新NISAの普及や資産運用の一般化に伴い、証券会社やネット銀行を狙ったサイバー攻撃が年々巧妙化しています。近年ではフィッシング詐欺への対策としてパスキー（FIDO2 / WebAuthn）の導入が進んでいますが、実はパスキーや2段階認証を設定していても、ブラウザの使い方次第では口座を乗っ取られるリスクが残ります。
その代表的な脅威が、ブラウザの拡張機能による画面情報の抜き取りや、マルウェアによるログイン済みCookieの盗難（セッションハイジャック）です。普段の調べ物や開発作業で使っているブラウザ環境のまま証券口座にログインしていると、思わぬ経路から認証情報が漏洩する可能性があります。
この記事では、特別なセキュリティソフトを追加購入することなく、Google Chromeの標準機能と運用の工夫だけで証券口座を強固に保護する3つの防衛ライン（プロファイル分離、ログアウトの徹底、終了時のCookie自動削除）の構築手順を解説します。
この記事で行うこと
本記事では、普段遣いのブラウザ環境から証券口座へのアクセス環境を完全に切り離すため、以下の設定と運用ルールを構築します。
| 防衛ライン | 実施する対策 | 防げる主な脅威 |
|---|---|---|
| 第1の壁（隔離） | 証券会社とGmail専用のGoogleアカウント（Chromeプロファイル）を作成し、拡張機能をゼロにする | 悪意ある拡張機能による画面・通信の盗み見、別タブからのCSRF攻撃 |
| 第2の壁（破棄） | 取引終了後はブラウザの閉じるボタン（×）ではなく、必ずサイト内のログアウトボタンを押す | サーバー側に残存する有効なセッションIDの悪用 |
| 第3の壁（消去） | Chrome終了時にデバイス上のサイトデータ（Cookie）を自動削除する設定を有効化する | OS感染型マルウェア（インフォスティーラー）によるローカルCookieの抜き取り |
前提条件と検証環境
この記事の手順は、以下の環境で検証しています。
| 項目 | 内容 |
|---|---|
| 対象OS | Windows 11 Pro（24H2 / 25H2） |
| ブラウザ | Google Chrome（デスクトップ版） |
| 認証方式 | Google パスワード マネージャー（パスキー）＋ Windows Hello |
スマートフォンのChromeや普段のWeb閲覧にはメインのGoogleアカウントを使用し、メインのWindows PC上にのみ、資産管理専用のクリーンなChromeプロファイルを構築する前提で進めます。
なぜパスキーだけでは不十分なのか？ブラウザ起点の2大リスク
パスキーはドメインと暗号学的に紐づいているため、偽サイト（フィッシングサイト）に誘導されてもログイン情報が盗まれないという強力なメリットがあります。しかし、認証を突破した後のブラウザ内部やPCのローカルストレージには、別の死角が存在します。
1. 悪意のあるChrome拡張機能による情報窃取
普段遣いのChromeには、広告ブロッカー、翻訳ツール、AIアシスタント、開発者向けツールなど、便利な拡張機能を多数インストールしている方が多いのではないでしょうか。
これらの拡張機能の多くは、開いているWebページのDOM（画面の表示内容や入力フォーム）を読み書きする強い権限を持っています。もし利用中の拡張機能がアップデートを機にマルウェア化されたり、開発元のアカウントが乗っ取られたりした場合、同じプロファイル内で開いている証券口座の画面情報や通信内容がそのまま外部へ送信されてしまいます。
2. インフォスティーラーによるCookie盗難
Chromeのプロファイルを分けて別ウィンドウで起動した場合、Webサイトや拡張機能のレベルではCookieは完全に分離されます。しかし、Windowsのファイルシステム（OS）の視点で見ると、すべてのプロファイルのデータは同じ親フォルダ（%LocalAppData%\Google\Chrome\User Data\）の配下に Default（普段遣い）、Profile 1（証券用）といった形で並んで保存されています。
さらに、それらのCookieを暗号化しているマスターキー（Local State ファイル内の暗号鍵）は、同じWindowsログインユーザーの権限（DPAPI）に紐づいて共有されています。もし普段遣いの環境で怪しいファイルをダウンロードしてしまい、インフォスティーラー（情報窃取型マルウェア）にOSごと感染すると、起動していない別プロファイルのCookieであっても機械的に全検索・復号されて抜き取られる危険があります。
有効なセッションCookieが盗まれると、攻撃者はパスワードもパスキーも入力することなく、ログイン済みの状態として口座画面にアクセスできてしまいます。
