セキュリティキーとは？初心者向けにやさしく解説｜証券口座の乗っ取りが話題のいま、選び方と人気のモデル

「セキュリティキーって何？」「最近よく聞くけど、自分にも必要？」。

セキュリティキーは、ひとことで言うとログインのための「物理的なカギ」です。パソコンのUSBに挿したり、スマホにかざしたりして使います。パスワードを盗まれても、手元のキーがなければログインできないので、乗っ取りをとても強く防げます。

2026年10月は、証券口座の乗っ取り、お名前.comのサーバーへの不正アクセス、PHPやJavaの「緊急」の修正と、セキュリティのニュースが立て続けに出ました。「パスワードは、どこかで漏れるかもしれない」という前提で、自分のアカウントを守る方法として、セキュリティキーを解説します。

いま話題になっている理由

2026年10月、AppleやGoogleのアカウントが乗っ取られ、そこに保存されたパスキーやパスワードのメモが悪用されて、証券口座に不正ログインされた疑いがあるとして、証券会社が注意を呼びかけました（@IT、SMBC日興証券のお知らせ）。

• 証券会社のシステムが破られたのではなく、Apple・Googleのアカウントを入り口に狙われた、という見方です。
• パスキーのしくみ自体が破られたわけではありません。ただ、パスキーを保存しているApple・Googleのアカウントが乗っ取られると、まとめて危なくなることがわかりました。

そこで注目されているのが、セキュリティキーです。Apple・Googleのアカウントにセキュリティキーを登録しておくと、パスワードを盗まれても、キーが手元にない人はログインできません。

10月はほかにもセキュリティのニュースが相次いだ

お名前.comのVPSに不正アクセス（10月20日〜）

GMOインターネットの「お名前.com デスクトップクラウド」（FXの自動売買などに使う仮想サーバー）で、第三者が不正なプログラムを設置していたことがわかりました。最大で2万6739台のサーバーに影響した可能性があり、サーバーの中に保存されていた取引口座のログイン情報などが盗まれ、不正に使われた可能性があると発表されています。全プランのサーバーが順次止められました（お名前.comのお知らせ、INTERNET Watch）。

教訓は、「パスワードをどこかに保存しておくと、そこから漏れることがある」ということです。パスワードが漏れても、セキュリティキーを登録していれば、キーのない人はログインできません。

PHPに「緊急」の脆弱性（10月21日に修正版）

多くのWebサイトで使われているプログラム言語PHPに、ログインなしで外からプログラムを動かされてしまうおそれのある、深刻度「緊急」の脆弱性が2件見つかり、10月21日に修正版が公開されました（ITmedia NEWS、窓の杜）。WordPressなどで作られたサイトにも関わる話で、サイトを運営している人は、すぐに更新が必要です。

使う側にとっては、「よく使うサイトが攻撃されて、パスワードが漏れることもある」ということ。だからこそ、パスワードだけに頼らないログインが大事になっています。

Javaも10月の定期アップデート

OracleのJavaにも、10月21日（日本時間）にセキュリティの更新が出ました。IPA（情報処理推進機構）は、放っておくと攻撃者にパソコンを操られるおそれがあるとして、早めの更新を呼びかけています（IPA）。パソコンにJavaを入れている人は、更新しておきましょう。

どれにも共通するのは「パスワードは漏れる前提」

証券口座の乗っ取りも、お名前.comの件も、盗まれたログイン情報が悪用されたという点が共通しています。パスワードを強くするだけでは、漏れてしまえば防げません。手元にある物理的なカギ＝セキュリティキーが注目されているのは、このためです。

ちなみに、ネット証券ではログイン時の「パスキー」などの多要素認証が、2026年から必須になっています（Impress Watch、時事ドットコム）。

セキュリティキーのしくみ（やさしく）

1. ログインするとき、IDとパスワードを入れる
2. 「セキュリティキーを挿して（かざして）ください」と表示される
3. キーをUSBに挿してボタンにタッチする（スマホならキーをかざす）
4. ログイン完了

