決済アプリ10社のパスキーと2段階認証の対応一覧
10社ともログインの追加認証に対応しており、違いはパスキー、パスワードの無効化、送金や支払いでの追加認証の3点です。 決済アプリ10社の認証対応表の○は使えること、△は一部のアカウントや用途でだけ使えること、×は使えないこと、−は当てはまらないことを表します。決済アプリ10社の認証対応表は2026年11月6日時点の内容です。
決済アプリ10社の認証対応表
| サービス | ログイン時の追加認証 | パスキー | パスワードを無効にできるか | |||
|---|---|---|---|---|---|---|
| Amazon Pay | ○ | Amazonアカウントの2段階認証 | △ | Amazonアカウントへのサインインだけ | × | |
| au PAY | ○ | 2段階認証・指紋や顔によるログイン | × | 指紋・顔の認証でログインできる | ○ | 生体認証のログインを設定するとパスワードのログインが無効になる |
| Kyash | ○ | SMS認証・パスキー | ○ | ログイン（2026-10-07に導入） | × | |
| d払い | ○ | 2段階認証・パスキー | ○ | dアカウントのログインとネット決済 | ○ | 「いつもパスキー設定」 |
| ファミペイ | ○ | 電話番号とパスワードとSMS認証コード | × | × | ||
| Paidy | ○ | SMS認証コード・生体認証 | △ | アプリのログイン（一部のユーザーだけ） | − | ログインにパスワードを使わない |
| PayPal | ○ | 2段階認証（認証アプリ） | △ | ログイン（対象のアカウントだけ） | × | |
| PayPay | ○ | 新しいスマートフォンでSMS認証コードかQRログイン認証 | × | × | ||
| メルペイ | ○ | パスキー・SMS・メールのリンク | ○ | ログインと登録情報の変更 | ○ | パスキーを設定するとログインにパスキーが必須になる |
| 楽天ペイ | ○ | 電話番号認証・パスキー・ログインアラート | ○ | アプリのログイン（楽天ID共通） | × | |
出典（2026-11-06時点）：Amazon Pay（Amazonヘルプ ／ Amazon Payヘルプ）、au PAY（au ID ヘルプ ／ au PAY 規約）、Kyash（Kyashヘルプ ／ Kyash 規約）、d払い（dアカウント パスキー ／ d払い 補償）、ファミペイ（ファミペイ 安全・安心 ／ ファミペイ 規約）、Paidy（Paidy パスキー ／ Paidy 規約）、PayPal（PayPal ヘルプ ／ PayPal 規約）、PayPay（PayPay ヘルプ（ログイン） ／ PayPay ヘルプ（補償））、メルペイ（メルカリ ガイド ／ メルペイ 規約）、楽天ペイ（楽天ペイ セキュリティ ／ 楽天ペイ 規約）
パスワードを無効にできるのは、d払い・au PAY・メルペイの3社です。d払いは「いつもパスキー設定」で、メルペイはパスキーを設定するとパスキーでのログインが必須になります。au PAYは、生体認証を設定するとパスワードでのログインが無効になります。
"いつもパスキー設定とは、パスワードによる認証を行わずにスマートフォンの生体認証や画面ロックを使って認証するサービスです。" — dアカウントの案内ページより公式情報を見る →
パスキーが使える決済アプリは10社中7社
パスキーへの対応は、10社のあいだで最も差が大きい機能です。具体的には、楽天ペイ・d払い・メルペイ・Kyash・Paidy・PayPal・Amazon Payの7社はパスキーが使え、PaidyとPayPalは一部のアカウントだけ、Amazon PayはAmazonアカウントへのサインインだけで使うことができます。
決済アプリ10社のパスキー対応表
| サービス | パスキー | |
|---|---|---|
| Amazon Pay | △ | Amazonアカウントへのサインインだけ |
| Kyash | ○ | ログイン（2026-10-07に導入） |
| d払い | ○ | dアカウントのログインとネット決済 |
