MT5のログインで多要素認証が求められるのは、パスワードが第三者に知られても、スマートフォンなど本人の手元にある別の要素がなければログインできないようにして、不正ログインのリスクを下げるためです。MT5では、認証アプリなどが表示するワンタイムパスワード（ワンタイムコード）や、スマートフォン・USBセキュリティキーに保存するパスキーを、ログインとパスワードに加える2つ目の要素として使えます。多要素認証が必須かどうか、どの方式をいつまでに設定するかは会社によって異なるため、まずは取引する会社の公式の告知を確認し、期限までに設定を済ませてください。
この記事の前提：MT5の操作と仕組みは、MetaQuotes社の公式ヘルプ（パソコン版）で確認できた内容をもとにしています。各社の告知の内容は2026年11月10日時点で確認した範囲で、今後変更される場合があります。画面の名称や使える方式は、プラットフォームのバージョンや会社の設定によって異なります。この記事は特定の会社・VPSサービス・セキュリティ製品をすすめるものではありません。
MT5のログインで多要素認証が求められるようになった背景
多要素認証が求められるようになった背景には、IDやパスワードを盗んでなりすましログインする被害への対策があります。国内では、MT5のログインに多要素認証を必須とする会社も出てきています。
多要素認証とは：知識・所持・生体のうち2つ以上を組み合わせる
総務省は、多要素認証を、認証の3要素である「知識情報」「所持情報」「生体情報」のうち2つ以上を組み合わせて認証することと説明し、利用するシステムで設定できる場合は積極的に利用するよう呼びかけています（参考：総務省「国民のためのサイバーセキュリティサイト」）。
MT5に当てはめると、口座番号とパスワードが「知識情報」、ワンタイムパスワードを表示するスマートフォンやパスキーを保存した端末が「所持情報」、パスキーを使うときの指紋や顔の認証が「生体情報」にあたります。2つ目の要素を加えることで、パスワードだけが知られた状態ではログインしにくくなります。
国内の一部の会社が必須化を告知している
2026年11月10日時点で確認したところ、国内のある会社は、外部の事業者が提供するクラウド型のデスクトップサービスへの不正アクセスで、そのサービス上でMT4・MT5の取引をしていた顧客に被害が確認されたことを受け、2026年10月31日からMT5のログインに多要素認証（ワンタイムパスワード）を必須にすると告知しています。同じ告知では、設定を済ませないとMT5にログインできなくなるとされています。
ほかにも、MT5の利用にワンタイムパスワードと証明書による認証を求めている会社があり、今後、証明書による拡張認証やパスキーによる認証を必須にすると予告している会社もあります。必須かどうか、対象となる口座、方式、期限は会社ごとに異なるため、この記事では一覧にはしません。ご自身が取引する会社の公式サイトのお知らせやマイページで確認してください。MT4からMT5へ移行するときに確認したいほかの項目は、MT4サービス終了はなぜ相次ぐ？MT5移行前に確認したいポイントにまとめています。
多要素認証を設定すれば安全、というわけではない
多要素認証は、パスワードの流出による不正ログインのリスクを下げる仕組みであり、すべての被害を防げるわけではありません。ワンタイムパスワードを偽のサイトや第三者に入力してしまえば、その場で悪用されるおそれがあります。パスワードの使い回しを避ける、端末のソフトウェアを最新に保つ、といった基本の対策とあわせて使うことが大切です。
ワンタイムパスワードとパスキーの違い
MT5の公式ヘルプでは、2つ目の要素として、時間で変わるワンタイムパスワード（2FA/TOTP）と、端末に保存した暗号の鍵を使うパスキーの2種類が説明されています。どちらもログインとパスワードを置き換えるものではなく、追加の確認として使います。
ワンタイムパスワード（2FA/TOTP）の仕組み
ワンタイムパスワードは、一定の時間ごとに変わる使い捨てのコードです。MT5の公式ヘルプによると、MT5のモバイル版（iPhone・Android）や一般的な認証アプリで生成でき、有効にすると口座に接続するたびに、通常のログインとパスワードに加えてワンタイムパスワードの入力が必要になります。1つのコードの有効時間は30秒で、時間がたつと新しいコードに変わります（参考：MetaTrader 5 Help「One Time Passwords – 2FA/TOTP」（英語））。
コードは現在の時刻をもとに作られるため、スマートフォンとサーバーの時刻がずれていると、正しいコードを入れても受け付けられないことがあります。また、公式ヘルプでは、1つの口座に連携できるコードの生成元（ジェネレーター）は1つだけとされています。
パスキーの仕組み
パスキーは、正規のサービスでしか使えない暗号の鍵で本人を確認する仕組みです。MT5の公式ヘルプでは、パスワードのように攻撃者が盗み取ったり、だまして聞き出したりできる共有の秘密に頼らないため、フィッシングや認証情報の盗難への対策になると説明されています。MT5では、パスキーはログインとパスワードの代わりではなく、追加の確認として使われます（参考：MetaTrader 5 ヘルプ「Passkey」）。
