auカブコム証券のパスキー移行メールは本物？不審な点と対処法

「パスキーへ移行しないと出金機能を制限する」と証券会社から案内が届くと、急いで対応したくなりますよね。ただ、今回のauカブコム証券を名乗るメールは、送信元や認証ボタンに設定されたドメインに不審な点があり、フィッシングを強く疑う内容です。メール内のリンクから手続きを進めることは避けたいところです。

『えぞノオト』のマンマユートです。パスキーの導入自体は実在するため、「そんな手続きはない」と片付けられないのが迷うところ。2026年10月15日に確認した公式情報をもとに、このメールの不審な点と、安全に口座を確認する方法を整理します。

届いたのは「翌日までの認証更新」を求めるメール

今回のメールは、2026年10月15日8時31分の受信表示で、件名は「【要対応】auカブコム証券 次世代認証（パスキー）への移行のお願い」です。総合取引口座を対象に、MFAやパスキーの有効化が必要だと説明しています。

確認項目	メールに記載された内容
差出人の表示名	auカブコム証券
送信元のドメイン	rendongyanjiu[.]com
更新期限	2026年10月16日23時59分
対応しない場合	出金指示と即時入金の機能を一時的に制限する場合があるとの説明
認証ボタンのドメイン	wpsequipamentos[.]com

表の不審なドメインは、誤ってアクセスしないよう一部を置き換えています。ここにある期限や機能制限は、あくまでメール側の主張です。受信した人の口座に、この期限が実際に適用されることを確認できたわけではありません。

送信元と認証ボタンが公式案内と異なる

特に気になるのは、会社名よりも送信元のドメインです。三菱UFJ eスマート証券の公式注意喚起では、同社から送るメールのドメインとして「@kabu.com」「@info.kabu.com」「@mail.kabu.com」を案内しています。今回表示された送信元は、このいずれとも一致しません。

さらに、「オンライン認証ポータルへ」というボタンには、公式サイトとは異なるドメインのURLが設定されています。認証という大切な手続きを、別のドメインへ誘導している点は見過ごせません。本記事の調査では、そのリンクを開いておらず、遷移先の画面や入力項目は確認していません。

送信者名やメールアドレスは偽装されることがあるため、公式らしい表記なら本物という判断もできません。今回は公式案内との不一致が複数ありますが、逆に会社名やアドレスが一致して見えるメールでも、リンクから入る前に立ち止まる習慣が役立ちます。

旧社名や立派な署名だけで信用しない

auカブコム証券は、2025年2月1日に「三菱UFJ eスマート証券株式会社」へ社名を変更しています。2026年10月の今回のメールでは、差出人名だけでなく末尾の会社名にも旧社名が使われています。送信元の違いと合わせて、不自然さを判断する材料になります。

ただし、旧社名は公式サイトでも過去の名称を説明するために使われています。「auカブコム証券という文字があればすべて偽物」と考えるのは早計です。名称の新旧だけで結論を出さず、送信元、誘導先、手続きの内容を合わせて見る必要があります。

メール末尾には金融商品取引業者の登録番号や加入協会名があり、「暗証番号やパスワードを聞くことはない」との注意文も付いています。しかし、こうした公開情報や注意文は第三者でも書けます。配信停止欄に公式らしい文字列があっても、認証ボタンの安全性を保証するものにはなりません。

パスキー導入は本当でも、このメールが本物とは限らない

ややこしいのは、三菱UFJ eスマート証券が実際にパスキー導入を案内していることです。2026年4月15日付のお知らせには、同年4月26日から各取引チャネルへの導入を行う旨と、登録はログイン操作後の画面から進める旨が記載されています。

また、2026年10月15日に確認したセキュリティページでは、全端末でのログイン時の必須化について、2026年10月末を目標に準備を進め、移行状況などを踏まえて実施時期を判断すると説明しています。これは今回のメールにある「10月16日23時59分」と同じ案内ではありません。

パスキーは、指紋や顔認証、端末のPINなどを使ってログインする仕組みです。正規サイトのドメインに結び付くため、偽サイトでは同じ認証が働きません。安全対策としてのパスキーと、その名前を使って届く不審な誘導は、切り離して考えたいですね。

口座が気になるときは普段の入口から確認しよう

口座を持っている場合は、普段利用している公式アプリや、以前から登録している公式サイトのブックマークから確認するのが基本です。メールのボタンを押してから見分けようとする必要はありません。メールへの返信や、配信停止リンクの操作も控えます。

正規の入口からログインし、口座のお知らせやセキュリティ設定に必要な案内があるかを確認します。操作に迷ったり、メールと表示内容が食い違ったりする場合は、公式サイトのお客さまサポートへ相談できます。問い合わせ先も、届いたメールではなく公式サイトから探します。

口座を持っていない場合、このメールを理由に認証手続きや口座開設をする必要はありません。宛先に自分のメールアドレスがあるだけでは、証券口座の保有情報が漏れたとも断定できません。確認できない原因を追いかけるより、誘導に応じないことを優先できます。

リンクを開いた後は、行った操作に合わせて対応する

すでにリンクを開いていても、それだけで必ず端末が感染したとはいえません。一方で、「入力していないから何が起きても大丈夫」とも言い切れません。ページを閉じたうえで、情報の入力、通知の許可、ファイルの実行などを行ったか振り返ります。

行った操作	優先したい対応
リンクを開いていない	返信やリンク操作をせず、必要なら公式アプリから確認する
ページを開いただけ	ページを閉じ、入力やダウンロードなど追加の操作がなかったか確認する
IDやパスワードを入力した	正規の経路で変更し、証券会社へ速やかに相談する
認証コードを入力・認証を承認した	その操作も証券会社へ伝え、口座保護について相談する
通知を許可した	ブラウザの設定で、そのサイトに与えた通知許可を見直す
アプリ導入やファイル実行をした	入力情報の変更だけで済ませず、端末の安全確認も行う

パスワードを入力した場合は、同じものを使っている別のサービスも変更の対象です。証券会社へは入力した情報、操作した時刻、身に覚えのない取引の有無を伝えます。ログインできなくなった場合も、不審なページへ戻ってやり直さず、公式窓口へ相談します。

パスキーが反応しない画面で、代わりにパスワードを入れるよう求められた場合も注意が必要です。正規の環境でも不具合の可能性はありますが、それを理由に不審なサイトで入力を続けるのは避け、普段のアプリや公式サポートへ戻るほうが安心です。

必要な記録を残し、メールの外で確かめる

情報を入力したり、不審な取引が見つかったりした場合は、相談前にメールを完全削除せず、受信日時や本文、操作内容を残しておくと説明に役立ちます。証券会社への相談に加え、被害がある場合は最寄りの警察署や、警察のサイバー事案のオンライン受付窓口への相談も選択肢です。

リンクを操作せず、保存や相談の必要もなければ、利用しているメールサービスの迷惑メール報告機能などで処理できます。機能の名称や場所はサービスによって違います。報告のために、不審なリンクを開き直したり、相手へ返信したりする必要はありません。

今回のポイントは、実在するパスキー移行の話題に、公式と異なる送信元や誘導先が組み合わされていることです。「出金できなくなるかも」と感じたときほど、メール内では操作を止め、普段の公式アプリから必要な案内を確かめる。この一手を覚えておきたいですね。