SBI証券を名乗り、パスキーへの移行を求める案内。本物か迷っているなら、案内内のリンクからは手続きを進めず、公式サイトを別に開くのが安全です。パスキーの導入が事実でも、このメッセージの真正性はまだ確認できません。
「バリカタログ」のジュンです。今回は、2026年10月15日を期限に認証設定を迫る案内について調べました。2026年10月16日に確認できた公式情報と、判断できない点、操作した場合の対処を整理します。
この案内は本物？本文だけでは確定できません
「パスキーへ移行しないと入出金が制限される」と届くと、口座を使っている人ほど焦りますよね。ただ、この案内は送信元や認証ポータルの実際の行き先が分からず、SBI証券が送ったものと確認できる材料が足りません。
安全のための設定という説明に、期限と機能制限を組み合わせてログインへ誘導している点には注意が必要です。フィッシングを疑って扱うべき内容ですが、この文章だけを根拠に送信者や被害の発生まで断定はできません。
本文には「本メール」とありますが、それだけで実際の受信形式は分かりません。メールかSMSかによって調べられる送信元情報も変わります。受信日時も不明なので、期限を過ぎてから届いたという判断も保留です。
パスキーの導入自体は本当なんです
SBI証券の公式FAQでは、パスキー認証は2026年6月30日から原則必須とされています。設定するまで案内を表示・配信することも説明されています。つまり、設定を促す連絡があるだけで偽物とは言えないんですね。
「公式でもパスキーを勧めていた。それなら本物？」と思いやすいところですが、実在する制度を使った偽の案内も作れます。私はここで、制度の有無と届いた案内の真偽を分けて考えます。同じ言葉が出てくるだけでは信用できません。
公式のパスキー案内には、スマートフォンに加えてPCでの設定方法も載っています。顔や指紋だけでなく、対応する端末のPINなども利用可能です。「生体認証対応スマホを推奨」という一文だけでは、本物とも偽物とも判断できません。
10月15日の期限と機能制限は確認できた？
今回の案内が示す期限は2026年10月15日23時59分です。2026年10月16日の調査では、この日時までの登録と「出金指示」「即時入金」の制限を結び付ける条件を、閲覧した公式資料からは確認できませんでした。
公式FAQの原則必須化は6月30日で、案内に書かれた期限とは別の情報です。日付が違うだけで偽物と確定はできませんが、期限を過ぎたからと慌ててリンクへ戻る必要もありません。口座の状態は自分で公式画面を開いて確かめます。
| 気になる点 | 確認できたこと・分からないこと |
|---|---|
| パスキーの原則必須化 | 公式FAQは2026年6月30日からと説明 |
| 10月15日23時59分の期限 | 今回閲覧した公式資料では確認できず |
| 未登録による出金指示・即時入金の制限 | 案内にある期限との組み合わせは未確認 |
| 認証ポータルのリンク先 | 実際のURLが分からず、真正性は判断できない |
| 受信形式・受信日時 | メールかSMSか、いつ届いたかは不明 |
登録番号や末尾の公式URLも決め手にはならない
本文末尾には金融商品取引業者の登録番号や加入協会名が並んでいます。きちんとした案内に見える部分ですが、公表されている情報は転載できます。参照コードや管理番号も、文字列があるだけでは発行元を証明しません。
末尾の配信停止欄に公式らしいURLが見えても、「オンライン認証ポータルへ」の行き先と同じとは限りません。画面に表示する文字と、実際に開くリンク先は別に設定できます。確かめるために押すのは避けたいですね。
SBI証券は、メールの送信者名やアドレスが公式に見えても、なりすましの場合があると注意を促しています。差出人欄までそれらしく見えることがあるんですね。会社名やアドレスの文字列だけで、安全とは判断できません。
まだ押していない・開いただけなら
まだ何も操作していなければ、メッセージへの返信や認証ポータルへのアクセスは止めておきます。以前から使っているブックマークや、自分で起動した正規アプリから口座を開き、セキュリティ設定やお知らせを見る流れです。
リンクを開いただけなら、その画面で入力や承認をせず閉じます。開いた事実だけで、口座を乗っ取られた、端末が感染したと断定はできません。入力、自動入力、通知許可、ダウンロードなど、続けて行った操作がないか振り返ります。
「まだ送信ボタンは押していないから大丈夫」とも言い切れません。文字を入力したり、自動入力で認証情報が入ったりしたなら、情報入力後の対処へ進めます。再アクセスして確かめるより、覚えている操作をメモする方が役立ちます。
パスワードや認証コードを入れたら急いで対応
ユーザーネームやログイン・取引パスワードを入力した場合は、正規の経路から速やかに変更します。SBI証券のFAQでも、入力した心当たりがあれば変更するよう求めています。疑わしい画面の「変更はこちら」は使いません。
認証コードを入力したり、身に覚えのない認証を承認したりした場合も、SBI証券へ状況を伝えます。コードが一度きりでも、不正な操作に使われるおそれがあります。追加で届く認証要求を、そのまま続けて承認しないことが大切です。
正規画面でログイン履歴、取引、出金を調べ、身に覚えのないものがあれば直ちに連絡します。公式FAQはパスワード変更とログイン一時利用停止も案内しています。ログインできない場合は、復旧を試し続けず窓口への相談を優先します。
- ログイン先でパスキーの登録まで行った場合は、その操作もSBI証券に伝える
- 同じパスワードを使っている他のサービスも変更する
- 変更や利用停止ができなければ、できなかった操作と表示されたエラーを窓口に伝える
通知を許可した・アプリを入れた場合は別の対処も
通知を許可しただけでも、その後に不審な警告が繰り返し出る場合があります。IPAはブラウザに登録された通知許可を削除する対処を紹介しています。警告のボタンを押して解決しようとせず、ブラウザ側の設定から操作します。
使ったブラウザのサイト設定や通知設定で、不審なサイトへの許可を取り消します。Chrome、Edgeなどで手順は異なり、端末やバージョンでも表示が変わります。通知が出たことだけを根拠に、ウイルス感染とは判断できません。
ファイルを実行したり、アプリや構成プロファイルを導入したりした場合は、画面を閉じるだけでは済まない可能性があります。追加操作を止め、導入したものと許可した権限を整理し、端末の公式サポートやIPAへ相談します。
- 保存しただけのファイルは開いたり実行したりしない
- 遠隔操作を許可した場合は、通信を切って操作を止める
- 端末への不正な操作が疑われる間は、別の安全な端末から口座を保護
問い合わせは届いた案内の外から始めよう
資産や口座の異常は、SBI証券の公式サイトにあるカスタマーサービスセンターへ相談します。連絡先は受信した案内から拾わず、自分で開いた公式のお問い合わせページから探します。認証コードやパスワードを返信で知らせる必要はありません。
相談用には、受信日時、件名、本文、送信元表示、操作した時刻と内容を残しておくと説明しやすくなります。メールならヘッダー、SMSなら送信元表示など、残せる情報は形式で異なります。SNSに載せる場合は個人情報を隠します。
パスキーは実在する安全対策だからこそ、その名前を使った案内で迷いやすいんですね。必要な登録は、正規サイトを自分で開いて進めれば対応できます。今回のメッセージは入口に使わず、口座の設定と利用状況から確かめていきましょう。
