「PayPayのパスワードをリセット」SMSは本物？

「PayPayのパスワードをリセットしてください」というショートメール（SMS）が突然届いても、文面だけで本物・偽物を断定してはいけません。PayPayでは正規のパスワード再設定通知がSMSで届く場合がある一方、PayPayを装ったフィッシングSMSも確認されています。

2026年10月14日時点で最も安全な確認方法は、SMS内のリンクを使わず、端末にインストール済みのPayPayアプリを直接起動することです。本記事では、何もしていない段階、リンクを開いた段階、情報を入力した段階、実害が出た段階に分けて対処方法を解説します。

このSMSは本物？文面と送信元番号だけで判定できる？

結論からいうと、「PayPayのパスワードをリセットしてください」という文章や送信元の表示だけでは判定できません。正規の通知である可能性と、偽サイトへ誘導するフィッシングSMSの可能性がどちらもあります。

PayPayの身に覚えのないログインについてのSMSやメールが届いた場合の案内では、自分が操作していない時にログインやパスワードリセットの通知が届く理由として、別の人が電話番号を誤入力した場合と、第三者による不正アクセスの可能性が挙げられています。届いたことだけでアカウントが乗っ取られたと決まるわけではありませんが、放置してよいとも限りません。

次の要素は不審さを判断する材料になります。

• 自分がパスワード再設定を始めていないのに届いた
• 「数時間以内に停止」「今すぐ確認」など、急がせる表現がある
• パスワード、暗証番号、カード番号、SMS認証コードの入力や返信を求める
• リンク先のホスト名がPayPay公式ドメインと異なる
• 短縮URLや、文字を似せた不自然なドメインが使われている
• アプリでは確認できない異常や請求をSMSだけで告げている

ただし、誤字がない、PayPayのロゴがある、過去の正規メッセージと同じスレッドに表示された、といった点は本物の証明になりません。SMSでは送信元名が偽装されたり、同じ送信元表示のメッセージが同一スレッドにまとめられたりする場合があります。送信元番号が見慣れた番号かどうかだけでリンクを開かないでください。

まずSMSのスクリーンショットを撮り、受信日時、送信元表示、本文、URLが分かる状態で保存します。その後はリンク、添付ファイル、本文記載の電話番号に触れず、アプリ側から確認します。

自分で再設定を始めていないSMSは、真偽を決める前に「リンクを使わない通知」として扱いましょう。

PayPay公式のSMS送信元・URLドメインはどこを見る？

2026年10月14日時点のPayPay公式「SMS認証コードが届かない」には、PayPayから送られるSMSの例として、本文に［PayPay］の文字があるものや、「https://paypay.ne.jp/」から始まるURLが記載されたものが案内されています。また、SMSは海外のシステムから送信される場合があると説明されています。

重要なのは、一般利用者向けのこの公式案内が「この一つの電話番号から届けば正規」と固定の送信元番号を示していない点です。端末、通信会社、送信経路により、電話番号、短い番号、英字の送信者名など表示方法が変わり得ます。番号が公式窓口の番号と一致するように見えても、それだけでリンクの安全性は確定しません。

URLは表示文字列の先頭だけでなく、実際のホスト名を確認する必要があります。公式案内にある基本形は「paypay.ne.jp」です。次のような文字列は、PayPayという単語を含んでいても別のドメインです。

• paypay.example.com：管理主体はexample.com
• paypay-ne-jp.example：管理主体は末尾のexample
• example.com/paypay.ne.jp：管理主体はexample.com
• paypaу.ne.jp：見た目が似た別文字を混ぜている可能性がある

一方、見た目が「paypay.ne.jp」であっても、SMSからタップして確認する必要はありません。偽ページへの転送、リンク表示と実際の移動先の不一致、確認操作中の誤タップを避けるためです。インストール済みのPayPayアプリアイコンをホーム画面やアプリ一覧から直接タップしてください。

公式窓口の電話番号は、2026年10月14日時点のPayPayお問い合わせ案内で「0120-990-634」、24時間受付、土日祝日を含む365日対応と案内されています。これは問い合わせ先であり、「この番号がSMSの送信元に表示されれば正規」という意味ではありません。電話をかける際もSMS内の番号をタップせず、公式ヘルプまたはアプリから番号を確認して手入力します。

送信元番号は照合材料の一つにとどめ、最終確認は公式アプリと「paypay.ne.jp」の公式案内から行ってください。

SMSを開かずPayPayアプリで何を確認する？

SMSを受信しただけで、まだリンクを開いていない場合は、次の順序でアプリ内を確認します。iPhoneとAndroidでアイコンの配置やOSの通知表示は異なりますが、PayPayアプリ内の基本的な確認項目は共通です。画面名と仕様は2026年10月14日時点です。

