「パスキーへ移行しないと出金や入金が制限される」と案内されると、急いで手続きをしたくなりますよね。ただ、今回のSBI証券を名乗るメールは、表示された送信元が公式の一覧と一致せず、フィッシングが強く疑われます。メール内のボタンからログインするのは避けたい内容です。
『えぞノオト』のマンマユートです。SBI証券のパスキー認証は実際に存在しますが、そのことだけで届いたメールを信用することはできません。2026年10月14日に確認した公式情報をもとに、不審な点、正規の案内との違い、操作してしまった場合の対応を整理します。
今回のメールはどんな手続きを求めている？
対象の件名は「【要対応】次世代認証（パスキー）への移行のお願い｜SBI証券」です。受信表示は2026年10月14日8時16分。総合取引口座の認証設定を更新するよう求め、専用ポータルへのログインを促す内容になっています。
メールには、MFAとパスキーの有効化、2026年10月15日23時59分という期限、未完了の場合の出金指示・即時入金の制限が記載されています。ただし、これらはメール側の主張です。受信者の口座に実際に適用される期限や制限として確認できたものではありません。
「安全性向上」「セキュリティ保護」という説明は安心感につながりやすいものです。その直後に短い期限や機能制限が並ぶと、内容を確かめる前にボタンを押したくなる。私は、認証の名称よりも、どこから手続きを始めさせようとしているかを先に見たいと思います。
送信元と署名を見比べると不審な点がある
送信者名はSBI証券ですが、表示されたアドレスの＠以降は「shuangdianlighting［ドット］com」です。2026年10月14日に確認したSBI証券の公式メールアドレス一覧に、この送信元はありません。表示名とアドレスの食い違いは、今回の判断で特に大きな材料です。
公式一覧には、商品・サービスの案内や認証コード通知など、用途別の送信元が掲載されています。一方で、公式と同じドメインが表示されていても、送信者表示を偽装したメールの場合があると注意されています。アドレスが違えば警戒し、一致してもそれだけで本物とは決めない姿勢が必要です。
末尾には金融商品取引業者の登録番号、加入協会、管理番号が並んでいます。こうした情報は転載できるため、差出人の本人確認にはなりません。管理番号や参照コードが整っていても、その番号がSBI証券の正規手続きに結びつくことを確認できなければ、安全の根拠にはできません。
パスキーは実在する。でも、このメールとは別の話
SBI証券のパスキー認証は、スマートフォンやPCに設定した顔認証・指紋認証などを使うログイン方法です。公式FAQでは、顔や指紋の情報は端末内で管理され、SBI証券に送信されないと説明されています。パスワードを偽サイトへ入力する危険を減らす仕組みでもあります。
また、公式FAQには2026年6月30日から原則必須化とあり、ユーザーネームとパスワードでのログインも引き続き可能と説明されています。未設定の利用者には設定を促す案内が表示・配信されるため、「パスキー設定のお願い」という話題そのものは不自然とはいえません。
ただし、実在する制度を利用したなりすましはあり得ます。今回のメールにある10月15日の期限や、未対応なら出金指示・即時入金を制限するという条件は、今回閲覧した公式情報では裏付けられませんでした。正規の設定案内が存在することと、このメールが正規であることは別の判断です。
マンマユート私なら「パスキー」という言葉の安心感より、手続きを始める入口を気にします
ボタンや配信停止リンクから確かめない
「オンライン認証ポータルへ」という表示だけでは、実際の移動先は分かりません。今回のメール本文からは、ボタンのリンク先やメール認証の結果を確認できていません。そこでリンクを開いて試すより、普段使っている公式アプリや、事前に登録した公式サイトのブックマークから確認する方が安全です。
末尾の配信停止欄に公式らしいURLが書かれていても、認証ボタンの安全性を保証しません。画面に表示される文字と実際のリンク先が同じとも限らないため、不審なメール内の配信停止リンクも使わないようにします。確認のための返信や、メールに書かれた連絡先への問い合わせも避けたいところです。
公式サイトへ別の経路からアクセスしたら、口座内のお知らせやパスキーの設定状況を確認します。設定が必要なら、その公式画面にある手順で進めれば十分です。メールで指定された専用ポータルに戻る必要はありません。口座を持っていない場合も、この案内から新たな登録をする理由はありません。
リンクを開いた場合は、入力したかどうかで対応が変わる
メールを受信しただけの場合と、リンク先で情報を入力した場合では、対応の優先順位が違います。受信したという事実だけで、口座への侵入や端末の感染が起きたとはいえません。反対に、リンクを開いただけだから絶対に問題がないと断定することもできないため、実際の操作を振り返ります。
リンク先を表示したものの、情報入力やダウンロード、権限の許可をしていなければ、ページを閉じて追加の操作を止めます。「認証に失敗した」「もう一度入力」と表示されても、試し直す必要はありません。ブラウザの通知許可などを求められた場合は、何を許可したかも確認する材料になります。
ユーザーネーム、ログインパスワード、取引パスワード、認証コードを入力した場合は、公式の別経路からSBI証券へ速やかに相談します。どの情報を、いつ、どの画面で入力したかを伝えられるようにしておくと状況を説明しやすくなります。送信ボタンを押していないことだけで、情報が渡っていないとは判断しない方がよいでしょう。
不審な取引や出金を見つけた場合、SBI証券の公式FAQでは、ログイン・取引パスワードの変更、ログイン一時利用停止の設定、カスタマーサービスセンターへの連絡が案内されています。知らないログイン履歴については、連携した家計簿・資産管理アプリの自動ログインが記録される場合もあるため、その利用状況も合わせて伝えます。
GoogleやAppleの情報を求められたら、そちらも確認
パスキー設定を装う誘導では、証券口座以外のアカウントにも注意が必要です。SBI証券は2026年10月2日、GoogleやAppleなどのアカウント情報が不正取得され、クラウド上のパスキーやパスワードのメモが悪用された疑いのある事案について注意喚起を公表しています。
これは日本証券業協会の会員向け通知に基づく案内で、その公表文ではSBI証券の証券口座での被害は確認されていないとしています。今回のメールで同じ被害が起きたと判断する材料もありません。ただ、証券口座の情報を入れていなくても、別のアカウントを渡していないかを振り返る意味はあります。
もし誘導先でGoogleやAppleのパスワードなどを入力したなら、該当サービスの公式設定やサポートからアカウントを保護する対応も必要です。アプリを導入したりファイルを実行したりした場合は、その内容も相談時に伝えます。パスキーという言葉が出ていても、あらゆる操作が安全になるわけではありません。
期限に合わせて動く前に、公式画面へ
今回のメールは、公式一覧にない送信元から届き、認証登録を理由にログインへ誘導しています。リンク先を調べ尽くさなくても、フィッシングが強く疑われるメールとして扱う理由は十分あります。メール内の期限は正規の期限と確認されていないため、それに間に合わせようと操作する必要はありません。
未操作であれば、利用中のメールサービスの迷惑メール報告やブロック機能を使い、削除する対応が考えられます。機能名や操作場所はサービスによって異なります。すでに情報を入力し、相談が必要な場合は、先に件名、受信日時、元のメールを残し、窓口から案内された保存・提出方法に従うとよいでしょう。
本当に必要なパスキー設定まで避けてしまうのも、もったいないところです。メールを信用して手続きを進めるのではなく、公式アプリやブックマークから自分で口座を開く。その画面で必要な案内を確かめることが、今回できる小さな一歩になります。
