1. 認証アプリ（TOTP）とは
認証アプリとは、スマートフォンにインストールして使う、使い捨ての確認コード（ワンタイムパスワード）を生成するためのアプリです。Google Authenticator、Microsoft Authenticator、あるいは各種パスワードマネージャーに内蔵された機能などが代表例です。ログイン時に、アプリに表示される6桁程度のコードを入力することで、本人確認を行います。
この認証アプリが生成するコードの仕組みがTOTP（Time-based One-Time Password：時刻ベースのワンタイムパスワード）です。パスワード（知識要素）に加えて、この認証アプリのコード（所持要素）を求めることで、多要素認証（MFA）が実現します。SMS認証に代わる、より安全な多要素認証の手段として、広く推奨・利用されています。
2. 仕組み——なぜアプリだけでコードが出るのか
「通信もしていないのに、なぜアプリとサーバーで同じコードが出るのか」——不思議に思う方も多いでしょう。TOTPの仕組みは、次のようになっています。
- 初期設定：サービス登録時に、サーバーとアプリが「秘密の鍵（シークレット）」を共有します（QRコードを読み取る場面がこれです）。
- コード生成：アプリは、この「秘密の鍵」と「現在時刻」を組み合わせて計算し、コードを生成します。サーバーも同じ計算をします。
- 照合：両者が同じ鍵と同じ時刻から計算するので、同じコードが出ます。これが一致すれば本人と確認できます。
ポイントは、コードが「時刻」に基づいて約30秒ごとに変わることです。だからコードは常に使い捨てで、通信を介さずにアプリ内だけで生成されます。SMSのようにネットワークを通じて送られないため、通信経路で盗まれる心配がありません。
3. SMS認証との違いと安全性
| 観点 | 認証アプリ（TOTP） | SMS認証 |
|---|---|---|
| コードの届き方 | アプリ内で生成（通信不要） | SMSで送信（通信経由） |
| SIMスワップ耐性 | 影響を受けない | 乗っ取られるとコードを奪われる |
| 傍受リスク | 低い（通信しない） | 通信網の脆弱性で傍受されうる |
| 電波・圏外 | 圏外でも使える | 受信できないと使えない |
表の通り、認証アプリ（TOTP）は、SMS認証が抱えるSIMスワップや傍受のリスクを回避できる点で、明確に安全です。コードが通信を介さずアプリ内で完結するためです。前述の通りNISTもSMS認証を「制限付き」としており、SMS認証を使っているなら、まず認証アプリへ切り替えるだけでも安全性が高まります。認証アプリは、手軽に導入できる、良質な多要素認証の手段と言えます。
4. 認証アプリにも残る限界
認証アプリはSMS認証より安全ですが、それでも「限界」があります。その理由は、認証アプリのコードもまた、「人が見て、手で入力する、盗めるコード」である点にあります。
近年増加している「中間者型（AiTM）フィッシング」では、精巧な偽サイトが、パスワードと認証アプリのコードの両方を利用者に入力させ、それをリアルタイムで盗んで本物のサイトへ流し込みます。認証アプリのコードは通信で送られないため傍受には強いのですが、利用者自身が偽サイトにコードを入力してしまえば、盗まれてしまうのです。TOTPは、SMSの弱点は克服しても、この「フィッシングでコードを入力させられる」弱点は残しています。認証アプリも、認証の最終到達点ではないのです。
5. 限界を超える答え——パスワードレス
認証アプリの限界を超える答えが、パスワードもコードもなくす「パスワードレス認証」です。
その中核技術であるFIDO2は、認証アプリのTOTPと異なり、「人が入力するコード」を使いません。認証は端末内の鍵と生体認証などで行われ、しかもアクセス先のサイトが本物かどうかを技術的に確認するため、偽サイトには認証情報が渡りません。つまり、認証アプリで残っていた「フィッシングでコードを入力させられる」弱点が、原理的に成立しなくなるのです。同じ「スマホを使う認証」でも、コードを手入力するTOTPと、フィッシングに強いFIDO2（パスキー）では、安全性の次元が違います。両者の比較はFIDO2とTOTPの違いで詳しく解説しています。
米国NISTをはじめ世界のセキュリティガイドラインは、最終的に求められる認証として、このフィッシング耐性の高いパスワードレス認証を明確に示しています。認証アプリは、SMS認証から前進する優れた選択肢です。しかし、その限界まで見据えるなら、目指すべきゴールは、盗めるコードすら存在しないパスワードレスなのです。
6. まとめ
認証アプリ（TOTP）とは、時刻に基づく使い捨てコードをスマホ内で生成するアプリで、SMS認証が抱えるSIMスワップや傍受のリスクを回避できる、安全性の高い多要素認証の手段です。SMS認証を使っているなら、まず認証アプリへ切り替えるだけでも、安全性は大きく高まります。
一方で、認証アプリのコードも「人が入力する、盗めるコード」である以上、中間者型フィッシングで突破されうる限界を残しています。この限界を超える答えが、パスワードもコードもなくすパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが最終的に求めるのは、このフィッシングに強いパスワードレスです。認証アプリを活用しつつ、その先のパスワードレスを見据えて認証を強化していきましょう。進め方でお困りなら、専門家にご相談ください。