://site2.sbisec.co.jp/
ttps://www.rakuten-sec.co.jp
じゃあ二段階認証やろうってなるじゃないですか。SBI証券だと以下の部分でやれるみたいです。
で、楽天証券はこれ。
なのですが、実はこれだけでは不十分です。
何故かと言うと、SBIも楽天も、スマホアプリでログインすると、IDとパスワードだけで簡単にログインできてしまうからです！！！
これ知った時衝撃でした。何一つ二段階認証できないやんって・・・
ただ、SBI証券はFIDO認証というものがありまして、こちらはSBIのスマホアプリからのログインもデバイス認証のように特定のスマホだけログイン可能とする設定だったりします。
ここで重要なのは、SBI証券のスマホアプリ使ってなくてもFIDO認証しないとまずいという点です。
つまり、「デバイス認証サービス」を設定していても、スマホアプリからならIDとパスワードだけで簡単にログインできてしまうのです。そのため、SBI証券のスマホアプリを使ってなかったとしても、FIDO認証＋デバイス認証サービスの2つは必須でやっておいた方が良いという話。
なのですが、SBI証券のFIDO認証、米国株アプリは未対応だそうで、結局IDとパスワードだけでログインされてしまう状況のようです。(2025/3/27現在)
この辺は流石に対策して欲しい。というかもうAuthenticate系の世界共通の二段階認証承認してくれたらそれで十分なんだが、対応してくれませんかねぇ・・・
話が脱線しました。
続いて楽天証券。こちらもログイン追加認証がありますが、画像が2枚メールで届くのでそれを入力する方式になっている。以下公式サイトより引用します。
ttps://www.rakuten-sec.co.jp/web/security/add_authentication/
ただこれも問題があって、実は10枚の中から2枚を選択するということで、割と高確率で突破される可能性を秘めているということだ。ワンちゃんやられる・・・もちろん、設定しないより設定した方が圧倒的にマシなので設定した方がいいだろう。
それは良いんだけど、こっちはスマホアプリでログインすると「ログイン追加認証」無しでIDとパスワードでログインできてしまう。これも先ほどのSBI証券の米国株アプリと同様非常に脆弱である。(2025/3/27現在)
ということで、現状は上記のセキュリティ設定をやるのは当然として、パスワードを定期的に変更してハッキングされないことをお祈りするしかないということだ。
こうなってくると、やっぱビットコの秘密鍵(※ニーモニックフレーズ)管理と違うニュアンスだがほぼ同じレベルの恐怖を味わう日々が始まりそうだ。補填してくれないんだもん証券会社側は。資産置いておくの恐怖感ある。
じゃあどうすればいいかっていうと、やっぱ資産を証券会社毎に分散しつつ、パスワードも全く違うものを設定してお祈りするしかないよなぁ・・・って思いました。
