新しい認証の仕組みが動作しています

2025/03 オンライン証券各社は、いわゆる不正アクセスによる被害を防ぐ目的で色々なセキュリティーを追加・改善しているようです。
今回、ご相談で伺った内容に加筆修正をしながら記録として記事に致します。

届いたメールの内容

こういうメールが届いたんだけれど、大丈夫ですよね？という相談でした。このお客さまは楽天証券に口座をお持ちの方で、2025/03に導入された『リスクベース認証』についての情報が不足していたようです。

○○　○○ 様

ふだんと異なる環境や端末からのログインがあったため
本人確認のための追加認証を実施させていただきました。
（追加認証日時：2025年xx月xx日 yy時mm分）

■お客様自身が追加認証を実施された場合、このメールに関しましてはご放念くださいますようお願いいたします。

■追加認証にお心当たりのない方
・第三者が実施した可能性があります。ご登録の自宅電話番号もしくは携帯電話番号で追加認証は実施されてますので、当社に登録されている自宅電話番号および携帯電話番号をご確認ください。

【電話番号等の確認方法】
ウェブログイン後、「マイメニュー」→「お客様情報一覧」→「基本情報（マイナンバー・ログイン関連）」→「お客様情報の照会・変更」→「連絡先」に表示されます。

・当社カスタマーサービスセンターにご連絡いただくことで、ログインや取引、出金に制限をかけることができます。ご希望の方は、以下へお電話いただきお手続きください。
※自動音声にて24時間受付しています。
https://www.rakuten-sec.co.jp/web/support/#sub20

・ログイン履歴の確認方法
直近のログイン履歴は、楽天証券PCサイトにログイン後、お名前の下に表示される「前回ログイン日時」をクリックしてご確認ください。

──────────────────────────────────
※このメールはシステムにより自動配信されています。
本メールにご返信いただきましてもご質問、ご依頼等にはお答えできませんのでご注意ください。 お問い合わせの際は、ヘルプ&サポートをご確認ください。
https://www.rakuten-sec.co.jp/web/support/
────────────────────────────────────
楽天証券株式会社

細部の解説

メールの真贋を見極めるところとして、
✅ お客さま氏名のところは、証券口座に登録されている実名で届きます。
✅ 追加認証日時は、いわゆる『リスクベース認証』を行った日時がはいります。

最低でもこの二点は、確認の上対応してください。

このメールを受信したタイミング

通常のID、パスワードのログインが成功し、リスクベース認証も通過したあとに送信されます。
これらの手順をご自身で行った場合は、ただの記録となりますので、メールは気にしなくて構いません。

大事なことは、完全に正しい手順でログインが成功した通知を意味しますので、証券会社のシステムにはログインしていないなど、まったく見に覚えのない場合は、緊急事態を意味します。
念のためですが、追記しておきます。

楽天証券のリスクベース認証について

いわゆる、不正アクセスを検知するシステムの一種です。
楽天証券システムが、いつものログイン環境と異なる条件を検知し、楽天証券のシステムが違和感を感じた場合に、事前に登録されているスマホを使った『二段階認証』を求めてくる仕組みを指します。
お客さま自身で設定する二段階認証の仕組みとは、また別の取り組みで、楽天証券側が違和感を検知した場合は二段階認証を設定しているか否かに関わらず、発動します。
2025/03 の騒動以来、ログイン方法を変更していない方に対しても、リスクベース認証は自動的に有効になっています。

他社システムのように確認コードをSMSで送信する方式と、楽天証券が指定するフリーダイヤルに登録スマホから電話をする方式とが選べるところは以外に便利ですね。(SMS送信方式の場合、おそらく証券システムが混雑している時などにSMSの到達が遅くなる可能性もあるので。)

リスクベース認証の発動の様子

お客さまからの相談を受けた際に、確認の意味を込めて『リスクベース認証』をわざと発生させて、流れを確認いたしました。
ちょっと感心した内容として、

✅ 同一ルータ下の異なる機材からログインしても、リスクベース認証が発動しました。
→ PCでログインされていた方が、スマホからログインしても再び認証が発生しました。

✅ 同じパソコンで時間をおいて再びログインしても、リスクベース認証が発動しました。
これは、若干厳しめな反応かなとも感じましたが、リスクベース認証の導入間もない時期なので、厳しめな対応になっているのかな？とも感じましたが、きっちりリスクベース認証が発動しているので、安心感がありますね。