SMS認証の落とし穴と、認証アプリ・パスキーへの乗り換え方

ネットバンキングやSNSにログインするとき、スマホにショートメッセージ（SMS）で届く数字のコードを入力した経験がある方は多いでしょう。これは二段階認証（2FA）と呼ばれる仕組みで、パスワードだけに頼るより安全性が高まります。ただしSMSによる認証には、あまり知られていない弱点があります。ここでは、SMSコードのリスクと、より安全な認証アプリ・パスキーへの移行方法を整理します。

SMSコード認証の仕組みと弱点

SMS認証は「登録した携帯電話番号にコードを送る」という仕組みです。便利で導入しやすい反面、電話番号そのものを狙われると突破されてしまう構造的な弱さがあります。

• SIMスワップ詐欺：詐欺師が携帯電話会社に対し、本人になりすまして電話番号を別のSIMカードに移し替えさせる手口です。成功すると、被害者宛のSMSコードが詐欺師の端末に届いてしまいます。
• フィッシングサイトでの中継：偽のログイン画面にIDとパスワード、続けてSMSコードを入力させ、その場でリアルタイムに本物のサイトへ転送して不正ログインする手口があります。コード自体は正規のものでも、入力先を騙されてしまうケースです。
• SS7など通信網の脆弱性：一般的な利用者が直接狙われる可能性は低いものの、通信経路上でSMSが傍受される技術的な弱点が指摘されています。
• 紛失・盗難端末での受信：スマホの画面ロックが甘い場合、SMS通知だけでコード内容が見えてしまうこともあります。

これらはいずれも「電話番号」という、変更や乗っ取りが可能な情報に依存していることが根本的な原因です。

認証アプリ（TOTP）はなぜ安全性が高いのか

認証アプリは、スマホ内に保存された秘密鍵をもとに、一定時間ごとに変化する使い捨てコードを生成する仕組みです。この方式はTOTP（時間ベースのワンタイムパスワード）と呼ばれます。

• コードは通信回線を経由せず、端末内で計算されるため、通信の傍受やSIMスワップの影響を受けません。
• 電話番号ではなく端末そのものに紐づくため、電話番号を乗っ取られても認証は突破されにくくなります。
• 圏外やSMS遅延の影響を受けず、いつでもコードを生成できます。

ただし、認証アプリにも注意点はあります。フィッシングサイトに騙されてコードをそのまま入力してしまえば、SMSと同様に不正ログインを許してしまいます。また、機種変更時に引き継ぎ設定を忘れると、ログインできなくなるトラブルもあるため、多くのアプリにあるバックアップコードや復元機能を必ず確認しておきましょう。

パスキーという次の選択肢

パスキーは、パスワードそのものを使わずにログインする新しい方式です。端末に保存された鍵ペアを使い、指紋認証や顔認証、画面ロックの解除と組み合わせて本人確認を行います。

• パスワードや確認コードを入力する場面自体がないため、フィッシングサイトに騙されてコードを盗まれるリスクが原理的になくなります。
• サービスごとに異なる鍵が使われるため、あるサイトの情報が漏れても他のサービスへの影響が及びにくい設計になっています。
• 対応しているサービスやOSはまだ限られますが、主要なプラットフォームで対応が広がってきています。

パスキーが使えるサービスでは、積極的に設定しておくと安心です。

今日からできる乗り換えチェックリスト

• よく使うサービス（メール、SNS、ネットバンキング、クラウドストレージなど）の設定画面で「二段階認証」「セキュリティ」の項目を開く。
• SMS以外の認証方法（認証アプリ・パスキー）が用意されているか確認する。
• 認証アプリを設定する際は、必ず「バックアップコード」を印刷または安全な場所に保存する。
• 可能であれば、メインの認証方法をSMSからアプリまたはパスキーへ切り替え、SMSは緊急時の予備手段として残しておく。
• スマホ本体にも画面ロック（生体認証やパスコード）を必ず設定する。

電話やSMSでコードを聞かれたら要注意

銀行や通信会社、公的機関が、電話やSMSで確認コードそのものを尋ねてくることは基本的にありません。「本人確認のためコードを教えてください」という連絡は、ほぼ間違いなく詐欺です。

• コードを他人に伝えない、口頭でも入力代行を頼まれても応じない。
• 身に覚えのないタイミングでコードが届いたら、誰かが自分のパスワードでログインを試みているサインなので、すぐにパスワードを変更する。
• 不審な着信や留守番電話には自分から折り返さず、カードや契約書に記載された公式の番号にかけ直して確認する。
• 携帯電話会社には、SIM変更や転出に暗証番号や追加確認を必須にする設定がないか問い合わせておく。

まとめ

SMSによる二段階認証は「何もしないよりずっと良い」対策ですが、電話番号に依存する構造上、乗っ取りやフィッシングに対して万能ではありません。可能なサービスから認証アプリやパスキーへ少しずつ切り替えていくことで、日常の利便性を保ちながら、より強固な備えを整えることができます。