主要な証券会社10社の公式ページを読み比べると、9社が、ログイン時のパスキーを必須にしたか、順次必須にしていると書いていました。ただ、どこまでを必須とするかは会社で違います。たとえば野村證券は取引や出金をする人が対象で、SBI証券は「原則必須化」としつつパスワードでのログインも残しています。残る三菱UFJ eスマート証券も、2026年10月末を目標に準備を進めています。証券口座で取引や出金をするなら、パスキーの設定を求められる前提で準備しておくのが現実的です（この記事の見立て）。対応する端末がない人向けの方法を用意している会社もあります。
すでに身に覚えのないログインや取引がある人は、記事を読む前に、口座のある証券会社の窓口へ連絡してください。番号は、公式アプリか自分で開いた公式サイトで確かめます。ほかの相談先は、記事の後半の「ログインできない・被害が心配なときの相談先」にあります。
ただし、設定しないと何が起きるかは会社ごとに違います
同じ「必須」でも、未設定のままだと起きることは会社によって違います。取引や出金ができなくなる会社もあれば、今のところパスワードでもログインできる会社もあります。下の表は、各社の公式ページの記述をこの記事が短くまとめたものです。
| 証券会社 | 必須化の時期（公式の記載） | 設定しないと（公式の記載） |
|---|---|---|
| 楽天証券 | 2026年6月から順次。時期は人ごとに個別に案内 | 対象になった後の扱いは確認できず。パスキーを使えない場合は、ID・パスワードと絵文字認証で入れる |
| SBI証券 | 2026年6月30日から「原則必須化」 | ID・パスワードでもログインできるが、設定を促す案内が続く |
| 松井証券 | 2026年6月から順次。時期は人ごとに異なる | ログイン直後に登録画面が出る。現時点で取引の制限はない |
| マネックス証券 | 2026年6月30日に必須化済み | ログイン時に登録画面が出る |
| 三菱UFJ eスマート証券 | 2026年10月末が目標。時期は移行状況を見て判断 | 現時点ではメールのワンタイム認証でログインできる |
| SMBC日興証券 | 2026年4月下旬以降、段階的に | ログインはできるが、取引や出金など一部の機能が使えない。アプリはパスキーでしか入れない |
| 野村證券 | 2026年6月27日から（取引・出金をする人） | パスワードで入る「照会メニュー」で照会だけできる。取引・入出金はできない |
| 大和証券 | 2026年4月22日から6月にかけて、全員を段階的に（パスキーか株walkアプリの生体認証） | ワンタイムパスワードでのログインは終了。対応端末がない人は電話認証で入る |
| GMOクリック証券 | 2026年9月8日から順次 | 取引や出金など一部の機能を順次制限。未設定の端末ではログインできなくなる |
| PayPay証券 | 2026年6月30日から順次 | ログイン時に登録の案内画面が出る。制限の内容は確認できず |
三菱UFJ eスマート証券は2026年8月28日のお知らせで、必須化の後はパスキーを登録していない端末からはログインできなくなるとしています。パスキーを登録できない人には、ログイン後の画面でリスクの確認と登録できない理由の回答を10月末までに求め、登録も回答もない場合はログインを制限するとしています。2026年10月13日に確認しました。
根拠は会社名のリンク先の公式ページで、松井証券の登録画面だけは同社のお知らせによります。「確認できず」は、読んだ公式ページに記載が見当たらなかったものです。2026年10月12日に確認しました。
対象になる時期は、楽天証券や松井証券などが個別に知らせるとしています。GMOクリック証券は、未設定のままだと「相場変動時など、ご希望のタイミングでお取引ができなくなる場合があります」と注意しています。
見落としやすいのが補償です。松井証券のFAQの一文です。
パスキーが未登録の状態で、不正アクセスによるお客様の損失が発生した場合、当社からの補償を行わない可能性があります。
PayPay証券も、パスキーの必須化を知らせるお知らせで「お客様のご利用の端末状況およびパスキー認証の設定状況によっては、補償の対象外となる場合がございます」と書いています。補償の条件は会社ごとに決まっています。口座のある会社の補償方針や窓口で確かめてください。対応する端末がない人向けには、大和証券が電話認証を用意しています。松井証券も、申し出れば当面はID・パスワードと多要素認証でログインできるとしています。
