三菱UFJ eスマート証券「パスキー認証の必須化を前倒し」は詐欺メール？見分け方と対処法

三菱UFJ eスマート証券から「パスキー認証の必須化を前倒しします」というメールが届いたら、すぐに設定したほうがいいのでしょうか。結論からいうと、メール内のリンクから設定するのは避けてください。本物の制度変更を利用したフィッシング詐欺の可能性があります。

『ハテナのつづき』のナギです。調べてみると、パスキー認証の必須化そのものは事実でした。でも、それを理由に偽サイトへ誘導するメールも公式に確認されています。2026年10月25日時点の情報をもとに、怪しいポイントと安全な確認方法を整理します。

「パスキー認証の必須化を前倒し」は詐欺メール？

気になるのは、メールに書かれた内容が本当なのかどうか。三菱UFJ eスマート証券は2026年10月22日以降、ログイン時のパスキー認証を必須化しています。つまり、パスキーへの移行を求める話自体は架空ではありません。

ところが同社は10月15日、パスキー登録を装って偽サイトへ誘導するフィッシングメールを確認したと発表しました。実際に注意喚起された件名は「【要対応】auカブコム証券 次世代認証（パスキー）への移行のお願い」です。

「必須化は本当だから、メールも本物」とは判断できないんですね。「前倒しします」という件名そのものが公式発表で確認されたわけではありませんが、同じように設定を急がせる案内は慎重に扱う必要があります。

再現画像で見る、不審メールの3つのポイント

今回の再現画像には、三菱UFJ eスマート証券の名前やロゴ、パスキー設定を促すボタンなどが描かれています。実際に届いたメールのスクリーンショットではありませんが、フィッシングメールを見分けるための参考になります。

とくに気をつけたいのは、送信元アドレス、設定を急がせる表現、リンク先の3点です。画像では説明用の架空アドレスを使用しているため、特定の送信元から実際に配信された証拠ではありません。

確認ポイント	気をつけたい内容
送信元アドレス	会社名に似せた不自然なドメイン
メールの文章	設定期限や利用制限を強調して急がせる
リンク先	公式サイトに似せた別のサイトへ誘導する

会社の名前やロゴがあっても安心できない

見慣れた企業のロゴがあると、つい信用したくなりますよね。でも、メールに表示される差出人名やロゴは、本物であることの証明にはなりません。企業名を名乗ることと、その企業が実際に送信したことは別です。

送信元メールアドレスを確かめることは大切ですが、表示名だけでなくドメインまで見る必要があります。ただし、アドレスがそれらしく見えても安全とは言い切れません。送信元情報の偽装などにも注意が必要だからです。

わたしがもっとも重視したいのは、メール内のボタンを使わず、別の方法で公式情報を確認すること。見た目の違いを探すより、最初から不審なリンクを使わないほうが確実です。

設定を急がせる文章にも注意したい

再現画像には「当初の予定より前倒しして実施」「設定しない場合はログインや取引が利用できなくなる可能性」といった内容があります。こうした文章を読むと、資産を守るために急いで対応しなければ、と思ってしまいます。

実際、パスキー未登録の場合のログイン制限については公式の案内もあります。ただし、正式な制限が存在するからといって、個別のメールで案内された期限やリンクが正しいことにはなりません。そこが紛らわしいところです。

再現画像中の「2024年〇月〇日」は説明用の仮表示であり、実際の設定期限ではありません。メールに具体的な日付が書かれていても、その期限が自分に適用されるかは公式サイトで確かめる必要があります。

本当のパスキー必須化はいつから？

三菱UFJ eスマート証券の公式セキュリティ案内では、2026年10月22日からログイン時のパスキー利用が必須になったと説明されています。2026年4月26日に導入され、その後、利用できる端末や認証方法が段階的に整備されてきました。

パスキーとは、パスワードの代わりにスマートフォンの顔認証や指紋認証、パソコンの端末認証などを使う仕組みです。偽サイトでは正規サイト用のパスキーが使えないため、フィッシングへの耐性が高いことが特徴です。