手順1：証券会社とGmail専用のChromeプロファイルを作成する
まずは第1の防衛ラインとして、資産管理専用のGoogleアカウントを用意し、Chromeのプロファイルを分離します。
1. 専用プロファイルの追加とGoogleアカウントでのログイン
- Chrome画面右上のプロファイルアイコンをクリックします。
- メニュー下部の「他のプロファイル」一覧から「プロファイルの追加」をクリックします。
- 「ログイン」を選択し、証券会社とGmail専用に用意したGoogleアカウントでログインします。
この専用アカウントのGmailアドレスは、証券会社の登録専用として扱い、他のWebサービスやメルマガ等には一切登録しないようにします。これにより、受信トレイに無関係な案内メールやフィッシングメールが届き、専用Chrome内のリンクから外部サイトを開いてしまうリスク（プロファイル汚染）を根本から遮断できます。
2. 拡張機能を完全にゼロにする
新しいプロファイルを作成したら、アドレスバーに以下のURLを入力して移動します。
chrome://extensions/
初期状態で入っているものや同期されたものがあれば、ゴミ箱アイコン（削除）をクリックしてすべてアンインストールし、拡張機能が1つも入っていないクリーンな状態にします。
3. セーフブラウジングの保護強化機能を有効にする
- アドレスバーに以下のURLを入力してセキュリティ設定画面を開きます。
chrome://settings/security
- セーフブラウジングの項目で「保護強化機能」を選択します。
手順2：Chrome終了時のCookie自動削除を設定する
次に第3の防衛ラインであるローカルデータの消去を設定します。万が一PCがマルウェアに感染しても、専用Chromeを閉じてさえいれば「盗まれるCookie自体がPC上に存在しない」状態を作ります。
- 専用プロファイルのChromeで、アドレスバーに以下のURLを入力して開きます。
chrome://settings/content/siteData
- デフォルトの動作の項目にある「すべてのウィンドウを閉じるときにデバイス上のサイトデータを削除する」（または「すべてのウィンドウを閉じるときに、サイトによりデバイスに保存されたデータを削除する」）を選択します。
この設定を有効にすると、専用Chromeのウィンドウをすべて閉じた瞬間に、証券会社のCookieだけでなく専用Googleアカウント（Gmail）のログインセッションもローカルから消去されます。
次回起動時には毎回Googleアカウントへの再ログイン（Windows Helloの指紋認証やPINによるパスキー認証）が求められますが、この「起動するたびに生体認証やPINでロックを解除して入る手順」そのものが、金庫の鍵を開ける行為であり、PC内にセッション情報が残っていない安全の証となります。
手順3：取引終了後は必ずログアウトボタンから終了する
設定だけでなく、日々の運用として必ず徹底したいのが、取引終了時の明示的なログアウトです。画面右上の閉じるボタン（×）を押しただけの場合と、サイト内のログアウトボタンを押した場合では、証券会社のサーバー側の状態が決定的に異なります。
| 終了時の操作 | PC内（ローカル）のCookie | 証券会社サーバー側のセッション | Cookie盗難時のリスク |
|---|---|---|---|
| 画面の「×」ボタンで閉じる | 手順2の設定により削除される | 一定時間「ログイン中」として残存する | 終了直前などにCookieを抜かれていた場合、不正アクセスが成立する |
| サイトの「ログアウト」ボタンを押す | 手順2の設定により削除される | 即座に無効化・破棄される | 仮にCookieの残骸を抜かれても、すでに無効なため不正アクセスを防げる |
証券会社での確認や取引が終わったら、必ず画面内のログアウトボタンを押してセッションをサーバー側で破棄させてから、Chromeのウィンドウを閉じる習慣をつけてください。
応用：ショートカットのアプリ化で別サイトの誤閲覧を防ぐ
専用プロファイルを作っても、アドレスバーがあると習慣でつい検索ワードを入力してしまい、一般のWebサイトを閲覧してしまうことがあります。これを防ぐには、証券会社のログインページを「アプリ（独立ウィンドウ）」として登録するのがおすすめです。
- 専用Chromeで証券会社のログインページを開きます。
- 画面右上のメニュー（︙）＞「保存して共有」＞「ショートカットを作成」（または「ページをアプリとしてインストール」）をクリックします。
- 表示されたポップアップで「ウィンドウとして開く」にチェックを入れ、「作成」（または「インストール」）をクリックします。