パソコンでのログインと、設定済みかを見る場所
パソコンでの使い方は2通りです。画面に出るQRコード（二次元コード）をスマホで読む方法と、パソコン自体（Windows Helloなど）にパスキーを保存する方法です。会社ごとの対応は次のとおりです。
| 証券会社 | パソコンでのログイン | 設定済みかを見る場所 |
|---|---|---|
| 楽天証券 | QRコードでスマホのパスキーを使う。2026年5月31日からパソコンにも保存できる | ログイン後の「セキュリティ設定」 |
| SBI証券 | パソコンの生体認証・PINで使うか、スマホと組み合わせる | ホームの「セキュリティ設定」→パスキー認証欄の「変更」 |
| 松井証券 | パソコンでも登録して使える | 【口座管理】－【セキュリティ設定】の「パスキー設定」欄 |
| マネックス証券 | パソコンにも登録できる。QRコードでスマホと連携するときは双方のBluetoothを有効に | 「登録情報」→「セキュリティ設定」→「パスキー登録状況」 |
| 三菱UFJ eスマート証券 | パソコンに登録していなくても、スマホのパスキーで認証できる | 「設定・申込」→「パスキー管理」 |
| SMBC日興証券 | 1台目はスマホで設定。パソコンへの追加には、設定済みのスマホかタブレットが要る | 確認できず |
| 野村證券 | パソコンでも登録できる | 「口座情報/手続き」→「サービス・契約情報照会/変更」→「パスワード関連」 |
| 大和証券 | 設定済みのスマホで二次元コードを読む。パソコンだけでも設定できる | 確認できず |
| GMOクリック証券 | スマホでQRコードを読むか、パソコン単体（Windows Helloなど）で認証 | ログイン後の「登録情報・申請」画面 |
| PayPay証券 | QRコードを登録済みの端末で読む。パソコンでは登録できない | アプリの「マイページ＞セキュリティ＞パスキーの管理」 |
根拠は会社名のリンク先です。野村證券のパソコンの欄は2026年5月13日のお知らせ、GMOクリック証券の確認場所は同社FAQによります。2026年10月12日に確認しました。
なぜ今、どの証券会社も急いでいるのか
きっかけは、2025年春に多発した証券口座の乗っ取りです。金融庁の集計では、2025年1月から2026年9月までに不正アクセスが1万9,252件、そのうち売買まで勝手に行われた不正取引が1万642件ありました。月別の数字をこの記事で足すと、2025年の1年間だけで不正アクセス1万7,717件、不正取引9,861件です。
不正に売却された金額は、累計で約4,372億円です。ただし金融庁は「当該金額は、不正取引により生じた顧客の損失額と一致しない」と注記しています。被害者が失ったお金の合計ではありません。件数と金額は、各社から金融庁への報告をもとにした発生日ベースの暫定値で、まだ判明していないものがある可能性もあると金融庁は注記しています。2026年9月の不正アクセスは37件で、最も多かった2025年4月の5,490件から大きく減りましたが、ゼロにはなっていません。
出典はインターネット取引サービスへの不正アクセス・不正取引にご注意ください（金融庁）と、同じページの被害状況の表（PDF）です。2026年10月9日更新の版を、10月12日に確認しました。
金融庁は2025年10月15日、証券会社向けの監督指針を改正し、その日から適用しました。ログイン・出金・出金先口座の変更などの重要な操作に、次の対応を求めています。
フィッシングに耐性のある多要素認証（例：パスキーによる認証、ＰＫＩ（公開鍵基盤）をベースとした認証）の実装及び必須化（デフォルトとして設定）
日本証券業協会も同じ日にガイドラインを改正し、同じ内容を会員の証券会社に求めました。期限はガイドラインに書かれておらず、示したのは金融庁です。2026年1月20日の協会との意見交換会の資料に、金融庁は証券会社に対し、必須化について2026年6月末までの対応を求めている、と書いています。証券会社への要請で、利用者に期限を課したものではありません。
