近年、以下URLの記事のように、証券口座を乗っ取られて金銭的被害を被った人が激増している。
・NISA口座「もぬけの殻」に　不正アクセス被害者らが証券4社に原状回復求め調停
このため証券業界では、従来のUserID／Password＋ワンタイムパスワード認証に代えて、より強固なパスキー（FIDO2）認証導入の必須化が急務として騒がれている。

ところがこのような時節、同じ金融の銀行業界が落ち着いているのは何故なのでしょうか？
これには「資金を奪う手口の違い」と「両者が前提としていたセキュリティ構造の違い」という明確な理由があります。
端的に言えば、証券会社の「出金先が本人名義の口座に限定されているから安全」という長年の大前提が、前代未聞の手口によって完全に崩れ去ってしまったからです。
具体的には以下の3つの背景があります。

1. 証券口座を狙った「現金を引き出さない乗っ取り」の横行

銀行口座が乗っ取られた場合、攻撃者は「他人の口座へ現金を振り込む（不正送金）」ことで直接的にお金を奪います。
一方、証券口座はマネーロンダリング対策などのため、「あらかじめ登録された本人名義の銀行口座にしか出金できない」という強力な制限があります。そのため証券各社は長年、「仮にログインされて株を勝手に売られても、犯人は現金を自分の口座に引き出せないから、最終的な被害は出ない（だからログイン時のセキュリティは多少緩くても大丈夫）」と考えていました。
しかし2024年頃から以下のように、攻撃者はこの制限をすり抜ける「不正な市場取引（買い上がり）」という手口を編み出しました。

(1)被害者の証券口座を乗っ取り、保有している優良銘柄をすべて売却して現金化する。
(2)その現金を使って、攻撃者が事前に仕込んでおいた価値の低い無名企業の株（ボロ株）を、異常な高値で全額買わせる。
(3)攻撃者は自身の口座でその株を高値で売り抜け、多額の利益を得る。

即ち、現金は一円も引き出されていないのに、被害者の資産は「価値のない株」に変わり果て、事実上全額を奪われるという事態が多発したのです。実際に、2025年だけで1万8000件超、数千億円規模の被害が発生したため、金融庁が「金融商品取引業者等向けの総合的な監督指針」において証券会社に対し「2026年6月末までのパスキー必須化」という極めて強い是正措置（義務化）を発動しました。

２．銀行はすでに「取引時の多層防御」を構築済みだった

銀行業界は、2010年代からインターネットバンキングの不正送金（フィッシングや中間者攻撃）に悩まされてきた歴史があります。そのため、銀行はログイン時だけでなく「資金が移動する瞬間（トランザクション時）」に以下のような極めて厳しい制限を設けています。

・ハードウェアトークンや専用アプリによるワンタイムパスワード（銀行独自の認証アプリなど）
・トランザクション署名（振込先の口座番号と金額を暗号化して認証する仕組み）
・新しい振込先の登録制限や、1日あたりの厳格な送金限度額

銀行はすでにこれらの「多要素認証」や「多層防御」をガチガチに固めており、フィッシング耐性のある独自の仕組み（専用アプリでの生体認証など）を導入しているところも多いため、今すぐ全社一斉に汎用的なパスキーへ移行しなければならないほどの火急の事態には陥っていません。

３．「ログイン」が致命傷になる証券会社のシステム構造

銀行の不正送金を成立させるには「ログイン」セキュリティと「振込操作」セキュリティの2つの高い壁を越える必要があります。しかし、証券会社の場合は「取引（株の売買）」をスムーズに行わせるため、一度ログインしてしまえば、あとは簡単な「取引暗証番号（4桁の数字など）」を入れるだけで株の売買ができてしまうシステムが一般的でした。
つまり、証券会社は「入り口（ログイン）を突破されると、中で資産をボロボロにされる」という構造的弱点を抱えていたのです。

まとめ

前述の背景から判るとおり、銀行業界がパスキーで騒いでいないのはセキュリティに関心がないわけではなく、「過去の痛手からすでに何重もの防壁（送金制限や専用アプリ認証など）を築き上げていたから」です。
対して証券業界は、「本人名義の口座にしか出金できない」というルールを過信し、入り口のセキュリティ（ID/パスワードと簡単なOTPのみ）を放置していたところを、全く新しい「市場取引を通じた資金移動」という手法で突かれたため、大慌てで「入り口を絶対に突破されないパスキー」の完全義務化に舵を切らざるを得なくなった、というのが現在騒いでいる理由となります。

補足

「金融商品取引業者等向けの総合的な監督指針」というタイトルにある「金融商品取引業者等」の「等」という1文字に、例外として証券業務を行う「登録金融機関（＝投資信託のネット販売等を行っている銀行）」が含まれています。したがって、このパスキー必須化の規制対象は主に「証券会社（金融商品取引業者）」ですが、銀行であってもネットバンキング等で投資信託の口座（証券口座）を提供している場合は、その証券業務の部分に限り「登録金融機関」としてこの指針（規制）の対象に含まれます。銀行本来の業務である「普通預金口座」や「定期預金口座」へのログイン、振込手続きそのものに対してパスキーを義務付けているわけではありません。

長年平和だった証券口座に対し、現金を引き出さない「不正な市場取引（買い上がり）」という方法で実質的に資金を攻撃者へ移動させるという、攻撃側もよくこのような手口を考案したな、というのが筆者の印象です。