| Paidy | △ | アプリのログイン（一部のユーザーだけ） |
| PayPal | △ | ログイン（対象のアカウントだけ） |
| メルペイ | ○ | ログインと登録情報の変更 |
| 楽天ペイ | ○ | アプリのログイン（楽天ID共通） |
出典（2026-11-06時点）：Amazon Pay（Amazonヘルプ ／ Amazon Payヘルプ）、Kyash（Kyashヘルプ ／ Kyash 規約）、d払い（dアカウント パスキー ／ d払い 補償）、Paidy（Paidy パスキー ／ Paidy 規約）、PayPal（PayPal ヘルプ ／ PayPal 規約）、メルペイ（メルカリ ガイド ／ メルペイ 規約）、楽天ペイ（楽天ペイ セキュリティ ／ 楽天ペイ 規約）
楽天ペイのパスキーは楽天IDと共通で、d払いのパスキーはdアカウントのログインに加えてネット決済でも利用できます。Kyashは2026年10月7日にパスキーを導入しました。
PayPay・au PAY・ファミペイは、2026年11月6日時点でパスキーを使うことができません。au PAYはパスキーには対応していないものの、FIDO2に準拠した指紋や顔の認証でログインできます。
"2026年10月7日（水）よりパスワードレスの生体認証技術「パスキー」を導入したことをお知らせいたします。" — 「デジタルウォレットアプリ「Kyash」、パスキー認証に対応」より公式情報を見る →
"パスキーの内容を推測したり、ほかのサイトで利用したりすることはできないため、第三者による不正ログインの防止やフィッシング対策に有効です" — dアカウントのページ「安全」より公式情報を見る →
8社は送金や支払いでも追加認証が必要
10社のうち8社は、送金や支払いのときにも追加で認証します。具体的には、PayPayは送金のときに生体認証かパスコード、au PAYは4桁の暗証番号で本人かどうかを確かめ、Amazon PayとPayPalには支払い時の追加認証がありません。
送金・支払い時の追加認証の対応表
| サービス | 送金・支払い時の追加認証 | |
|---|---|---|
| Amazon Pay | × | |
| au PAY | ○ | 送金で4桁の暗証番号・カードからのチャージは3Dセキュア |
| Kyash | ○ | ネット決済は3Dセキュア・出金はパスコード |
| d払い | ○ | ネット決済で回線認証・パスキー・SMSのコード、カードは3Dセキュア |
| ファミペイ | ○ | 支払いで暗証番号か生体認証、ネットのお店ではSMS認証 |
| Paidy | ○ | 支払いでSMSに届く4桁の認証コード |
| PayPal | × | |
| PayPay | ○ | 送金で生体認証かパスコード、カード払いは3Dセキュア |
| メルペイ | ○ | 送金と支払いでパスコード、カードは3Dセキュア |
| 楽天ペイ | ○ | 残高の送金で顔認証かパスコード、カードは3Dセキュア |
出典（2026-11-06時点）：Amazon Pay（Amazonヘルプ ／ Amazon Payヘルプ）、au PAY（au ID ヘルプ ／ au PAY 規約）、Kyash（Kyashヘルプ ／ Kyash 規約）、d払い（dアカウント パスキー ／ d払い 補償）、ファミペイ（ファミペイ 安全・安心 ／ ファミペイ 規約）、Paidy（Paidy パスキー ／ Paidy 規約）、PayPal（PayPal ヘルプ ／ PayPal 規約）、PayPay（PayPay ヘルプ（ログイン） ／ PayPay ヘルプ（補償））、メルペイ（メルカリ ガイド ／ メルペイ 規約）、楽天ペイ（楽天ペイ セキュリティ ／ 楽天ペイ 規約）
メルペイは送金と支払いの両方でパスコードの入力が必要で、Paidyは支払う時にSMSで届く4桁の認証コードを入力します。
送金・支払い時の追加認証の対応表にある3Dセキュアは、カードで払う時にワンタイムパスワードで本人認証を行う仕組みです。
"内容を確認し、4桁の暗証番号を入力の上「ＯＫ」をタップ。" — 送金の手順より公式情報を見る →