ポイントは、キーが本物のサイトかどうかを自動で確かめることです。にせのログイン画面（フィッシング）では反応しないので、うっかりだまされることがありません。

用語の説明

• パスキー：パスワードの代わりに、スマホの顔認証や指紋でログインするしくみ。多くはAppleやGoogleのアカウントに保存されます。
• FIDO2（ファイド・ツー）：セキュリティキーやパスキーの共通の規格。この表示があるキーを選びましょう。
• NFC：スマホにかざして使う機能。iPhoneやAndroidで使うならNFC付きが便利です。

選び方の3つのポイント

1. 挿し口（USB-A か USB-C か）

• 古めのパソコン → USB-A
• 新しいMac・iPhone 15以降・Android → USB-C

2. NFC（スマホにかざせるか）

iPhoneで使うなら、NFC付き（またはUSB-C）を選ぶとスムーズです。

3. 2本持つ

キーをなくすと、ログインできなくなります。2本登録して、1本は家に保管するのが基本です。

Amazonで人気のセキュリティキー（価格は2026年10月23日時点）

モデル	挿し口	NFC	Amazonの価格	向いている人
Yubico Security Key NFC	USB-A	○	6,173円	はじめての1本に（パスキー・2段階認証用）
YubiKey 5 NFC	USB-A	○	9,793円	多機能。仕事でも使いたい人
YubiKey 5C NFC	USB-C	○	14,043円	新しいMac・iPhoneで使いたい人
TrustKey T110	USB-A	×	3,500円	とにかく安く始めたい人（パソコン用）
TrustKey（USB-C）	USB-C	×	4,000円	安くUSB-Cで使いたい人
FEITIAN ePass K40	USB-C	○	7,441円	USB-CとNFCを安めに
YubiKey Bio C	USB-C	×	17,895円	指紋で使いたい人

YubiKeyはスウェーデンのYubico社の製品で、世界的に定番です。迷ったら、Yubico Security Key NFC（パスキーと2段階認証に使う分には十分）か、USB-Cの機種ならYubiKey 5C NFCを選べば安心です。

最近、高くなってる？

一部のモデルは高くなっています。価格の記録をもとに比べると、次のとおりでした（2026年10月23日時点）。

モデル	いまの価格	直近90日の平均
YubiKey 5C NFC	14,043円	約10,192円（約4割高い）
YubiKey 5 NFC	9,793円	約9,048円（少し高い）
Yubico Security Key NFC	6,173円	約5,848円（少し高い）

とくにYubiKey 5C NFCは、Amazon本体（Amazon.co.jpの販売）が品切れになっていて、ほかのお店の出品だけになっています。乗っ取りのニュースで買う人が増えたことが影響していそうです。急がないなら、Amazon本体の在庫が戻るのを待つのも手です。

上の写真のカードから、それぞれの商品ページを開けます。価格は変わるので、買う前に販売元（Amazon.co.jpかどうか）と価格を確かめてください。見分け方はAmazon本体とマーケットプレイスの違いをどうぞ。

買ったあとにやること

1. GoogleアカウントとApple IDに、セキュリティキーを2本とも登録する
2. 予備の1本は、家の安全な場所に保管する
3. 証券会社などのパスキーは、各社の案内にしたがって設定する

設定の画面はサービスごとに違います。各社の公式ヘルプで手順を確かめてください。

よくある質問

Q. セキュリティキーがあれば、パスワードはいらないの？

サービスによります。パスワードと組み合わせて使う「2段階認証」のほか、パスワードなしでログインできる「パスキー」として使えるサービスもあります。

Q. なくしたらどうなるの？

そのキーではログインできなくなります。だから2本登録しておくことが大事です。もう1本でログインして、なくしたキーの登録を消しましょう。

Q. iPhoneでも使える？

使えます。NFC付きのキーならiPhoneにかざして、USB-Cのキーなら iPhone 15以降に挿して使えます。

Q. お名前.comやPHPのニュースと、セキュリティキーは関係ある？

直接の原因は別ですが、どれも「ログイン情報やサーバーが狙われた」ニュースです。パスワードが漏れても、セキュリティキーを登録しておけば、キーのない人はログインできません。大事なアカウント（Google・Apple・証券口座・メール）から守っておくと安心です。

Q. 安いキーでも大丈夫？

FIDO2に対応していれば、基本的なしくみは同じです。ただ、スマホで使うならNFC付きのほうが便利です。

---

価格は2026年10月23日時点のAmazonの表示と、価格の記録データによるものです。