楽天のワンタイムパスワードが身に覚えがないのに届いた｜原因と今すぐやること

楽天から突然ワンタイムパスワードが届いて不安になったときは、まずここだけ押さえてください。そのコードを自分以外の誰かに教えたり、メールやSMSのリンク先の画面に入力したりしておらず、かつコードが届いたメールやSMS自体を第三者に見られていなければ、そのコードを使った認証（ログイン・振込・決済など）は完了していません。 ワンタイムパスワードは、IDとパスワードが第三者に知られてしまった場合の「もう一段の関門」として働きます。コードが手元に届いて誰にも渡っていない状態は、その関門がまだ閉じているということです。

逆にいえば、コードの届く受信箱そのものが乗っ取られていたり、端末がウイルスに感染していたりすると、この関門は機能しません。楽天銀行が、ワンタイム認証の受信先にPCのメールアドレスではなく携帯電話・スマートフォンのアドレスを推奨しているのは、まさにこの理由からです。

一方で、身に覚えのないコードが届くこと自体は「何も起きていない」わけではありません。あなたのIDとパスワードがすでに知られている可能性か、あなたからコードを聞き出そうとしている相手がいる可能性のどちらかを示しています。この記事では、楽天IDや楽天カード・楽天銀行などサービスごとの仕組みの違い、届いた原因の切り分け、すぐやるべき手順、そして楽天公式が公開している偽メールの実物を使った見分け方までを、公的機関と楽天公式の情報を裏取りして整理します。

楽天のワンタイムパスワードとは｜コードを渡さなければ認証は完了しない

楽天のワンタイムパスワードとは、ログインや取引の際に、ユーザIDとパスワードとは別に求められる使い捨てのパスワードです。 一定時間だけ有効で、一度使うと無効になります。楽天IDのヘルプでは、楽天市場でセキュリティ保護の観点から、ログイン時にユーザIDとパスワードとは別にワンタイムパスワードを求められるケースがあると説明されています。

楽天IDの場合、発行ボタンを押すと登録メールアドレス宛にコードが記載されたメールが届き、それを入力欄に入れる流れです。目的は、登録されているメールアドレスが実際に使われているかを確認することにあります。有効期限は1時間で、期限を過ぎたり受信できなかったりした場合は、もう一度発行の操作をやり直します。

ここで最も大切なのは、コードを知っているのが自分だけである限り、相手はその認証を完了できないという点です。逆にいえば、コードを他人に伝えた瞬間に関門は開きます。楽天を名乗る相手から電話やメールでコードを聞かれても、絶対に答えないでください。

そのコードはどの楽天サービスから届いた？サービス別の早見表

「楽天のワンタイムパスワード」と一口に言っても、送信元のサービスによって有効期限も送信手段も問い合わせ先も違います。まず、届いたメールやSMSがどのサービスからのものかを確認してください。

楽天カードの3Dセキュアでは、本カード会員はワンタイムパスワード、家族カード会員は固定パスワードと、認証の方式そのものが異なります。楽天モバイルでコードが複数届いている場合は、最新のものを使ってください。

なお、表の最下段に参考として挙げた楽天証券の「ログイン追加認証」は、コードを入力する方式ではなく、絵文字と数字を順番どおりに選ぶ方式です（2025年6月8日より、絵文字10種類から2種類を選ぶ形式から、絵文字10種類と数字5種類から4種類を選ぶ形式に強化されました）。ワンタイムパスワードとは別のものなので、混同しないでください。必須化の理由として、楽天証券はフィッシング詐欺に加えてスパイウェアやマルウェアによる不正取引の被害が出ていることを挙げています。