各社の必須化が2026年6月前後に集中しているのは、この期限と重なります。ただし、期限に合わせたと各社が説明しているわけではなく、重なっているというのはこの記事の整理です。
金融庁の注意喚起ページは、利用者に向けて「強固な多要素認証の提供が開始された場合には、速やかに利用設定を行ってください」と書いています。2026年4月16日には、金融庁が警察庁や業界と組んで、この認証を知らせるチラシと動画を作りました。
出典は監督指針の改正の公表（金融庁、2025年10月15日）と、引用した文を含む別紙2の新旧対照表（PDF）、ガイドラインの改正について（日本証券業協会、PDF）です。期限は意見交換会で金融庁が提起した主な論点（2026年1月20日、PDF）、広報は官民一体・業界横断的な広報について（金融庁）によります。2026年10月12日に確認しました。
よくある誤解を3つ、公式の説明でほどきます
誤解1「顔や指紋のデータが証券会社に送られる」
送られません。楽天証券はパスキーのページのQ&Aで、生体認証データは「お客様のスマートフォンなどの端末に保存され、楽天証券には提供されず、保存もされません」と答えています。SMBC日興証券やGMOクリック証券なども、同じ趣旨を書いています。
パスキーの規格を作る業界団体、FIDOアライアンスの説明も同じです。生体認証データは「デバイス外に送信されないことが規定されています」とあり、サーバーが受け取るのは認証が成功したという保証だけだと書いています。顔や指紋は、スマホのロックを解くために端末の中で使われます。
出典はパスキー認証（FIDO2）（楽天証券）、生体情報についてのFAQ（SMBC日興証券）、パスキーのセキュリティ（FIDOアライアンス）です。2026年10月12日に確認しました。
誤解2「パスキーを設定すれば、もう安全」
パスキーは偽サイトに強い仕組みですが、2026年秋に新しい注意が出ました。パスキーを保存しているAppleやGoogleのアカウントが乗っ取られた場合です。PayPay証券は9月29日のお知らせで、国内の証券会社について次のように書いています。
クラウド上に保存されているパスキーを悪用して、証券口座への不正ログイン・不正取引が行われた疑いのある事案が確認されています。
両社がそろって求めている対策には、Apple・Googleのアカウントの2段階認証、見覚えのない端末の確認、メールやSMSのリンクから開かないことなどがあります。金融庁のチラシも、強い認証は「ご自身でできる7つの対策」の1つという扱いです。
出典はパスキーの注意喚起（PayPay証券、2026年9月29日）と乗っ取り被害への注意（SMBC日興証券、2026年10月6日）です。チラシはフィッシングメール注意喚起編（金融庁ほか、PDF）です。2026年10月12日に確認しました。
誤解3「SMSの認証コードがあるから十分」
金融庁は、2026年4月16日のチラシではっきり書いています。
メールやSMSに届くワンタイムパスワードを利用した多要素認証は、リアルタイムフィッシングに脆弱なほか、中間者攻撃、マルウェアによる窃取等により突破される場合があります。
同じチラシによると、リアルタイムフィッシングとは、利用者が入力した認証情報をその場で盗み、すぐ正規サイトへ不正ログインする手口です。偽サイトに打ち込めば、SMSのコードも一緒に使われるおそれがあります。松井証券もFAQで、偽サイトでは「パスキーによるログイン自体が開始されず」と説明しています。
出典はフィッシング耐性のある多要素認証編のチラシ（金融庁ほか、PDF）と、表の松井証券のFAQです。2026年10月12日に確認しました。
自分の口座の設定を確かめる手順
今日できる順は次のとおりです。
- 案内のメールやSMSのリンクは押さず、公式アプリか、自分でブックマークした公式サイトからログインします。
- ログイン後のセキュリティ設定の画面で、パスキーが登録済みかを見ます。場所は上の表のとおりです。
- 登録済みのパスキーの一覧が出る会社では、心当たりのない端末がないかも見ます。
- パスキーを保存しているApple・Googleのアカウントに、2段階認証が設定されているかを確かめます。
- ログインや取引の通知を受け取る設定を、有効にしておきます。
