楽天証券のログイン追加認証は安全なのか？
2025年6月1日から、楽天証券のログインに「追加認証」が必須になります。
これまでは「ID」と「パスワード」だけでログインできていた方も、今後はそれだけではログインできなくなります。
楽天証券で導入されているログイン追加認証は、「画像選択式」という少し変わった認証方式です。
すでに使われている方も多いと思いますが、メールに届いた画像を画面で順番通りに入力するというものです。
この認証方式はバンクガード株式会社の「スーパーワンタイムパスワード」技術（特許番号：JP6005890）を使用しています。
本記事では、楽天証券が導入する「画像選択式のログイン追加認証」について、
どんな仕組みなのか
安全なのか
逆に、気をつけるべきリスクは何か
といった点を、セキュリティの専門知識がない方にもわかるように、丁寧に解説したいと思います。
長い記事なので目次を作りました。
まずは、「そもそもなぜ追加認証が必要なのか？」というところから、一緒に見ていきましょう。
第1章：多要素認証とは？ 〜パスワードの限界〜
パスワードだけでは足りない時代に
長年、多くのサービスでは「ID」と「パスワード」だけでログインできる仕組みが使われてきました。楽天証券も、これまではこの方式を採用していました。
しかし近年では、「パスワードの流出」や「不正ログイン」のニュースを頻繁に見かけるようになりました。
たとえば、
別のサービスで使っていたパスワードが漏れて、それを使って証券口座にログインされる
フィッシングサイト（偽物のログイン画面）にだまされて、IDとパスワードを盗まれる
パソコンやスマホがウイルスに感染して、入力した情報が盗まれる
こうしたリスクが増えてきたことで、「パスワードだけで守る時代」は終わりを迎えつつあります。
そこで登場したのが、「多要素認証（Multi-Factor Authentication／MFA）」という考え方です。
「多要素認証」って何？
これは、異なる要素の認証方法を2つ以上組み合わせてログインする方式のこと。
1つの要素（たとえばパスワード）が万が一漏れても、もう1つの要素が突破されなければログインできません。
認証の「3つの要素」
多要素認証で使われる要素は、大きく分けて次の3つです。これらを組み合わせることを多要素認証と言います。
それぞれの要素には弱点があります。
知識要素（あなたが「知っている」もの）→ バレたら終わり
所有要素（あなたが「持っている」もの）→ 盗られたら終わり
生体要素（あなたの「身体的特徴」）→ 盗られたら終わり（整形でもしない限り変更不可）
一つ一つの認証の要素は弱くても組み合わせることで強くなるみたいな「3本の矢」理論です。
生体要素は知識や所有に比べると強度が高いと思われていますが、それでも弱点はあります。
顔は整形で変えられても虹彩や静脈などはほぼ不可能という性質です。
（余談ですが、女性は化粧の違いなどで顔認証の精度が変わるなども聞いたことがあるので、認証するシステム側も精度に限界はありそうです。）
ドラマや映画などで生体認証を突破するために変装や指紋採取など色々やりますよね。
楽天証券のログイン追加認証はどれを使ってるの？
楽天証券のログイン追加認証は、
「パスワード」＝知識要素
「メールで届く画像認証」＝所有要素
という組み合わせになります。
つまり、今後は「2つの異なる要素」を使わないとログインできなくなるというわけです。
補足：「2要素認証」と「2段階認証」は似た言葉ですが、明確に違います。
例えば、最初に「ID／パスワード」を入力し、その後に「秘密の質問」を入力させるようなWebサイトは2要素認証ではないが、2段階認証になっているというイメージです（知識要素しか使っていないので2要素ではないが、認証は2段階という整理です。）
まとめ：複数の要素を組み合わせて口座を守る時代へ
次章では、その画像認証がどのように行われるのか、実際の仕組みを具体的に見ていきます。
第2章：楽天証券の画像選択式追加認証の仕組みを解説
第1章では、複数の認証要素を組み合わせる「多要素認証」が、今のセキュリティ対策として必要不可欠であることをご説明しました。
この章では、楽天証券が導入した「画像選択式の追加認証」が、具体的にどう動くのかを見ていきましょう。
楽天証券のWebログイン時の流れ
利用方法は楽天証券のページにありますので、ご参考までに。
ログインIDとパスワードを入力する
これはこれまでと同じ「知識要素」による認証です。登録しているメールアドレスに「認証用の画像が2枚」が届く
メールで2枚の画像が表示されます。ログイン画面に、10個の画像がランダムに表示されるので、メールで届いた2枚の画像を、正しい順番で選ぶ
正しく選べればログインが完了します。間違えると再認証になります。
この画像認証の特徴は次の2点にあります。
ログインのたびに、表示される候補の画像10個は楽天証券が用意した大量の画像群からランダムに選ばれた10個になります。
