「パスキーを登録しないと取引できない」と届くと、口座が心配になりますよね。ただ、日興証券を名乗る今回のメールは、送信元や日付、公式の制度説明に食い違いがあり、フィッシングを強く疑う内容です。
「バリカタログ」のジュンです。私が先に気になったのは、公式らしいURLと差出人の不一致でした。2026年10月30日時点の公式情報をもとに、不審な理由と、すでに操作した場合の対応を整理します。
この「パスキー必須化」メールは信用していい？
件名は「【重要】10/30 パスキー認証の必須化について」。本文は2026年11月1日からの利用制限を告げ、登録状況の確認へ誘導しています。でも、案内の形が整っていることと、本物であることは別なんですよね。
SMBC日興証券は、パスキー必須化を題材にした詐欺メールが確認されていると注意を呼びかけています。今回もその題材に重なりますが、同じ件名の注意喚起があるだけで、個々のメールの送信者までは確定できません。
メールの完全なヘッダーや実際のリンク先は未確認です。それでも、後で見る複数の不一致から、正規の案内として手続きを進めるべきではありません。記載リンクを使わず、普段の公式アプリなどへ戻るのが安全です。
差出人と署名を並べると、違いが見えてくる
差出人の表示名は「日興証券」ですが、アドレスの末尾は「yimanjin.com」です。SMBC日興証券が示す正規ドメインとは一致しません。会社名よりも、アドレスの「@」より後ろに目を向けたいところです。
署名も比べてみましょう。メールは「日興証券株式会社」、登録番号は「関東財務局長（金商）第64号」としています。確認した公式ページの商号は「SMBC日興証券株式会社」で、登録番号は第2251号でした。
こうした違いは不審点ですが、逆に商号や番号が正しく書かれていれば安心、とはいえません。公開情報はコピーできますし、差出人表示も偽装されることがあります。今回の番号だけを覚えて判定するのは避けたいですね。
| 比べる箇所 | 届いたメール | 確認した公式情報 |
|---|---|---|
| 送信元ドメイン | yimanjin.com | smbcnikko.co.jpまたはその配下 |
| 署名の商号 | 日興証券株式会社 | SMBC日興証券株式会社 |
| 金融商品取引業者の登録番号 | 関東財務局長（金商）第64号 | 関東財務局長（金商）第2251号 |
11月1日は土曜日？必須化の説明にもずれがある
本文では「2026年11月1日（土）」が繰り返されていますが、実際は日曜日です。曜日の間違い一つで詐欺と決めつけるつもりはありません。ただ、期限を強調する案内でこの食い違いがあるのは気になります。
公式の2026年4月17日付のお知らせでは、4月下旬からパスキー認証を順次必須化し、実施日は利用者ごとに異なるとしています。今回のメールが述べる一律の11月1日開始という説明とは、そのまま一致しません。
未設定時の扱いにも違いがあります。日興イージートレードでは従来方式でログインして残高などを閲覧できる一方、取引・出金等は制限されます。対象アプリ等はパスキー以外でログインできず、サービスによって範囲が違います。
公式らしいURLでも、そのまま押さない
本文に見える文字列には公式のドメインが含まれています。ここだけ見ると安心しそうですが、メールでは表示文字と実際に開く先を別にできます。今回のリンク先が偽装されているかは、受信本文だけでは分かりません。
SMBC日興証券も、表示されたURLと実際のリンク先が異なるケースを注意点に挙げています。確かめるために一度押す必要はありません。普段使うブックマークや、すでに利用している公式アプリから入り直しましょう。
末尾の配信停止もメール内のリンクです。不審なメールを止めたい気持ちは分かりますが、そのリンクから操作するのは控えます。返信で事情を説明する必要もなく、迷惑メールの報告はメールサービス側の機能を使えます。
ジュン「口座を守るため」と書かれていても、入口まで信用しないのが私の判断です
パスキー設定そのものは、公式の手順で進めよう
ここで混同したくないのが、メールへの警戒とパスキーの必要性です。パスキーはフィッシングへの耐性を高める認証方法。怪しい案内が届いたからといって、正規の設定までやめる理由にはならないんです。
2026年8月21日以降、初めてパスキーを設定する際には、マイナンバーカードか運転免許証を用いたオンライン本人確認が必要です。削除後の再設定も対象で、すでに設定・利用中なら、この対応は不要とされています。
同社は、この本人確認に関してログインや手続きを促すURL付きメールを送らないと明記しています。身分証が必要という情報を悪用されないよう、書類の提出も独立して開いた公式の手続き内で進めたいところです。
- メールの「約3分」を所要時間の保証と考えない
- 端末や設定状況に応じた公式ガイドを読む
- 対応するスマートフォン等を用意できない場合は公式窓口へ相談
まだ何もしていない・開いただけなら、ここで止める
メールを読んだだけで、口座が乗っ取られたと判断する必要はありません。リンクや添付ファイルを開かず、返信もしないでおきましょう。確認のために残す場合は、件名、差出人、受信日時が分かる形で保管します。
リンクを開いただけなら、画面を閉じ、追加の情報入力や認証操作を止めます。入力、通知の許可、ファイルの保存・実行、アプリの導入まで進めたかで対応は変わります。クリックだけで感染したとも、安全とも断定できません。
何を押したか曖昧なときは、覚えている画面や操作をメモにしておくと相談しやすくなります。保存したファイルがあっても、確認のために開くのは避けましょう。OSやブラウザの更新も、正規の設定画面から行います。
口座情報や認証コードを入れたら、連絡を急ぐ
支店コード・口座番号、ログインパスワード、取引パスワードなどを入力した場合は、メールを削除するだけでは足りません。正規の経路からパスワードを変更し、日興コンタクトセンターや取引店へ速やかに連絡します。
認証コードも入力したなら、そのことを併せて伝えてください。ワンタイムだから大丈夫、とは考えないほうがよさそうです。公式の注意喚起では、入力情報を即座に使って不正アクセスする手口も説明されています。
不審なログインや注文、出金がないかも確認します。同じパスワードを他サービスで使っていれば、そちらも変更が必要です。被害があった場合は証券会社への連絡とともに、最寄りの警察署や警察のオンライン窓口へ相談します。
- 不正利用に関する専用ダイヤル：0120-285-250
- 受付：平日8時〜18時、土曜日9時〜17時（祝日・年末年始を除く）
- 2026年10月30日時点の公式掲載情報／入力した項目と操作した時刻を伝える
通知の許可やアプリ導入までした場合は？
ブラウザ通知を許可しただけなら、そのサイトの通知許可を設定から削除します。感染を告げる通知が出ても、それ自体が感染の証拠とは限りません。通知内のボタンや電話番号から、解決しようとしないでください。
不審なアプリを導入したAndroidでは、機内モードにしてWi-Fiも切り、通信を止めます。安全な別端末から必要な連絡を取り、携帯電話会社やIPAの相談窓口に、導入したものと端末の状況を伝えて対処を相談しましょう。
パソコンでファイルを実行した場合や、iPhoneで不審な設定を追加した場合も、通知許可だけの場合とは分けて相談します。今回のメールからアプリが配られるかは未確認です。実際に行った操作を基準に、必要な対応を選びましょう。
- 相談時のメモ：使った端末の機種とOS、ブラウザ名
- 導入・実行したアプリやファイルの名前、操作した時刻
- 入力した情報の種類、許可した内容、表示された画面