1. SMSアプリを閉じ、ホーム画面またはアプリ一覧からPayPayを直接起動します。
2. ホーム画面右下の［アカウント］をタップします。右下に表示されない構成では、右上のベルマーク横にあるアカウントアイコンをタップします。
3. ［セキュリティとプライバシー］を開き、［端末の管理］を確認します。
4. 端末名、利用状況、ログインした端末に心当たりがあるかを照合します。
5. ホーム画面へ戻り、［取引履歴］で支払い、送金、チャージ、出金などに覚えのない記録がないか確認します。

知らない端末がある場合は対象端末の［削除］を選びます。どれが不審な端末か判断できない場合や認証情報を入力した疑いがある場合は、［すべての端末を削除してログアウト］を選択し、信頼できる端末からログインし直します。この操作名はPayPayのSMSやSNSでのフィッシング詐欺に関する注意喚起でも案内されています。

取引履歴では金額だけでなく、日時、取引相手、店舗名、支払い方法まで見ます。家族による利用、定期的な支払い、取り消し後の表示など、心当たりを確認できる取引は分けて記録してください。不審な取引がある場合は、後でサポートへ説明できるよう詳細画面を保存します。

アプリを直接開けない、ログアウトされている、登録電話番号を変更してSMSを受信できない場合は、SMSのリンクで解決しようとせず、公式ヘルプの問い合わせフォームを使います。検索広告経由の偽窓口を避けるため、ブラウザへ「https://paypay.ne.jp/help/」を直接入力する方法もあります。

SMS詐欺全般の見分け方は、LUFTMEDIAのフィッシング詐欺の手口と対策も参考になります。ただし、PayPay固有の画面や窓口は本記事記載の公式情報を優先してください。

SMSの真偽を調べるより先に、アプリの［端末の管理］と［取引履歴］を確認すると被害の有無を切り分けられます。

心当たりがないとき公式手順でパスワードを再設定するには？

身に覚えのないパスワードリセット通知が届いた場合、PayPay公式はSMS内のURLへアクセスせず、自分でパスワード登録・変更を行うよう案内しています。操作はログインできるかどうかで分かれます。

PayPayにログインできる場合

1. PayPayアプリのホーム画面右下にある［アカウント］、または右上のベルマーク横のアイコンをタップします。
2. ［セキュリティとプライバシー］を選びます。
3. ［ログインパスワード］をタップします。
4. ［パスワードを変更する］を選びます。
5. 顔認証、指紋認証、端末のパスコードなどで端末認証を行います。
6. アプリの通知内容に従い、新しいパスワードを設定します。

ログイン後の画面から変更するには、スマートフォン側で端末認証が有効になっている必要があります。iPhoneでは［設定］からFace IDまたはTouch IDとパスコードを、Androidでは機種の［設定］にある［セキュリティ］［生体認証］［画面ロック］などを確認します。名称は端末メーカーとOSバージョンで異なります。

PayPayにログインできない場合

1. PayPayアプリのログイン画面を開きます。
2. 登録済みの携帯電話番号を入力し、［電話番号でログイン］をタップします。
3. ［パスワードをお忘れですか？］をタップします。
4. 電話番号と生年月日を入力し、［次へ］を選びます。
5. この操作の直後に自分の登録電話番号または登録メールアドレスへ届いた通知から、再設定を続けます。
6. 新しいパスワードを入力して［リセット］をタップし、完了画面を確認します。

最初に届いた身に覚えのないSMSと、自分がいま開始した再設定通知を混同しないよう、送信時刻を照合してください。ログイン画面から再設定すると、同じアカウントでログイン中の全端末が自動的にログアウトされます。変更後は自分の端末で再ログインし、もう一度［端末の管理］と［取引履歴］を確認します。

Yahoo! JAPAN ID、携帯電話回線、Googleアカウント、Appleアカウントを利用して登録した場合は、PayPayのパスワードが未設定のことがあります。［ログインパスワード］が未設定でも直ちに異常とはいえません。登録時と同じログイン方法を選び、分からなければ公式窓口へ相談してください。

再設定通知は「自分がアプリで操作した直後に届いたもの」だけを時刻で照合し、古いSMSと取り違えないでください。

リンクを開いただけなら何をすればいい？

リンクを開いたものの、パスワード、電話番号、カード情報、認証コードなどを入力せず、アプリや構成プロファイルもインストールしていない場合は、まずページを閉じます。閲覧だけで直ちにPayPayアカウントの情報が相手へ渡ったとは限りません。ただし、ダウンロードや設定変更が同時に行われていないか確認が必要です。