パスキーを利用できない場合の認証方法も用意されています。メールによるワンタイム認証は10月22日から電話認証へ切り替わりました。利用環境によって対応が異なるため、登録できない場合もメールの案内だけで判断しないことが大切です。

安全に設定するには、どこから開けばいい？

では、パスキーをまだ設定していない場合はどうすればいいのでしょうか。答えは、普段利用している公式アプリか、自分で開いた公式サイトから手続きを進めることです。届いたメールの「設定を確認する」ボタンは使いません。

公式サイトは、以前から保存しているブックマークなど、信頼できる経路から開くのがおすすめです。ログインした後、設定・申込にあるパスキー管理の案内を確認します。スマートフォンの場合はメニューからパスキー管理へ進めます。

複数のパソコンやスマートフォンで取引している方は、端末ごとの登録状況も確認しておきたいところです。操作に迷ったら、メールに書かれた問い合わせ先ではなく、公式サイトに掲載されているサポート窓口を利用してください。

メールのリンクを押してしまったら？

うっかりリンクを押してしまっても、そこで直ちに口座が乗っ取られたと決まるわけではありません。IPAは、偽サイトを開いただけで情報入力やアプリのインストールなどをしていない場合、基本的に被害は発生しないと説明しています。

ただし、口座番号やパスワード、認証コードなどを入力した場合は話が変わります。情報が第三者に渡った可能性があるため、正規サイトから必要な情報を変更し、三菱UFJ eスマート証券へ速やかに相談してください。

どこまで操作したかによって対応が違います。迷ったときは、まず次の表で自分の状況を確かめてください。

操作した内容	必要な対応
メールを読んだだけ	リンクを開かず、不審メールとして扱う
リンクを開いただけ	ページを閉じ、追加操作をせずに状況を確認
ID・パスワードを入力	公式サイトで変更し、証券会社に相談
認証コードを入力	不正ログインの可能性を考え、速やかに証券会社へ連絡
アプリやファイルを実行	利用を中断し、端末の安全確認や専門窓口への相談を検討

情報を入力した場合は取引履歴も確かめて

証券口座で気になるのは、ログイン情報だけではありません。不正なログインの後に、身に覚えのない売買や出金などが行われていないかも重要です。情報を入力した場合は、正規の方法で口座の状況を確認したいところです。

同じパスワードを別のサービスでも使っているなら、そちらも変更が必要です。メールアカウントなどに不審なログインがないかも確認しましょう。被害の疑いがあれば、いつ何を入力したのかを整理して証券会社に伝えると状況を説明しやすくなります。

不審メールを報告する場合は、元のメールや送信情報を必要に応じて保存し、利用しているメールサービスの迷惑メール報告機能や正式な相談窓口の案内に従ってください。返信して相手に確認する必要はありません。

証券会社の名前が似ている点にも注意

もうひとつ、少しややこしいのが三菱UFJグループの証券会社名です。「三菱UFJ eスマート証券」と「三菱UFJモルガン・スタンレー証券」は別の会社です。名前が似ていても、ログイン画面や認証手続きは同じではありません。

三菱UFJ eスマート証券は旧auカブコム証券です。そのため、旧社名を使った案内が出回ることもあります。実際に2026年10月15日の注意喚起では、旧社名を含む件名のフィッシングメールが紹介されていました。

「知っている会社名だから大丈夫」と判断せず、自分が契約している証券会社の公式サイトで確認することが重要です。口座を持っていない会社から設定の案内が届いた場合も、不用意に個人情報を入力しないようにしましょう。

迷ったときは、メールから離れて公式サイトへ

今回のポイントは、パスキー認証の必須化が事実であることと、メールの安全性は別問題だということです。三菱UFJ eスマート証券もフィッシングメールによる偽サイトへの誘導を確認し、メールのリンクからログインしないよう注意しています。

セキュリティを強化するための案内が、逆に情報を盗むきっかけになってしまう。これは避けたいですよね。メールを受け取ったら、そこに書かれた期限やボタンに従う前に、一度その画面から離れるだけでも判断しやすくなります。

設定が必要かどうかは、メールではなく公式サイトや公式アプリで確かめる。不安な案内が届いたときこそ、この順番を大切にしたいですね。