1と5は金融庁の注意喚起ページとチラシ、4はSMBC日興証券とPayPay証券の案内に沿っています。3はこの記事の提案です。金融庁は、見覚えのある送信者からでも「メッセージに掲載されたリンクを開かない」よう書いています。
認証を設定しないと取引を止める、と装う偽メールもあります。マネックス証券も、多要素認証の設定が義務になったと装う偽メールが実際に配信されているとして、FAQで注意しています。松井証券は、パスキーのメールに設定画面への直接リンクを書くことは「一切ありません」としています。GMOクリック証券も、誘導するURLを書いたメールは「絶対にありません」と書いています。
出典は上の金融庁の注意喚起ページ、フィッシングメールについてのFAQ（マネックス証券）、表の松井証券のお知らせとGMOクリック証券のページです。2026年10月12日に確認しました。
機種変更の扱いも会社で違います。同じOS同士でクラウド同期を使っていれば再登録は要らない、と書く会社が多くあります。iPhoneとAndroidの間のようにOSが変わるときは登録し直しが要る、と書く会社も多く、SBI証券は「OSをまたいでパスキー情報を引き継ぐことはできません」としています。機種変更やスマホをなくしたときの手順は、機種変更でパスキーが引き継がれる条件の記事にあります。
楽天証券のパスキーは、楽天市場などで使う楽天IDのパスキーとは別物です。楽天証券のログイン画面には「楽天証券のログインIDは楽天会員のユーザIDと異なります」とあります。楽天IDのヘルプにも「楽天IDで設定する「パスキー」は楽天証券には適用されません」と書かれています。出典はログイン（楽天証券）とパスキーに関するよくある質問（楽天IDヘルプ）です。2026年10月12日に確認しました。
楽天市場や楽天ペイで出るパスキーの案内については、楽天IDのパスキーを設定しないとどうなるかの記事にあります。
ログインできない・被害が心配なときの相談先
身に覚えのないログインや取引に気づいたら、最初の連絡先は口座のある証券会社です。金融庁の注意喚起ページも「各証券会社等のお問い合わせ窓口へのご確認をお願いします」と書いています。ほかの窓口は次のとおりです。
| 窓口 | 電話番号 | 受付時間（公式ページの記載） |
|---|---|---|
| 金融庁 金融サービス利用者相談室 | 0570-016811（IP電話からは03-5251-6811） | 平日10時00分〜17時00分 |
| 証券・金融商品あっせん相談センター（FINMAC） | 0120-64-5005 | 月〜金曜日9:00〜17:00（祝日・振替休日と12月31日〜1月3日を除く） |
| 警察相談専用電話 | #9110 | 平日8:30〜17:15（都道府県警察本部で異なる）。土日・祝日と時間外は、一部の県警を除き当直か音声案内 |
#9110は、ダイヤル回線や一部のIP電話からはかけられません。緊急の事件・事故は110番です。スマホが突然圏外になってSMSが届かないときの順番は、スマホが突然圏外になったときに連絡する順番の記事にあります。
出典は上の金融庁の注意喚起ページ、証券・金融商品あっせん相談センター（FINMAC）、警察相談専用電話「＃9110」（政府広報オンライン）です。2026年10月12日に確認しました。
まとめ
- 主要10社のうち9社が、ログイン時のパスキーを必須化済みか順次必須化中（必須の範囲は会社で違う）。三菱UFJ eスマート証券は2026年10月末が目標です
- 設定しないと何が起きるかは会社ごとに違い、取引・出金の制限から、パスワードでのログインが続く会社まであります
- 松井証券とPayPay証券は、パスキーの未登録や設定状況によっては補償されない場合があると明記。条件は口座のある会社で確かめてください
- 顔や指紋のデータは端末の外に出ません
- SMSやメールの認証コードは、リアルタイムフィッシングに弱いと金融庁が説明
- Apple・Googleのアカウントの守りと、メールのリンクを開かないことも大切
この記事に書いた内容は、2026年10月12日から13日にかけて各公式ページで確認しました。
お金の話は、根拠のあいまいな情報がそのまま広がっていることがあります。このサイトでは、法律の条文や官庁・業界団体の資料まで戻って、確認した日付とあわせて書いています。実際に出回っている誤りを訂正した例も含め、ほかの調べ物は人に聞けないお金の質問にまとめました。