身に覚えのないワンタイムパスワードが届く2つの原因

自分で操作していないのにコードが届いたとき、原因は大きく2つに分かれます。どちらなのかで、次にやることが変わります。

原因① 本物の認証要求が発生している（＝誰かがあなたになりすまして手続きを進めようとしている）

正規のシステムが認証を求めた結果、コードが発行された状態です。何の手続きで発行されたかはサービスによって違います。 楽天IDならログイン、楽天銀行なら振込やセキュリティ設定の変更、楽天カード・楽天ペイならネット決済の本人認証、楽天モバイルなら各種手続きです。まずは前の章の早見表で、どのサービスから届いたコードなのかを確かめてください。

ログインの追加確認としてコードが届いたのなら、その手前でIDとパスワードが入力されているので、あなたのIDとパスワードがすでに相手に知られている可能性が高いと考えて動くのが安全です。決済や振込の認証としてコードが届いたのなら、カード情報や口座の側が悪用されようとしている可能性を疑い、そのサービスの窓口に連絡します。届いたのがコードだけで、リンクを踏んだ覚えもない、というときはこちらの原因①を疑います。

原因② あなたからコードを聞き出すために発行させている

攻撃者が偽サイトにあなたのIDとパスワードを入力させ、本物の楽天にログインを試み、あなたに届いたコードを「確認のため」と称して聞き出す手口です。この場合、コードの前後に不審なメール・SMS・電話が来ていることが多くなります。

切り分けの目安は、自分がログイン操作をしたかどうかと、コードだけが届いたのか、リンク付きのメッセージが一緒に来ているかです。リンクが付いていて焦らせる文面なら、原因②の疑いが濃くなります。

この不安が現実的なものであることは統計にも表れています。フィッシング対策協議会の2026年5月の報告では、楽天カードをかたるフィッシングが約18.5%で最多でした。また警察庁などの発表によれば、令和7年（2025年）の不正アクセス行為の認知件数は7,190件で前年より約34.2%増加しており、検挙された手口の90%以上が他人のID・パスワードを入力する「識別符号窃用型」でした。その入手経路としてフィッシングサイト経由は前年より増加しています。

絶対にやってはいけない4つ

1. コードを他人に伝えない。 電話でも、メールでも、チャットでもです。判断の後ろ盾になる公式の記述があります。楽天銀行は、電話やメールによるワンタイム認証、メールアドレスの設定変更、ワンタイムキーの再発行にはセキュリティ上一切応じていないと明記しています。少なくとも楽天銀行を名乗ってコードを聞き出そうとする電話は、本物ではないと判断できます。ワンタイムパスワードは本人だけが使うものなので、他のサービスでも「コードを口頭やメールで伝える」場面は想定されていないと考えてください。
2. メールやSMSのリンクからログインしない。 本物そっくりの偽サイトに誘導されます。確認は必ず公式アプリか、自分で登録したブックマークから行ってください。
3. 記載された電話番号に折り返さない。 番号ごと偽装されています。連絡先は公式サイトで自分で調べ直します。
4. 心当たりのないメールを開いたまま放置しない。 楽天は、身に覚えのない件名のメールは開封せずに速やかに削除し、ごみ箱からも削除することを推奨しています。

届いたらすぐやる5ステップ

原因①（パスワードがすでに知られている疑い）を前提に、上から順に進めてください。すべての操作は、メールのリンクではなく公式アプリまたはブックマークから行います。

1. パスワードを変更する。 他サービスと使い回していたなら、そちらも変更します。楽天は8文字以上で英数字記号を組み合わせ、生年月日・氏名・連番を含めないことを推奨しています。
2. ユーザIDを見直す。 楽天は、登録ユーザIDをメールアドレス以外の任意のものに変更することを推奨しています。IDが分からなければ、相手はパスワード以前の段階で止まります。
3. ログイン履歴を確認する。 日時（海外からのアクセスでも日本標準時で表示）、サービス名、IPアドレスが確認できます。ただしログイン履歴に記録されるのは成功したログインだけで、失敗は記録されません。 履歴に不審な行がないことは「誰も試していない」証明にはならない、という点に注意してください。
4. 注文履歴とポイント残高を確認する。 身に覚えのない注文、配送先の追加、ポイントの利用がないかを見ます。
5. カードの利用明細を確認する。 楽天カードに限らず、登録している決済手段すべてが対象です。

