Squareの認証コードが勝手に届くのはなぜ？ 乗っ取りとの見分け方

※本記事にはアフィリエイト広告（プロモーション）が含まれます。

深夜に、Squareから認証コードが届く。自分は何も操作していない。

同じ状況の人が検索しているのが分かります。英語のRedditにも知恵袋にも、同じ質問が並んでいました。

先に言うと、放っておく話ではありません。2段階認証のコードは、パスワードの次に送られてくるものだからです。

コードは、パスワードの次に送られてくる

Squareのログインは2段階です。メールアドレスとパスワードを入れて、それが通ったら、SMSか認証アプリのコードを入れる。

だとすると、自分が操作していないのに認証コードが届いたということは、1段階目まで進んだ誰かがいるという読み方になります。パスワードが割れているかもしれない、ということです。必ずそうだと決まったわけではありません。確かめずに放置する理由もない。

正規のコードが届くパターンもあります。Squareのサポートに問い合わせをすると、本人確認のためにメールや電話番号へワンタイムパスコードが送られることがある。自分で問い合わせた覚えがあるなら、それです。

乗っ取りに要るのは、メールアドレスとパスワードだけ

ヘルプははっきり書いています。乗っ取りに必要なのは、加盟店のメールアドレスとパスワードへのアクセスのみ。

起きることも3つ並んでいます。チャージバック。売上の損失。そしてハッカーが事業を装った場合、評判を損なう。3つ目が地味に重い。自分の店の名前で、知らない請求が飛ぶということです。

パスワードの使い回しについても一行あります。メールや銀行やネットショップでSquareと同じものを使っていると、そのどれかが破られた時点でSquareにも入れてしまう。

先にやること

順番があります。

2段階認証の方法は、SMSか認証アプリ。Google Authenticator、Microsoft Authenticator、Authyが挙がっています。認証アプリは一度に1つしか使えません。予備がほしいなら、電話番号を足す形になります。

毎回コードを入れるのが面倒なら、[この端末を90日間記憶する] があります。入力は90日ごと。

スタッフ向けの2段階認証は、自分の設定とは別の場所（加盟店さまの事業 > セキュリティ）にあります。オンにすると、既存のスタッフには手順のメールが届く。

Squareが絶対に聞かないこと

ここを覚えておくと、迷わなくなります。

Squareが、銀行口座の詳細やクレジットカード情報を、メール・電話・SMSで尋ねることは決してありません。ヘルプの原文が「決して」と書いています。聞いてきた時点で偽物です。

ログイン画面の見分け方も具体的でした。アドレスバーのURLが https://squareup.com/login で、その隣に鍵のかかったBlock, Inc.のアイコンが出ているか。Squareの運営会社はBlockなので、ここが別の名前なら入力しない。

不審なメールが来たときの扱いも決まっています。返信しない。知らないリンクを踏まない。添付を開かない。Squareメッセンジャーや請求書、契約書、見積もりの形で覚えのない支払いを求められても、返信も支払いもしない。

報告のしかたが少し面白い。メールのフッターにある [メッセージをSquareに報告] を押すのですが、ヘルプにはそのリンク自体がフィッシングでないことを確かめる方法まで書いてあります。リンクにカーソルを合わせて、URLが profile.squareup.com/report-message であること。報告ボタンすら偽装される前提です。

フッターにその表示がなければ、spoof@squareup.com に転送する。

送る側の注意もありました。マイナンバーカードや身分証の写し、カード番号、生年月日といった個人を特定できる情報を、暗号化されていないメールで送らないこと。Square自身がこうした情報を送るときは、SendSafelyという暗号化サービスを経由しています。サポートとのやり取りで身分証をそのまま添付したくなったら、思い出すところです。

もうログインできなくなっていたら

自分のアカウントに入れないなら、乗っ取られた可能性があります。

サポートへの連絡にはコツがあって、リクエストにSquareアカウントに登録されているメールアドレスと電話番号を必ず入れるよう書かれています。ここが抜けると照合が進みません。

スマートフォンが手元になくて認証コードを受け取れない、という状況なら、電話でサポートに問い合わせる案内になっています。

なお、入れない理由が乗っ取りではなく、Square側に止められているケースもあります。その見分けはアカウント停止の記事のほうです。

認証コード以外の「確認」メールもある

Squareは取引をリアルタイムで見ていて、詐欺の可能性が高いと判断すると、加盟店にメールで知らせてきます。

このメールが来たときの指示がはっきりしています。調査中の注文を発送しない。Squareから連絡が来るまで、その客からの支払いを受け付けない。確認は通常2営業日以内で、結果は2通目のメールで届きます。

これも覚えておくといい一行。カード名義人に関する情報は、書面でもシステム上でもアプリ内でも、決して保管しない。本人確認のためにカードのコピーを見せてもらうことはあっても、控えを残してはいけません。

チャージバックそのものの流れはチャージバックの記事に書きました。

身に覚えのないコードは、通知ではなく、1段階目を抜けられた合図として読む。

コードが1回来ただけなら、まだ何も起きていない。それは言えます。その1回が、メールアドレスとパスワードをどこかで試された記録であることも、同時に言えます。

やることはひとつです。パスワードを変えて、2段階認証を入れる。それ以上でも以下でもありません。

これから使う人なら、アカウントを有効化する段階で2段階認証を求められます。最初から入れておけば、この記事の中身は一度も必要になりません。アカウントの作成自体は無料です。

Squareの無料アカウント作成はこちら（公式サイト）

出典（いずれも2026年9月23日に確認）
Squareヘルプセンター「不審なアクティビティを検知・報告する」
Squareヘルプセンター「フィッシング詐欺を検知・報告する」
Squareヘルプセンター「2段階認証」
Squareヘルプセンター「詐欺や不正行為の兆候を検知・報告する」