私は、YubiKey（ユビキー）を2本買うことにしました。
タイムズカーの個人情報漏えいで、私は電話番号、住所、氏名、免許証の情報、免許証の画像まで漏れた側です。いちばん怖いのは、その情報を使ったなりすましです。パスワードは変えられても、住所も氏名も変えられません。
漏れた情報を取り戻す方法がない以上、私にできるのは、その情報を持った誰かが私のアカウントに入ってくる入口を塞ぐことです。そのために選んだのが物理キーでした。
セキュリティ対策に絶対はありません。この記事は、私が調べた範囲で、ログインの乗っ取りに今できる中でいちばん強いと判断した方法の記録です。設定の名前や対応状況は変わることがあるので、実際に設定するときは各サービスの公式案内を見てください。
認証アプリの弱点
私はすでに、Bitwardenでサービスごとに違うパスワードを管理し、大事なアカウントには2段階認証とパスキーをかけ、認証アプリも入れています。それでもあと一段塞ぎたいと思ったのは、認証アプリの6桁のコードに弱点があると気づいたからです。
このコードは、入力する先が本物のサイトかどうかを見極める事ができません。偽のログイン画面にだまされて入力すると、コードは攻撃者に渡ります。パスワードもコードもまとめて中継して盗む偽サイトの手口も知られています。相手が本物かどうかの見分けが私の注意力まかせでは、いつかヘマをするのではないかと心配になったからです。
YubiKeyの仕組み
YubiKeyは、スウェーデンのYubico（ユビコ）が作っている小さなセキュリティキーです。パソコンではUSB端子に差して金属の部分に触れ、スマホではNFCでかざすだけで使えます。電池は入っていないので、充電もいりません。
最大の特徴は、キーが本物のサイトかどうかを確かめて動くことです。FIDO2という共通の規格に対応していて、登録したサービスの正しいアドレスに結びついて動くので、そっくりな偽サイトでは反応しません。パスワードを知られても、コードをだまし取られても、手元の鍵がなければログインできません。
買うのは2本
YubiKeyは、最低2本が前提です。なくしたときに自分も入れなくなるので、メインと予備を用意して、最初から2本とも登録しておきます。Appleアカウントは、セキュリティキーを使うなら2本以上の登録が必須で、全部なくすと永久に締め出されるおそれがあるとApple自身がアナウンスしています。
メインを持ち歩き、予備を自宅の決めた場所に保管する形です。
選んだモデル
選んだのは、Security Key C NFCを2本です。Yubico日本公式ストアで1本5,900円（2026年10月28日確認、税込）、2本で11,800円です。USB-CとNFCに対応した、FIDO専用のいちばんシンプルなモデルで、iPhoneにもパソコンにも使えます。
迷ったのは、11,700円のYubiKey 5C NFCです。ワンタイムパスワードやスマートカードにも使える多機能モデルですが、今回の目的はFIDOでログインを塞ぐことだけなので、使わない機能に倍の費用はかけないことにしました。パソコンの端子がUSB-Aなら、USB-A版が同じ役割になります。
買う場所は、公式ストアか正規販売店にします。ほかの鍵をすべて預ける道具なので、中古品やフリマアプリは使わないほうがいいと思います。
Yubico FIDOセキュリティキー NFC（黒）FIDO2/U2F対応
登録するサービスと線引き
優先するのは、Apple、Google、Bitwarden、銀行、証券会社です。乗っ取られたときの被害が大きい順に並べました。
AppleとGoogleは、どちらもYubiKeyを登録できます。Googleは、ほかの多くのサービスでGoogleログインを使用しています。Appleと並ぶ根っこのアカウントです。
Bitwardenは、無料プランのままFIDO2 WebAuthnで登録できます。最大5本まで入るので、2本でも足ります。有料のPremiumが必要なのは、YubiKey OTPという別の方式なので、設定画面で選びまちがえないようにしないといけませんね。