なお楽天には、普段と異なる環境からのログインを検知すると登録メールアドレスへ通知するログインアラートがあります。この機能は設定不要で、すべての楽天会員が対象です。通知にはログイン日時、IPアドレス、ログインの場所（国名・英語表記）、端末とOS、ブラウザが記載されます。

本物の楽天通知と偽物の見分け方｜公式が公開した偽メールの実物

楽天は、自社を装った不審なメールの実物を公開しています。そこに載っている偽メールの本文には、次のような一文が含まれています。

このメールは、ログイン時にユーザIDとパスワードの他に、誕生日もしくはワンタイムパスワードの入力により認証し、ログインされたお客様に対して送信させて頂いております

つまり、「ワンタイムパスワード」という言葉が入っているメールほど本物らしく見えるよう作られています。文面の自然さでは判断できません。見るべきは次の点です。

※ 差出人ドメインの例は楽天カードの公式案内によるものです。他の楽天サービスの正規ドメインは、各サービスの公式サイトで確認してください。

楽天カードの公式は、URLが正しく記載されていても実際のリンク先が異なる場合があると警告しています。表示されている文字列ではなく、実際に開くドメインを見てください。

また、楽天が不正ログインの可能性を検知してパスワードを初期化した場合には、「【楽天】パスワード初期化のご連絡」または「[Rakuten Alerts]」という件名で通知が送られることがあります。この場合は、リンクからではなく自分で楽天にアクセスしてパスワードを再設定します。なお楽天は、この通知について公開しているメール本文のサンプルに、フィッシング対策としてURLや電話番号を載せていません。本物の楽天メールに一切URLが無いという意味ではありませんが、URLや電話番号で行動を急かす文面は疑ってかかる材料になります。

判断に迷うサイトは、楽天が公開している楽天を装ったWEBサイトの一覧ページで、ページ内検索（Ctrl+F）をかけて照合できます。

すでにコードやID・パスワードを入力してしまったら

順番が大切です。焦って窓口に電話する前に、まず入口を閉じます。

1. パスワードを変更する（公式アプリかブックマークから）。使い回していた他サービスも変更します。
2. 被害が出ている、または出そうなサービスへ直ちに連絡する。 カード情報を入力したならカード会社へ利用停止・再発行を、楽天銀行なら銀行へ、楽天証券なら証券会社へ、というように実際に被害が及ぶ先が最優先です。あわせて明細や取引履歴に不審なものがないか確認します。
3. 楽天のなりすましサイト・偽メール報告フォームから報告する。 誰でも報告できます。
4. 公的な相談窓口を使う。 緊急でない相談は警察相談専用電話「#9110」（かけた地域を管轄する警察本部の相談窓口につながります）、サイバー事案は警察庁のオンライン受付窓口、消費生活のトラブルは消費者ホットライン「188」が使えます。

金銭が動きうる状態なら、2番の連絡を最優先にしてください。そのうえで、3番の報告と4番の相談も速やかに行ってください。

ワンタイムパスワードが届かないときの対処

身に覚えのあるログインなのにコードが届かない場合は、次を順に確認します。

• 迷惑メールフォルダに振り分けられていないか
• 受信拒否設定やドメイン指定受信でブロックしていないか
• 登録しているメールアドレス・電話番号が現在使えるものか
• 有効期限が切れていないか（楽天IDは1時間、楽天銀行は60分、楽天モバイルは3分）
• 入力を繰り返し間違えて無効になっていないか（楽天モバイルは5回で無効）

コードは英数字が混ざるため、読み違えにも注意してください。楽天IDのヘルプは、数字の0と英大文字のO・英小文字のo、数字の1と英小文字のl、数字の8と英大文字のB、数字の9と英小文字のqを間違えやすい例として挙げています。

