MT4とMT5のセキュリティの違いは？パスキー対応と、パスワードが無力化される場面

GMO（お名前ドットコム）の衝撃的なVPS被害を受け、MT4、MT5のセキュリティレベルと違いについて調査しました。

MT4とMT5のセキュリティの最大の違いはログインの守りに出ています。MT5は、2022年11月にGoogle Authenticatorなどの認証アプリを使う2段階認証、2026年7月にパスキー認証が入りました。
ただし、MT4にも2015年から自前の2段階認証（ワンタイムパスワード）はあります。

MT4とMT5のセキュリティの違いは？公式資料で確かめた表

項目	MT4	MT5	出典
ワンタイムパスワード（OTP）	あり（スマホアプリで生成。2015年〜）	あり	公式
認証アプリでの2段階認証（Google Authenticatorなど）	公式資料では確認できず。私が実機で見る限りも無さそう。	あり（build 3520・2022年11月25日〜。口座で使えなければブローカーに問い合わせ）	公式
パスキー	公式資料では確認できず	あり（build 6060・2026年7月23日〜。ブローカーが対応した口座のみ）	公式
パスワードの決まり	公式ヘルプに記載なし※古い口座は簡易なパスワード生成が可能であった。そのまま使っている人はMT5式に変更を推奨します	小文字・大文字・数字・記号の4種類が必要	公式
MT4から移した口座	－	移行後の初回接続で、パスワードの長さを検査（build 5326・2025年10月）	公式
AIアシスタントの安全設定	確認できず	AIの操作は、設定で管理（build 6060）	公式
2026年のセキュリティ関連の更新	公式ノートに「セキュリティ強化」の記載あり（build 1460＝3月5日、build 1490＝10月2日。2026年は計3ビルド）	公式の一覧で10ビルド（build 5572〜6230）。パスキーは build 6060	公式
EX4／EX5の解析対策	MQL5 Cloud Protectorで保護（公式の説明は両方に同じ）	同左	公式
公開された脆弱性番号（CVE）	0件	0件	NVD（2026年10月26日）

出典：MT5 build 6060／MT5 build 5326／MT5 build 3520／MT5ヘルプ／MT4ヘルプ／MT4 iOS（OTP）／MT4 build 1460／MT4 build 1490／MQL5 Cloud Protector／NVD（「MetaQuotes」で検索）

ワンタイムパスワードと認証アプリの2段階認証はどちらも同じ考え方で、時間別の使い捨てパスワードを生成して使います。
違うのはワンタイムパスワード（数字）を作るアプリです。MT4はMetaTraderのスマホアプリで作る自家製。MT5は、Google Authenticatorなどの一般的な認証アプリでも作れます。

「確認できず」は、「無い」ではありません。公式で裏が取れなかったところは、断定せずにそう書きました。

公開された脆弱性は、MT4もMT5も0件

2026年10月26日、米国の脆弱性データベース（NVD）で検索しました。

「MetaQuotes」：0件
「MetaTrader」：1件。ただし第三者が作った、MT4と連携する外部の別ソフトのもの。MT4・MT5本体ではありません

MetaQuotesの注意喚起も、見つかりませんでした。

結果を見れば、0件と0件で優位性に違いはありません。ただしこれは結果から見る判定であって、内部システムの堅牢性の比較ではありません。

パスワードもパスキーも、無力なケース（恐ろし

パスキーは、ログインの瞬間を守る仕組みです。では、ログインしたあとは？

GMOのFX自動売買VPSの被害がまさにそれでした。VPSの中で、ログイン済みの口座が動いていた。そこを操作されれば、ログインを破る必要がありません。頭隠して尻隠さず、ビン坊ちゃまは後ろから見ると尻丸出し。そんな無防備な感じです。

対策はこちらに列挙しました：PHPの脆弱性とGMOのFX VPS被害、及び当サイトのPHP状況の報告

この方法は地味ながら、最新の防御システムなどを必要とせず、プログラムに無知でも誰でもできる対策として機能します。

例：

VPSで使う口座と、自宅で使う口座を分ける
1つの口座に、資金を集めない
身に覚えのない取引がないか、履歴を見る

乗り換えを機に、確かめる3つ

MT5に移る際、これを機にガードを高めておきましょう。

口座のパスワードを、他のサイトと使い回していないか。MT5は4種類の文字を求めます。MT4から移した口座は、初回の接続で長さも検査されます
自分の口座が、認証アプリでの2段階認証やパスキーに対応しているか。対応は、ブローカーが決めます
DLLの許可を求めるEA・インジは、出所を確かめる。DLLは、MT4・MT5の外側のプログラムを呼び出せます。これはどちらも同じです。信用できない販売者からのEAやインジは注意しましょう。これは私に対しても同じです。単に「無料だから使う」のでなく、私のブログやメルマガなどから信用に足る人物かどうかご自身で判断してください。もちろん、私以外に対しても同じです。これからの時代、弱者を狙った不穏なツールが急増する可能性があります。勧められるままに、ほいほいダウンロードしていたら、まさに情弱ホイホイです。加害者の悪意は非難すべきですが、被害者の無邪気さも良し悪しです。自衛できるのは自分だけですからね。

よくある質問

Q. MT4に2段階認証はありますか？

A. あります。スマホアプリでワンタイムパスワードを作る方式が、2015年9月からです。ブローカーが有効にしている口座で使えます。

Google Authenticatorなどの認証アプリを使う方式は、MT5で2022年11月の build 3520 から使えます。MT4での対応は、公式資料では確認できませんでした。

Q. パスキーは、必須ですか？

A. いいえ。パスワードでのログインは残ります。パスキーは、パスワードに加える2つ目の鍵です。使えるのは、ブローカーが対応させた口座だけです。

Q. EAのex4やex5は、解析されませんか？

A. MetaQuotesは、MQL5 Cloud Protectorで保護したEX4／EX5は、解析から確実に守られると説明しています。ただし、技術的な根拠は公開されていません。この説明は、MT4とMT5で同じです。尚、プログラム言語の特性からはMT5（ex5）の方が堅牢性が高いとされています。

Q. 結局、安全なのはMT4とMT5のどちらですか？

A. 公式資料で確かめられた範囲では、ログインの守りはMT5が一歩先です（認証アプリでの2段階認証と、パスキー）。公開された脆弱性番号は、どちらも0件でした。ただ、被害に近いのは本体ではなく、VPS・DLL・パスワードの使い回しといった運用のほうだと考えます。
MT5だから安心と考えるのでなく自分自身の運用環境を把握するのが安全の第一歩です。