証券会社は、2025年以降の口座乗っ取り被害を受けて、SBI証券、楽天証券、マネックス証券、野村證券、みずほ証券、GMOクリック証券など主要な会社がパスキーに対応しました。ただ、登録画面でYubiKeyを保存先に選べるかどうかは会社ごとに違いますので、個々でご利用の会社のセキュリティを検索してください。
銀行は、YubiKeyを直接登録できる例が、私が調べた範囲ではあまり多くなかったです。
そこで、
- YubiKeyを登録できる会社は、YubiKeyに登録します
- YubiKeyは選べなくても、スマホのパスキーなどFIDO2に対応していれば口座は残します
- FIDO2そのものに対応していない銀行や証券会社は、解約する方向で整理します
- 例外として、スマホのパスキーに対応しているサブの銀行は、しばらく様子を見ることにします
免許証の画像まで漏れた今は、甘い認証しかない金融機関に大切なお金を置き続ける理由はないと思っています。
漏れた電話番号の扱い
漏れた電話番号は、結論としては解約します。ただ、多くのサービスのSMS認証がその番号に届くので、先に解約すると私がログインできなくなります。サブ番号を新しくメインにして、大切なサービスから順に電話番号とSMS認証の宛先を変え、すべて終わってから旧番号を解約します。
防げないことと費用
YubiKeyで防げるのは、ログインの乗っ取りです。漏れた情報そのものは消えませんし、私の情報を使って新しい口座や契約を申し込まれるなりすましは、ログインの鍵では止められません。こちらは信用情報の確認など、別の対策で対応しないといけないなと感じています。
費用は鍵の購入だけで1万円以上です。タイムズカーのお見舞金3,000円相当では足りませんが、あとで必要になったときのために、領収書や注文確認メールは全部保存しておこうと思います。
まとめ
漏れた情報は取り戻せなくても、ログインの入口は自分の手で塞げます。パスワードや認証アプリのコードのさらに先に、アナログな物理キーを持っている本人しか入れない形を作ります。
私がYubiKeyを2本買うと決めた理由です。
もう、個人情報は正直言って漏洩を防ぐことができません。企業の体質もそうですが、個人情報が漏れた事によるリスクよりもほんの小さな保障しかありません。被害を受けると、漏洩された私たちが立証する必要があり、とても不利な状況です。
日本の企業はセキュリティに甘いのがわかった（経営者のリスク管理も低い）ので、もう自衛出来ることは最低限する必要があるなと思うようになりました。
そして、容易にメールも信じない。セキュリティの甘いサイトや企業へ個人情報を預けないことにします。
今多くの会員登録していた企業サイトで、セキュリティの甘いサイトは片っ端から解約しています。
もうこれしか私にするすべは残っていません。
あとは、犯罪に巻き込まれたりしないことを祈るだけです。いつまでその心配をしながら生きていくのでしょうか。
よくある質問
認証アプリとYubiKeyは何がちがいますか？
認証アプリのコードは、偽のログイン画面に入力すると盗まれて使われます。YubiKeyは登録した本物のサービスにだけ反応するので、偽サイトでは使えません。
YubiKeyは1本だけでもいいですか？
おすすめしません。なくしたときに自分も入れなくなります。メインと予備の2本を、最初から両方とも登録するのが基本です。
銀行や証券会社でも使えますか？
証券会社はパスキー対応が進んでいますが、YubiKeyを選べるかどうかは会社ごとに違います。銀行は、直接登録できる例がまだ多くありません。
YubiKeyをなくしたらどうなりますか？
予備のキーでログインして、なくしたキーの登録を各サービスから削除します。全部なくすと復旧が難しくなるので、復旧コードは紙で保管しておきます。
参考にした情報
- Appleサポート：Appleアカウントのセキュリティキーについて
- Bitwardenヘルプ：Passkey Two-Step Login（FIDO2 WebAuthn）／Two-step login setup
- Yubico日本公式ストア：YubiKey 5C NFC、Security Key C NFC の製品ページ（価格は2026年10月28日に確認）
- 前の記事：私のメールアドレスは5件の個人情報漏洩に含まれていた／タイムズカー個人情報漏えいの集団訴訟に登録してみた