"ワンタイムパスワード（認証コード） を送信して本人認証を行うサービスです。" — 3Dセキュアの説明より公式情報を見る →
7社は60日以内に申告しないと不正利用の被害を補償しない
10社のうち7社が「60日以内」の申告を補償の条件にしており、d払いは90日、Kyashは知ってから30日以内の申告で、Amazon Payには申告の期限がありません。 期限を定めた9社では、期限を過ぎた申告は補償の対象になりません。
不正利用時の補償条件表
| サービス | 不正利用の補償条件（公式文言） |
|---|---|
| Amazon Pay | 身に覚えのない請求はAmazonに連絡して取り消しを求めることができ「債務が免除される可能性があります」（申告の期限・補償の上限なし） |
| au PAY | 不正利用額を上限に残高へ補てん。通知日から60日より前は対象外・1人1回まで |
| Kyash | 不正利用を知ってから30日以内に申告する。申告日から90日以上前の損害は対象外 |
| d払い | 損害額の全額。申告日から90日より前は対象外 |
| ファミペイ | 「原則として１０万円を上限」。申告日から60日より前は対象外 |
| Paidy | 連絡日から60日前までの利用分を取り消し・免除する |
| PayPal | 「PayPalは、未承認取引の全額を補償します。」取引から60日以内に通知する |
| PayPay | 「損害発生日から60日以内の申請であること」・警察への届出・全額 |
| メルペイ | 「当該不正利用の発生日から60日以内に限り」損害額の補償を請求できる |
| 楽天ペイ | 「損害が発生した日から60日以内に当社及び警察署に申告する」 |
出典（2026-11-06時点）：Amazon Pay（Amazonヘルプ ／ Amazon Payヘルプ）、au PAY（au ID ヘルプ ／ au PAY 規約）、Kyash（Kyashヘルプ ／ Kyash 規約）、d払い（dアカウント パスキー ／ d払い 補償）、ファミペイ（ファミペイ 安全・安心 ／ ファミペイ 規約）、Paidy（Paidy パスキー ／ Paidy 規約）、PayPal（PayPal ヘルプ ／ PayPal 規約）、PayPay（PayPay ヘルプ（ログイン） ／ PayPay ヘルプ（補償））、メルペイ（メルカリ ガイド ／ メルペイ 規約）、楽天ペイ（楽天ペイ セキュリティ ／ 楽天ペイ 規約）
ファミペイは補償額に10万円の上限があり、au PAYの補償は1人1回までです。
また、PayPayと楽天ペイは警察への届出も補償の条件にしており、楽天ペイは楽天と警察署の両方へ申告すると定めています。
"当社の故意又は重過失による場合を除き、原則として１０万円を上限とします。" — 補償の条項より公式情報を見る →
ユーザーと店舗が決済アプリの不正利用を防ぐ方法
乗っ取りを防ぐには、パスキーに対応したアプリはパスキーを登録し、対応していないアプリは送金や支払いでの暗証番号や生体認証をオンにして、不正利用に気づいたら期限までに申告することが大切です。 店舗も、乗っ取られたアカウントでの購入を支払いの場で防げます。
ユーザーはパスキーを登録し送金・支払い時の認証をオンにする
パスキーか生体認証でログインし、決済アプリは公式アプリかブックマークから開いて、送金と支払いの認証とログイン通知をオンにすると、乗っ取りの被害を防ぎやすくなります。 パスキーと生体認証ではパスワードを入力しないため盗まれる心配がなく、ログイン通知をオンにすると身に覚えのないログインのたびに通知が届きます。
パスキーか生体認証でログイン
楽天ペイやd払いなど7社はパスキーを登録でき、パスキーに対応していないau PAYにも指紋や顔の認証でログインする設定があります。指紋や顔の認証は本人のスマートフォンでしか通らず、パスワードを無効にできるd払い・au PAY・メルペイでは、パスワードを盗まれてもログインされません。
公式アプリかブックマークからログイン
不審なメールやSMSのリンクは偽サイトへ誘導することがあり、リンクを押さずに公式アプリから開けば偽サイトに誘導されません。
ブラウザで使うサービスも、事前に登録したブックマークから開けば偽サイトを避けられます。