なお楽天銀行は、ワンタイム認証を受け取るアドレスに携帯電話・スマートフォンのアドレスを推奨しています。PCのメールアドレスにしていると、そのPCがウイルスやスパイウェアに感染した際にコードも同時に盗まれるおそれがあるためです。

今後の予防｜パスワードの使い回しをやめる

警察庁などの発表によれば、令和7年に検挙された不正アクセスの90%以上は、他人のID・パスワードを入力する「識別符号窃用型」でした。その399件についてIDとパスワードをどう入手したかの内訳を見ると、最も多いのが「パスワードの設定・管理の甘さにつけ込んで入手」84件、次いで「フィッシングサイトから入手」77件です（前者は前年より90件減、後者は36件増）。つまりパスワードの管理を見直すことは、件数の最も多い入口をふさぐことにあたります。楽天は、他サイトと異なるID・パスワードを設定すること、8文字以上で複雑にすること、定期的に変更すること、そしてユーザIDをメールアドレス以外の任意のものに変更することを推奨しています。

楽天は不正利用を防ぐため365日体制でモニタリングを行い、不審なログインを検知した場合にはパスワードの初期化や一時的なログイン停止を実施しています。また警視庁と「サイバー犯罪に対する共同対処協定書」を締結し、犯罪との関連が疑われる取引について情報提供を行っています。

EC店舗を運営している方は、店舗側のアカウント管理も併せて見直してください。 複数人でIDとパスワードを共有している、退職したスタッフのアカウントが残っている、といった状態は、個人アカウントの使い回しと同じ危うさを抱えます。担当者ごとにアカウントを分け、権限を必要な範囲に絞り、退職時に速やかに停止する運用にしておくことが、店舗の売上と顧客情報を守ることにつながります。

よくある質問（FAQ）

Q. 身に覚えのないワンタイムパスワードを無視してもいいですか？ コードを誰にも教えておらず、受信箱や端末を第三者に見られていなければ、その一通だけで認証が通ることはありません。ただし、あなたのIDとパスワードや決済情報が知られている可能性を示すサインなので、無視せずパスワードの変更とログイン履歴・利用明細の確認を行ってください。

Q. ワンタイムパスワードが何度も届きます。どうすればいいですか？ 何者かがログイン・振込・決済などの認証を繰り返し試している可能性があります。まず早見表でどのサービスから届いているかを確認してください。楽天IDのログイン由来ならパスワードの変更とユーザIDの見直しを、決済や振込由来なら該当するカード会社・金融機関への連絡を優先します。いずれの場合も、コードは絶対に誰にも伝えないでください。

Q. 通知に書かれたIPアドレスから相手を特定できますか？ 利用者側で個人を特定することはできません。IPアドレスの詳細は契約しているプロバイダの管轄になります。被害が発生している場合は、警察の相談窓口に情報として伝えてください。

Q. ログイン履歴に不審な記録がなければ安全ですか？ 断定はできません。ログイン履歴に記録されるのは成功したログインだけで、失敗したログインは記録されないためです。履歴が綺麗でも、パスワードが知られている可能性は残ります。

Q. 楽天からのメールか偽物か、どうしても判断できません。 メール内のリンクは開かないでください。確認するときは、公式アプリかブックマークから自分でログインし、ログイン履歴やアカウントの登録情報、注文履歴に不審な変化がないかを直接見ます。メールの真偽を当てにいくのではなく、アカウントの状態を自分の目で確かめるのが確実です。あわせて、楽天が公開している偽サイト一覧での照合や、なりすまし報告フォームからの報告も利用できます。

Q. Amazonからも同じようなワンタイムパスワードが届きました。 考え方は同じで、コードを渡さず受信箱も見られていなければ認証は完了しません。ただし確認するログイン履歴の場所や連絡先はサービスごとに異なります。Amazonの場合の原因の切り分けと初動は、身に覚えのないAmazonのワンタイムパスワードが届いた時の対処で解説しています。