パスキーは、スマートフォン（iPhone・iPad・Android）のパスワード管理機能か、FIDO2に対応したUSBセキュリティキーに保存します。スマートフォンを使う場合は、パソコンの画面に出るQRコードを読み取り、指紋・顔・PINなどで認証します。公式ヘルプでは、スマートフォンでパスキーを保存・使用するときは、スマートフォンとパソコンの両方でBluetoothをオンにする必要があり、2台が近くにあることの確認に使われると説明されています。
2つの方式の比較
| 項目 | ワンタイムパスワード（2FA/TOTP） | パスキー |
|---|---|---|
| 2つ目の要素 | 30秒ごとに変わるコード | 端末に保存した暗号の鍵 |
| 保存・生成する場所 | MT5のモバイル版、認証アプリ | スマートフォンのパスワード管理機能、USBセキュリティキー |
| ログイン時の操作 | アプリに表示されたコードを入力する | QRコードを読み取り、生体認証やPINで確認する（USBキーは差し込んで操作） |
| 主な注意点 | 端末の時刻のずれ、コードを第三者に教えない | Bluetoothによる近接確認、保存した端末が手元にあること |
どちらの方式を使えるか、どちらが必須になるかは会社の設定によって決まります。会社の告知で指定された方式に従ってください。
多要素認証を設定する前・ログインする前に確認すること
設定の前に、会社の告知で方式と期限を確認し、口座番号・サーバー名・パスワードがそろっているかを確かめておくと、手続きの途中で止まりにくくなります。
設定前のチェックリスト
- 取引する会社の公式の告知で、多要素認証が必須か、方式（ワンタイムパスワード・パスキー・証明書など）と期限はいつかを確認した
- 設定の手順が、MT5の画面で行うものか、会社のマイページで行うものかを確認した
- MT5の口座番号、サーバー名、パスワードを手元で確認できる
- ワンタイムパスワードを表示するスマートフォン、またはパスキーを保存する端末を用意した
- スマートフォンの時刻が自動で合う設定になっている
- 複数の口座を使っている場合、どの口座が対象かを把握した
MT5でワンタイムパスワードを有効にする流れ
MT5の公式ヘルプでは、パソコン版での設定の流れが次のように説明されています。会社によっては、マイページなど別の場所で設定する方式を案内している場合があるため、その場合は会社の手順に従ってください。
- 通常どおり口座にログインする
- ナビゲーターの口座の右クリックメニューで「Enable 2FA/TOTP」を選ぶ
- スマートフォンの認証アプリで「＋」を押し、MT5の画面に表示されたQRコードを読み取る
- アプリに表示されたコードを「One-Time Password」欄に入力し、「Enable 2FA」を押す
パスキーは、ログインの途中で追加を求められる場合のほか、ログイン中の口座を右クリックして「Passkey Manager」から追加できると説明されています。どちらも、会社がその方式に対応していることが前提です。
コードや認証情報を他人に教えない
認証情報の取り扱いに注意：パスワード、ワンタイムパスワード、パスキーの確認操作は、本人だけが行うものです。メールやSNS、電話などで「認証のためにコードを教えてほしい」と求められても、教えたり入力したりしないでください。ログインの画面は、会社の公式サイトや正規のアプリから開くようにし、不審な連絡を受けたときは、会社の公式サイトに記載された窓口で確認してください。
取引の状況を第三者に見せるだけなら、取引の操作はできず閲覧だけができる閲覧パスワード（投資家パスワード）という仕組みもあります。詳しくはMT4の閲覧パスワード（投資家パスワード）とは？発行手順・MT5での設定・共有時の注意点で解説しています。
MT5にログインできないときの確認順
多要素認証の設定後にログインできないときは、入力内容、認証の設定、端末の時刻、会社の告知の順に確認すると、原因を切り分けやすくなります。
- 口座番号とサーバー名が正しいか（複数の口座やデモ口座と取り違えていないか）を確認する
- パスワードが正しいかを確認する（会社によっては、マイページとMT5のパスワードが別の場合がある）
- ワンタイムパスワードやパスキーの設定が、その口座に対して完了しているかを確認する
- ワンタイムパスワードの場合、スマートフォンの時刻がずれていないか、有効時間（30秒）が切れたコードを入れていないかを確認する
- パスキーの場合、Bluetoothがオンになっているか、保存した端末やUSBキーが手元にあるかを確認する
- 会社の公式サイトで、必須化の告知やメンテナンス、障害の情報が出ていないかを確認する
- それでも解決しない場合は、会社の公式サイトに記載されたサポート窓口へ問い合わせる
MT5の公式ヘルプでは、MT5のモバイル版をコードの生成に使っている場合、メニューの「Synchronize Time（時刻の同期）」で端末の時刻をサーバーに合わせられると説明されています。サードパーティの認証アプリを使っている場合は、スマートフォン本体の日付と時刻が自動で設定されているかを確認してください。