送金・支払い時の認証とログイン通知をオンにする
10社のうち8社は送金や支払いのときにも追加認証が必要で、楽天ペイではログインがあるとアラートが届く設定も選べます。身に覚えのないログインに早く気づけば、補償の期限内に申告しやすくなります。
パスキーに対応していないアプリでは、パスワードを他のサービスと使い回さないことが大切です。新しいパスワードは、文字数と文字の種類を選んでランダムに作るツールで用意できます。
パスワードの長さと解読にかかる時間の目安は、パスワード強度の一覧表で見る桁数・文字種別の解読時間と推奨文字数にまとめています。リンク先の推奨文字数は、新しいパスワードの桁数を選ぶ時の目安になります。
"指紋認証や顔認証などの生体認証や、ログイン通知サービスの活用などによりセキュリティを強化すること" — 「コード決済利用者の方へ」より公式情報を見る →
店舗は乗っ取られたアカウントでの不正購入を防ぐ
乗っ取られたアカウントは換金しやすい商品の購入に使われるため、店舗は支払いの場で不正を見抜く必要があります。そこで、高額商品を大量に購入しようとするお客様には支払い画面をスクロールしてもらい、スクリーンショットでないかを確かめましょう。 人手に余裕があれば、不審な支払いを複数のスタッフで確認するのもおすすめです。
スクロールしてもらいスクリーンショットでないか確認する
換金しやすい高額商品を大量に購入しようとする状況では、コード決済の画面をスクロールしてもらうと、スクリーンショットの画像かどうかを見分けられます。画像は指でなぞっても中身がスクロールしないため、実際のアプリ画面かどうかをその場で確認できます。
人手に余裕があれば複数のスタッフで確認
コード決済の操作に慣れていないなど不審な様子があるとき、人手に余裕があれば複数のスタッフで支払い画面を確認するのもおすすめです。スタッフが1人の時間帯でも、画面をスクロールしてもらう確認なら1人でできます。
不正利用と判明したら警察に連絡
乗っ取ったアカウントで電子たばこやゲーム機を購入する事案が発生しています。乗っ取られたアカウントでの支払いだと判明したら、警察に連絡しましょう。
"不正行為を見つけたら警察に通報すること" — 「事業者（店舗）の方へ」より公式情報を見る →
関連する記事
ニトリに不正アクセス、会員・購入者の情報が最大3,762万件が流出の可能性ニトリホールディングスは2026年11月9日、自社システムへの不正アクセスを発表しました。会員や購入者の氏名・住所・電話番号などを含む情報が、最大3,762万件流出した可能性があるとのこと。ログインパスワードとクレジットカード情報は含まれません。ニトリや配送事業者を装うメールやSMSのリンクにはアクセスせず、公式サイトで本物か確認しましょう。
ドトールの通販サイトに不正アクセス、会員2万4,762件が流出した可能性ドトールコーヒーの公式通販サイト「ドトール オンラインショップ」が不正アクセスを受け、会員2万4,762件の氏名や住所、電話番号、メールアドレスが流出した可能性があると発表しました。ログインパスワードとクレジットカード情報は流出していません。10月には従業員ら951名分の流出も公表しています。ドトールを装うメールやSMSのリンクにはアクセスしないでください。
イープラスのフェス専用アプリに総当たり攻撃、3,571件が漏えいイープラスは2026年10月30日、音楽フェス「ポルノ超特急2021」専用アプリで前方指定観覧エリアの申込み情報を管理するシステムが総当たり攻撃を受け、申込者3,571件の氏名・電話番号・メールアドレスが漏えいしたと公表しました。カード情報とパスワードは含まれず、9月のスマチケに続く2度目の漏えいです。
東京海上ダイレクトのマイページに不正アクセス、契約71件の情報が漏えい東京海上ダイレクト損害保険は、マイページとアプリへの不正アクセスで、契約71件分、関係者を含めて93人の情報が漏えいしたと発表しました。氏名や住所のほか、カード番号の下4桁と有効期限、事故内容も含まれます。&eとドコモの自動車保険はWebサイトでの受付を停止しています。契約者はカードの明細を確かめ、保険会社を装う連絡のリンクにはアクセスしないでください。