1. 不審なページを閉じ、同じURLを再確認のために開かない
2. ブラウザのダウンロード一覧に見覚えのないファイルがないか確認する
3. PayPayアプリを直接起動し、［端末の管理］と［取引履歴］を確認する
4. OSとブラウザを公式の更新画面から最新版へ更新する
5. 端末に導入済みの信頼できるセキュリティ機能で検査する

AndroidでAPKなどをダウンロードした場合は、ファイルを開かず削除し、［設定］の［アプリ］からインストール日時が新しい不審なアプリがないか確認します。Google Play ストアのプロフィールアイコンから［Play プロテクト］を開き、［スキャン］を実行します。提供元不明アプリのインストールを許可した場合は、［設定］→［アプリ］→［特別なアプリアクセス］→［不明なアプリのインストール］などから許可を解除します。実際の項目名は機種により異なります。

iPhoneではWebページを開いただけで一般のWebサイトからアプリが自動導入される仕組みではありませんが、構成プロファイルや管理設定を承認していないか確認します。［設定］→［一般］→［VPNとデバイス管理］を開き、見覚えのない項目がある場合は内容を記録したうえで、Appleサポートや利用中のセキュリティサービスへ相談します。端末を初期化する前に証拠と必要なデータを確保してください。

セキュリティアプリの選び方やOSごとの役割は、LUFTMEDIAのスマホセキュリティアプリの選び方で確認できます。不審なSMSから紹介されたソフトは使用せず、App Store、Google Play、携帯会社の公式ページから入手します。

開いただけの場合は、再アクセスせず「入力・ダウンロード・インストールの有無」を順番に切り分けましょう。

情報・暗証番号・認証コードを入力したら何を止める？

偽サイトで情報を入力した場合は、入力内容に応じて対処します。ページを閉じたり履歴を消したりしても、送信済みの情報は回収できません。別の安全な端末や、OS更新と検査を済ませた端末から公式サービスへアクセスしてください。

PayPayの電話番号やパスワードを入力した

PayPayアプリからパスワードを変更し、［アカウント］→［セキュリティとプライバシー］→［端末の管理］で不審な端末を削除します。使い回しているパスワードがあれば、メール、通販、SNSなど他サービス側も個別に変更します。同じ文字列を順番に変更するのではなく、重要なメールアカウントから優先してください。

SMS認証コードを入力または相手へ伝えた

認証コードはログインや重要操作を通すための情報です。コードの有効期限が切れるのを待つだけではなく、PayPayのパスワード変更、全端末からのログアウト、取引履歴の確認を直ちに行い、公式サポートへ連絡します。電話やチャットで「本人確認のため」と言われても、受信した認証コードを第三者へ読み上げないでください。

PayPayではフィッシング対策として、SMS認証時に画面とSMSへ2文字のアルファベットが表示される場合があります。アプリ画面とSMSの文字が一致しないときは入力を中止します。ただし、一致だけを理由に安全と判断せず、自分が開始した操作かも確認してください。

クレジットカード番号や暗証番号を入力した

カード裏面またはカード発行会社の公式アプリにある窓口へ連絡し、利用停止、再発行、不審利用の確認を依頼します。PayPayカードの相談先とPayPayアプリの相談先は異なる場合があるため、カード発行会社名を確認してください。SMSに書かれた番号へは電話しません。

銀行口座情報、インターネットバンキングの暗証番号、ワンタイムパスワードを入力した場合も、該当金融機関の公式窓口へ連絡します。警察庁のフィッシング対策でも、SMS内のリンクではなく公式アプリやあらかじめ登録した公式サイトを利用すること、被害時は警察へ相談することが案内されています。

不審なアプリをインストールした

機内モードなどで通信を切り、別端末から主要アカウントの認証情報を変更します。不審なアプリへSMS、通知、連絡先、アクセシビリティ、端末管理の権限を与えた可能性がある場合は、携帯会社または端末メーカーの公式サポートへ相談してください。単にアンインストールするだけでは設定が残るケースもあるため、検査結果と許可状況を確認します。

認証コードや暗証番号まで渡した場合は、パスワード変更だけで終えず、端末ログアウトと各金融機関への連絡まで進めてください。

残高被害や不審な取引があるときどこへ連絡する？

PayPay残高の送金、不審な支払い、身に覚えのないチャージや引き落としを見つけた場合は、証拠を保存してPayPayへ至急連絡します。2026年10月14日時点のPayPay「不正やトラブルへの対策」では、不審な取引がある場合の連絡先としてPayPayお客様サポート窓口「0120-990-634」が案内されています。