これでデスクトップや chrome://apps/ に専用アイコンが作成されます。ここから起動すると、アドレスバーや余計なタブがない専用アプリのようなウィンドウで開くため、うっかり別のWebサイトを検索・閲覧してしまうミスを構造的に防ぐことができます。
注意点：専用Googleアカウントのロックアウト対策
普段遣いとは完全に切り離した専用Googleアカウントを運用する際、唯一気をつけたいのが「自分自身がログインできなくなる（ロックアウトされる）リスク」です。
PCの故障や買い替えのタイミングで、専用アカウントのパスワードや認証手段を紛失してしまわないよう、専用Googleアカウントのセキュリティ設定（https://myaccount.google.com/security）にて以下の対策を必ず済ませておいてください。
- 再設定用のメールアドレスとして、普段遣いのメインのGmailアドレスを登録しておく
- パスキー（Windows Hello）だけでなく、スマートフォンの認証アプリ（Google 認証システム等）やバックアップコードなど、複数の2段階認証手段を予備として登録しておく
元に戻す方法
毎回Googleアカウントからログアウトされる挙動を元に戻したい場合や、通常のプロファイル運用に戻したい場合は、以下の手順で解除できます。
- 専用Chromeのアドレスバーに
chrome://settings/content/siteDataと入力して開きます。 - デフォルトの動作を「サイトがデバイスにデータを保存できるようにする」（または「デバイスにサイトデータを保存する」）に変更します。
証券会社のCookieだけを削除し、Googleアカウントのログイン状態だけは維持したい場合は、「すべてのウィンドウを閉じるときにデバイス上のサイトデータを削除する」をオンにしたまま、画面下部の「サイトによるデバイスへのデータ保存を常に許可」「カスタマイズされた動作」に accounts.google.com および mail.google.com を追加することで調整可能です。
よくある質問
シークレットモード（シークレットウィンドウ）を使うのとは何が違いますか？
シークレットモードもウィンドウを閉じるとCookieが削除される点は同じですが、起動するたびに毎回ゼロからGoogleアカウントのID入力や認証を行う必要があり、専用ブックマークやアプリ化（ウィンドウとして開く設定）を保持できません。また、普段遣いのプロファイルからシークレットモードを開いた場合、拡張機能側の設定で「シークレットモードでの実行を許可する」がオンになっていると拡張機能が動いてしまいます。最初からプロファイルごと分離しておく方が、拡張機能の混入を確実に防ぎつつ快適に運用できます。
Windows標準の仮想環境（Windows サンドボックス等）を使う必要はありますか？
OSレベルのマルウェア感染までを100%防ぐなら、Windows サンドボックスやHyper-V上のUbuntuなど別の仮想マシンからアクセスする方法が最も強固です。ただし、毎回仮想環境を立ち上げるのは起動に時間がかかり、日常の取引や確認作業のハードルが高くなります。「専用プロファイルによる隔離」「都度ログアウト」「終了時のCookie自動削除」の3つを組み合わせる本記事の手法は、利便性を損なわずに実践できる現実的かつ非常に強力なバランス解といえます。
まとめ
証券口座をブラウザ起点の脅威から守るためのポイントを整理します。
- 証券会社とGmail専用のGoogleアカウント（Chromeプロファイル）を作成し、普段遣いの環境と隔離する
- 専用プロファイルでは拡張機能をすべて削除し、他のWebサイトは一切閲覧しない
- 取引が終わったら、画面を閉じる前に必ずサイト内のログアウトボタンを押してサーバー側のセッションを破棄する
chrome://settings/content/siteDataから終了時のサイトデータ自動削除を有効にし、PC内にCookieを残さない
一度プロファイルを作成して設定を済ませてしまえば、日々の操作は「専用アイコンから起動して、確認が終わったらログアウトして閉じるだけ」と非常にシンプルです。大切な資産を長く安全に守り抜くために、ぜひご自身のChrome環境でも取り入れてみてください。
次に読むおすすめ記事
ブラウザに保存されたパスワードやログイン情報の盗難リスク、情報窃取マルウェア（インフォスティーラー）の詳しい手口と対策については、以下の記事もあわせて参考にしてください。
また、Chromeの「アプリ」ページ（chrome://apps/）を活用して、よく使うサイトを自分専用のランチャーとして整理する手順や、ウィンドウ表示とタブ表示の切り替え方法については、以下の記事で詳しく解説しています。
