auカブコム証券のパスキー移行案内に注意 同じ件名を公式が公表

「パスキーへ移行しないと出金できなくなる」と言われると、つい急ぎたくなりますよね。でも、今回の件名は立ち止まる理由があります。三菱UFJ eスマート証券が、同じ件名をフィッシングメールの例として公表しています。

「バリカタログ」のジュンです。2026年10月16日に公式情報を調べ、届いた案内との一致点と分からない点を整理しました。リンクを押す前の方も、すでに操作した方も、自分がどこまで進めたかに合わせて対処してください。

この件名、公式の注意喚起に載っています

先に結論です。「auカブコム証券」の名でパスキー移行を求める今回の案内は、フィッシングを強く疑って扱うべき内容です。会社が2026年10月15日に公表した注意喚起に、今回と同じ件名が掲載されています。

その公式ページは、パスキー登録へ誘導するリンクから、三菱UFJ eスマート証券の偽サイトへ進ませる手口を説明しています。単に「似た詐欺がある」という話より、今回の案内と直接つながる判断材料ですね。

ただし、件名の一致だけで、この一通の送信経路やリンク先まで調査できたわけではありません。実際の送信元アドレスや認証結果、ボタンの遷移先は不明です。ここは確認できた事実と、未確認の部分を区別します。

区分	確認内容
確認できたこと	公式が同じ件名をフィッシングの例として掲載
届いた案内の主張	2026年10月16日23:59までの認証更新と、未対応時の出金指示・即時入金の制限
分からないこと	実際の送信元、ボタンのリンク先、受信経路、個別口座の状態

「本当にある手続き」でも、この案内は信用しない

ややこしいのは、パスキーへの対応そのものは本物だという点です。2026年10月16日に閲覧した公式のセキュリティページには、2026年4月26日の導入と、2026年10月末の必須化に関する案内がありました。

でも、制度が実在することは、届いたメッセージが正規という証明にはなりません。今回の「10月16日23:59」という個別期限や、未対応で「出金指示」「即時入金」を制限するという主張は、閲覧した公式資料では裏付けられませんでした。

パスキーを登録済みでも、それ以外の方法でログインできる設定が残る場合があります。10月15日付の公式案内は、パスキー利用者に対し、パスキー以外のログインを無効にする設定も勧めています。設定は公式画面から進めましょう。

旧社名や注意書きも、見た目だけでは決められない

もう一つ引っかかるのが、2026年の手続きなのに「auカブコム証券株式会社」と名乗っていること。同社は2025年2月1日に三菱UFJ eスマート証券へ改称しています。旧社名の使用は不審点ですが、それだけを判定理由にはしません。

金融商品取引業者の登録番号や加入協会、「パスワードは聞きません」という注意書きがあると、きちんとした文面に見えますよね。私は、その整った部分より「どこからログインさせようとしているか」を重く見ます。注意書きだけでは送信元を証明できません。

今回の本文には配信停止用のURL表記がありますが、「オンライン認証ポータルへ」の実リンクは分かりません。末尾の表示URLから、別のボタンの安全性までは判断できないんです。確認のために配信停止リンクを押す必要もありません。

• 参照コードや管理番号があっても、真正性の証拠にはしない
• 表示された文字と、ボタンに設定された実リンクを混同しない
• 会社名・ロゴ・注意書きより、公式から開き直す行動を優先

まだ押していないなら、そのまま公式へ開き直そう

何も操作していない方は、案内のボタンや配信停止リンクを押さず、返信もしないでください。「期限に間に合わないかも」と感じても、その不安を解消するために届いたリンクへ進む必要はありません。まずは案内から離れましょう。

普段使っている公式アプリや、以前から確認しているブックマークから口座を開きます。公式サイトにある認証設定やお知らせで、自分に必要な手続きを調べる流れです。検索する場合も、広告や似た名前のページへ入らないよう注意してください。

同社の10月15日付注意喚起では、同社から送るメールにログインのリンクは掲載していないと説明しています。届いた案内の認証ポータルを使わず、独立した経路から始める。この違いが、今回の対処の中心になります。

リンクを開いた場合は、入力や許可の有無を思い出す

すでにリンクを開いた方も、そこで何をしたかで対応が変わります。画面を見ただけなのか、情報を打ち込んだのか、認証操作やダウンロードまで進めたのか。ひとまず不審なページを閉じ、追加の指示には従わないでください。

開いただけで、口座の乗っ取りや端末の感染が確定するわけではありません。一方、何も起きていないとも言い切れません。入力・通知許可・ファイル取得などの有無を整理し、普段の公式経路で口座に不審な動きがないか調べます。

操作した状況	次の行動
まだ操作していない	リンクを使わず、公式から必要な設定を調べる
開いただけ	ページを閉じ、入力・許可・取得の有無を整理
情報入力・認証操作をした	証券会社へ連絡し、口座保護と認証情報の変更を相談
通知を許可した	ブラウザ設定から不審サイトの通知許可を取り消す
ファイル実行・アプリ導入をした	操作を止め、端末と口座の両方の対処を相談

口座情報や認証コードを入力したら、連絡を急いで

口座番号、ログインパスワード、出金パスワード、ワンタイム認証コードなどを入力した場合は、公式窓口へ速やかに連絡してください。コードの有効時間が短くても安心はできません。会社は、メールの認証コードを悪用する事例も公表しています。

公式サイトからパスワード等を変更するとともに、取引履歴、出金、登録連絡先などに身に覚えのない変更がないか調べます。同じパスワードを別のサービスでも使っているなら、そちらも別々のものへ変更してください。安全な端末から行うのが基本です。

会社は、不正アクセスの可能性が高い場合、ログイン・取引・出金を停止する措置を案内しています。被害額が分からなくても、入力した情報や操作を伝えて口座保護を相談できます。停止後の利用再開は、本人からサポートセンターへの連絡が必要です。

• 不審ページで入力した情報の種類と、おおよその操作時刻を整理
• 自分のパスワードや認証コードを、相談用のメモや投稿へ書き込まない
• 件名・受信日時・画面などを保存し、不審ページへ再アクセスしない

通知許可やアプリ導入まで進んだときは

「通知を許可」を押した場合は、ブラウザの設定でサイトごとの通知権限を開き、不審サイトの許可を削除またはブロックします。後から警告が出ても、それだけで感染の証拠にはなりません。通知を押して対処サイトへ進まないでください。

ファイルを保存しただけなら実行せず、アプリやソフトを入れた場合は、その名前と操作内容を控えて端末メーカーなどへ相談します。遠隔操作を許可した場合はネット接続を切り、安全な別の端末から証券会社へ連絡してください。

相談先は、届いた案内から探さない

口座への不正アクセスが心配な場合と、パスキーの設定方法を知りたい場合では相談の目的が違います。公式サポートページから適切な窓口を選び、「不審な案内で何をしたか」を先に伝えると、必要な対応を相談しやすくなります。

受信した画面では、件名や本文だけでなく、確認できる範囲の送信元と受信日時も残しておきましょう。メールならヘッダー情報も手掛かりになります。SMSなど別の形式では得られる情報が違うので、メール用の転送手順をそのまま使わないでください。

今回と同じ件名は公式に注意喚起されています。必要なのは、届いた案内の期限に合わせてボタンを押すことではなく、自分の口座を公式の経路で確かめること。すでに情報を渡した方は、真偽を調べ続けるより先に、口座保護を相談してください。