連絡前に、次の情報を整理すると状況を伝えやすくなります。

• PayPayに登録した電話番号とユーザーID
• 不審なSMSの受信日時、送信元表示、本文、URL
• リンクを開いた日時と、入力・送信した情報
• インストールしたファイルやアプリの名称
• 不審な取引の日時、金額、取引相手、取引番号
• 実施済みのパスワード変更、端末削除、カード停止など

送金先や犯人と思われる相手へ直接連絡したり、返金を条件に追加送金したりしないでください。PayPayの2026年5月18日付注意喚起では、企業や団体への支払いに「送る・受け取る」機能は利用されておらず、利用者自身が送った残高は補償制度の対象外になると説明されています。返金や本人確認を理由に残高送付を求められた場合も中止します。

携帯会社にも迷惑SMSを報告します。iPhoneではメッセージ画面に［迷惑メッセージを報告］が表示される場合があります。Androidの＋メッセージでは、対象の会話を開き、メニューから［迷惑メッセージ報告］を選べます。ドコモの迷惑SMS報告案内では、Androidは会話画面のメニュー、iPhoneは画面上部の相手名から報告操作へ進む方法が案内されています。au、ソフトバンク、楽天モバイルなどは各社公式の迷惑SMS報告窓口を使用してください。

金銭被害、不正送金、脅迫、繰り返す連絡がある場合は、最寄りの警察署または警察庁のサイバー事案に関するオンライン受付窓口へ相談します。緊急性がない相談は警察相談専用電話「#9110」、進行中の犯罪や身の危険がある場合は110番を利用します。相談前にSMSや取引画面を消さず、スクリーンショットと時系列メモを残してください。

実害があれば「PayPay・カードや銀行・携帯会社・警察」の順に、同じ時系列メモを使って連絡すると説明がぶれません。

再発防止でiPhone・Android・携帯会社の設定をどう変える？

対処後は、同様のSMSを受け取ったときに誤操作しにくい状態へ整えます。設定名は2026年10月14日時点の代表例で、OSのバージョンや端末メーカーによって異なる場合があります。

PayPayアプリで確認習慣を作る

PayPay関連の通知を受けたら、SMSからではなくアプリアイコンから開く手順を固定します。定期的に［アカウント］→［セキュリティとプライバシー］→［端末の管理］を確認し、使っていない旧端末を削除します。［取引履歴］も金額だけでなく取引相手まで確認します。

パスワードは他サービスと共有せず、第三者に推測されにくいものを設定します。端末の画面ロック、生体認証、OS更新も有効にします。PayPayの通常利用や残高の仕組みを確認したい場合は、LUFTMEDIAのPayPayのチャージ方法と残高の確認手順も参照できます。

iPhoneのメッセージとブラウザを見直す

［設定］→［アプリ］→［メッセージ］にある不明な差出人のフィルタリング機能を確認します。Safariは［設定］→［アプリ］→［Safari］で［詐欺Webサイトの警告］を確認します。項目の場所はiOSの版により変わるため、見つからない場合は設定画面上部の検索欄で「不明な差出人」「詐欺Webサイト」と検索します。

AndroidのSMS・アプリ権限を見直す

Google メッセージを利用している場合は、アプリ右上のプロフィールアイコンから［メッセージの設定］→［スパム対策］を確認します。併せてGoogle Play プロテクトのスキャンを実行し、［設定］→［アプリ］→［特別なアプリアクセス］で、提供元不明アプリのインストール、通知へのアクセス、アクセシビリティ、端末管理アプリなどに不審な許可がないか確認します。

携帯会社の迷惑SMS対策を有効にする

契約中の携帯会社が提供する危険SMS拒否、迷惑メッセージフィルター、フィッシングサイトブロックの設定を、各社の公式会員ページで確認します。SMSアプリのブロックだけでは送信者番号を変えたメッセージを防げないため、携帯会社への報告も併用します。

最後に、今回の対処が完了した時刻、変更したアカウント、連絡した窓口、受付番号を記録します。数日間はPayPayの取引履歴、カード明細、銀行明細、携帯料金を確認し、不審な認証通知が再度届いた場合は前回の受付番号と関連付けて相談してください。

再発防止はSMSのブロックだけでなく、公式アプリから確認する習慣と端末権限の定期点検を組み合わせるのが要点です。

参照した公式情報

• PayPay ヘルプ「身に覚えのないログインについてのSMSやメールが届いた」
• PayPay ヘルプ「SMS認証コードが届かない」
• PayPay ヘルプ「パスワードを確認・変更したい」
• PayPay「SMSやSNSでのトラブル・フィッシング詐欺にご注意ください」
• PayPay「不正やトラブルへの対策」
• 警察庁「フィッシング対策」
• NTTドコモ「SMS／＋メッセージを利用した迷惑メッセージが届くお客さまへ」