VPSでMT5やEAを動かしている場合の注意点
VPS（仮想専用サーバー）などの外部の環境でMT5やEAを動かしている場合は、多要素認証によってログインの手順が変わることと、外部の環境に認証情報を置くこと自体のリスクの両方を確認しておく必要があります。
ログインの手順が変わる可能性を確認する
MT5の公式ヘルプでは、ワンタイムパスワードを有効にすると、口座に接続するたびにコードの入力が必要になると説明されています。VPS上のMT5が再起動したときや接続が切れたときに、どのような操作が必要になるかは、会社の設定や利用している環境によって異なる可能性があります（要確認）。告知の期限より前に、VPS上で実際にログインを試し、必要な操作を確かめておくと、EAが止まったまま気づかないといった事態を避けやすくなります。
また、スマートフォンに保存したパスキーは、公式ヘルプのとおりBluetoothでパソコンとの近さを確認する仕組みのため、離れた場所にあるVPSでどのように使えるかは、会社や環境ごとに確認が必要です（要確認）。
外部の環境に認証情報を置くリスク
先に挙げた告知のように、外部のクラウドサービス自体が不正アクセスを受けると、その上で保存していたパスワードなどが悪用されるおそれがあります。VPSを使う場合は、次の点を確認しておいてください。
- VPSのログインパスワードとMT5のパスワードを使い回していないか
- VPSの管理画面にも多要素認証などの保護を設定しているか
- EAの提供元などの第三者に、MT5のパスワードやワンタイムパスワードを渡していないか
- 不要になったVPSや、使っていない口座のログイン情報を残したままにしていないか
EAそのものの仕組みや、使う前にデモ口座で確認したい項目は、EA（自動売買）とは？仕組み・バックテストの限界・使う前にデモ口座で確認する項目で整理しています。
スマートフォンの機種変更・紛失に備える
MT5の公式ヘルプでは、コードを生成していたスマートフォンが使えなくなった場合は、会社に連絡して生成元との連携を解除してもらうよう案内されています。生成元を別の端末に切り替えるときは、先に今の設定を無効にする必要があり、パソコン版で無効にする場合は古い生成元のコードが求められます。パスキーは、ログイン中に「Passkey Manager」で削除できます。
機種変更をするときは、古い端末が使えるうちに、会社の手順に沿って設定の移行や解除を済ませておくと、ログインできなくなる事態を避けやすくなります。紛失した場合は、会社の公式の窓口へ早めに連絡してください。
よくある質問（FAQ）
多要素認証を設定しないと、MT5にログインできなくなりますか？
会社によって異なります。国内のある会社は、2026年10月31日以降は多要素認証の設定を済ませないとMT5にログインできなくなると告知しています（2026年11月10日時点）。必須かどうかと期限は、取引する会社の公式の告知で確認してください。
ワンタイムパスワードとパスキーは、どちらを使えばよいですか？
使える方式は会社の設定で決まるため、会社の告知で指定された方式に従ってください。MT5の公式ヘルプでは、パスキーはワンタイムパスワードの入力より便利で安全な場合があると説明されていますが、保存した端末やBluetoothが使える環境が必要です。
ワンタイムパスワードを入力しても受け付けられないのはなぜですか？
スマートフォンの時刻がずれているか、30秒の有効時間が切れたコードを入力している可能性があります。端末の時刻を自動で合わせる設定にし、新しく表示されたコードを入力してください。口座番号やサーバー名の取り違えも確認してください。
スマートフォンを紛失したら、どうすればよいですか？
MT5の公式ヘルプでは、生成元の端末が使えない場合は会社に連絡して連携を解除してもらうよう案内されています。会社の公式サイトに記載された窓口へ連絡し、本人確認などの指示に従ってください。
多要素認証を設定すれば、不正ログインは防げますか？
リスクを下げることはできますが、完全に防げるとは限りません。偽のサイトにコードを入力したり、第三者にコードを教えたりすると悪用されるおそれがあります。パスワードの使い回しを避けるなどの対策とあわせて使ってください。
まとめ
MT5のログインで求められる多要素認証は、パスワードに加えて、ワンタイムパスワードやパスキーといった本人の手元にある要素で確認し、不正ログインのリスクを下げる仕組みです。必須かどうか、方式と期限は会社によって異なります。
- 背景：パスワードの盗用や外部の環境への不正アクセスへの対策として、国内の一部の会社がMT5の多要素認証を必須化している
- ワンタイムパスワード：30秒ごとに変わるコードを入力する方式。端末の時刻のずれに注意する
- パスキー：端末に保存した暗号の鍵で確認する方式。保存した端末とBluetoothが必要
- ログインできないとき：口座番号・サーバー名、パスワード、認証の設定、端末の時刻、会社の告知の順に確認する
- VPS利用時：再起動や再接続時の手順を事前に試し、認証情報の使い回しや第三者への共有を避ける
まずは取引する会社の公式の告知で方式と期限を確認し、期限より前に設定とログインの確認を済ませておいてください。