メールに届く正解の画像2枚は正しい順序で入力しなければならない。
連続3回認証に失敗した場合、口座をロックされる。
「10個から正しい2個を順番通りに選ぶ。ただしチャンスは3回。」という高校数学の確率で習いそうな問題です。
当てずっぽうで不正アクセスしようとした場合の成功確率はどれぐらいになるんだろうと思い、ChatGPTに計算させてみました。
「10個から正しい2個を順番通りに選ぶ。ただしチャンスは3回。」という場合は約3.3％の成功確率のようです。
これはあくまで確率の世界での話ですが、約3.3％の場合、1000人に対し不正ログインを試みれば、33人は成功する計算です。
ちなみに、みなさんも経験あると思いますが、スマホのSMSに6桁のコードが届いてそれをWebの画面に入力するという場合、同じく3回制限で成功率0.0003%です。（0〜9までの数字6桁を3回以内に成功する確率です。）
こう考えると総当たり耐性（当てずっぽうで突破されないような耐性）は現状弱いと言って良いでしょう。
ですが、2025年6月8日以降は画像に加え数字も選択するように変更されるようです。
この場合、3回のチャンスで正解を出せる確率は、約0.167%まで下がります。
この状態で、1000人に1人か2人というところだと思います。
使い勝手はどうか？
個人差はあるかもしれませんが、SMSに届く6桁コードの入力に比べると、手間だと感じます。
画像を覚える
順番通りに2つを選択する
数字がSMSに送られてくるとコピペできるのですが、この認証方式の場合、画像を覚えないといけないので、メールとログイン画面を行き来しないといけないのがちょっと手間かなという感想です。
さらに2025年6月8日からは数字も追加されるので、4つ選択しないといけないのは結構な手間だと思う方も多いのではないでしょうか。
まとめ：ログイン追加認証って何？
次の章では、この画像認証の優れている点を、実際の攻撃パターンを踏まえて解説していきます。
第3章：この認証方式は何が優れているのか？
ここは誤りでした。
ぜひこちらの記事をご覧ください。
追って修正します。
第4章：ログイン追加認証の注意点やリスク
第3章では、楽天証券の画像選択式追加認証がフィッシングに強い方式であると説明しました。
第2章で総当たり耐性について言及しましたが、この章では、他に見落とされがちな注意点やリスクについてご紹介します。
メールアカウントが乗っ取られたら終わり
「正解の画像」は、楽天証券から送られてくるメールにあるため、メールを盗み見られたら、認証の意味がなくなってしまいます。
メールは「所有要素」としては不完全？
多要素認証では、「所有要素」はスマートフォンやICカードなど、他人が容易に持ち出せないものが理想です。
一方で、メールはインターネット経由でどこからでもアクセスできるため、設定次第ではパスワードさえわかれば誰でも開けてしまう可能性もあります。
つまり、メールアカウントが「パスワードだけで守られている」場合、その所有要素は実質的に知識要素に近づいてしまうのです。
対策：メールアカウントも守ることが必須
このリスクを回避するには、楽天証券の認証だけでなく、メールアカウント自体にも多要素認証を設定することが重要です。
Gmail、iCloud、Yahooメール様々利用されていると思いますが、これらをきちんと保護しないといけません。
補足：リスクベース認証はすでに全ユーザーに有効
なお、楽天証券ではリスクベース認証（通常と異なるアクセスがあった際の追加認証）もすでに全ユーザーに適用されています。
これは画像認証とは別に機能しており、万が一の不正アクセス時に、さらに防御壁が加わる仕組みです。
ただし、それに過信せず、基本のセキュリティを自分で整えることがやはり大切です。
まとめ：メールアカウントもちゃんと守ろう
こうしたリスクは、ユーザー側の「メール管理」「認証手段の整備」「日ごろの準備」でカバーすることが可能です。
まとめ
ここまで、楽天証券のログインに導入された画像選択式の追加認証について、その仕組みや特徴を見てきました。
改めて、この認証方式が持つ本質的な強みと、注意すべきポイントをまとめてお伝えします。
結論：
楽天証券のログイン追加認証の特徴と注意すべき点は以下です。
特徴
総当たり耐性は弱いが、2025年6月8日以降は強化されます。
偽サイトに騙されても突破されにくい状態となっています。
使い勝手は人によりますが、大変という方が多いのかなと思います。
注意すべきポイント
メールアカウントもきちんと守るようにしましょう。
楽天証券側で対策を打っていますが、過信せずにフィッシングに引っかからないようにしましょう！
すごく長い記事になりましたが、最後までご覧いただきありがとうございます。
他に詳細に解説してほしい内容などあればコメントいただけると嬉しいです。
いいなと思ったら応援しよう！
ありがとうございます！いただいたチップはクリエイターとしての活動費に使わせていただきます！