1. 「OTPがあれば安全」は過去の常識
ワンタイムパスワード（OTP：一度きりの使い捨て確認コード）は、長らく「これがあれば安全」と信じられてきました。SMSや認証アプリで届く6桁のコードを入力する——多くの人にとって、これは「しっかり守られている」実感を伴う操作でしょう。しかし、その常識は、もはや通用しなくなっています。
近年、OTPを突破する攻撃が、専門知識のない攻撃者でも実行できるほど「道具化」し、現実に多発しているのです。OTPを盗むための攻撃ツールが地下市場で売買され、大手企業や個人が被害に遭う事例が後を絶ちません。本記事では、OTPが「危険」とされる具体的な手口を明らかにし、そのうえで根本的に安全な認証への道筋を示します。OTPの仕組みそのものについてはワンタイムパスワード（OTP）とはもあわせてご覧ください。
重要な注意
本記事は、OTPが「無意味」だと言うものではありません。パスワードだけの状態に比べれば、OTP付きの多要素認証は明確に安全です。しかし、OTPは認証の到達点ではなく、突破されうる限界がある——この事実を正しく理解することが、次の一手につながります。
2. OTPが突破される4つの手口
| 手口 | 内容 |
|---|---|
| ① リアルタイムフィッシング（AiTM） | 本物そっくりの偽サイトが、パスワードとOTPを利用者に入力させ、その一瞬で本物のサイトへ中継してログインを乗っ取る |
| ② OTPボット（自動音声・SMS詐欺） | 攻撃者の用意した自動音声やSMSが「本人確認のためコードを入力してください」と装い、被害者に届いたOTPを喋らせて・入力させて盗む |
| ③ SIMスワップ | 攻撃者が携帯電話番号を乗っ取り、SMSで届くOTPを自分の端末で受信する |
| ④ リアルタイム中継の踏み台化 | 盗んだOTPが有効な数十秒のうちに、攻撃者が即座に悪用する |
最も深刻なのが① リアルタイムフィッシング（AiTM：Adversary-in-the-Middle）です。攻撃者は、本物のログイン画面をそっくり中継する「フィッシングキット」を使います。被害者が偽サイトにパスワードとOTPを入力すると、その情報はリアルタイムで本物のサイトへ転送され、攻撃者がログインしてしまいます。さらに、ログイン後の「セッション情報」まで盗まれると、以降はOTPすら不要で侵入され続けます。こうしたフィッシングキットは既製品として流通しており、OTPの突破は、もはや高度な技術を持たない攻撃者にも可能になっているのです。
② OTPボットも広がっています。攻撃者は、まず何らかの方法で入手したID・パスワードでログインを試みます。すると本人にOTPが届きます。そこへ、銀行などを装った自動音声やSMSが「セキュリティ確認のため、届いた番号を入力してください」と誘導し、被害者自身にOTPを教えさせるのです。③ SIMスワップでは、電話番号ごと乗っ取られ、SMSのOTPが攻撃者に届きます。海外では、この手口で暗号資産が不正に引き出される被害が実際に報告されています。
OTPだけに頼る認証、見直しませんか？
OTP突破の脅威に対し、根本的に安全なパスワードレスへ。Net Peaceが、自社に合った認証強化をご提案します。
3. なぜOTPは突破されるのか——共通する弱点
これらの手口には、たった一つの共通した弱点があります。それは、OTPが「人が見て、手で入力する、盗めるコード」であることです。
OTPは「使い捨て」で「短時間で失効」しますが、逆に言えば、その短い有効時間の中で盗んで使えば突破できるのです。リアルタイムフィッシングもOTPボットも、この「盗んで、すぐ使う」を実行しているにすぎません。そして厄介なことに、OTPは利用者自身が入力するため、「偽サイトに入力してしまう」「電話で教えてしまう」という、人の判断ミスを突かれます。どれだけ注意しても、精巧な偽サイトや巧妙な誘導を、人間が100%見抜くのは不可能です。つまり、OTPの危険性は、「盗めるコードを、人が入力する」という仕組みそのものに内在しているのです。この構造がある限り、対策を重ねても、突破のリスクをゼロにはできません。
4. 当面できる対策と、その限界
OTPを使い続ける場合、当面できる対策はあります。
- SMS型より認証アプリ（TOTP）を使う：SIMスワップや傍受のリスクを減らせます（ただしフィッシングには依然弱い）。
- OTPを絶対に他人に教えない教育：「電話やSMSでコードを聞かれても入力・返答しない」を徹底します。
- 不審なログインの検知：普段と違う場所・端末からのログインを検知し、警告します。
これらは有効ですが、いずれも「盗めるコードを、人が入力する」という根本の弱点は解消しません。教育をしても、精巧なフィッシングは人を欺きます。検知は、すり抜けられることがあります。当面の対策は「被害の確率を下げる」ものであって、「危険性をなくす」ものではないのです。では、危険性そのものをなくすには、どうすればよいのでしょうか。
5. 根本的に安全な答え——パスワードレス
OTPの危険性を根本からなくす答えが、パスワードもOTPも使わない「パスワードレス認証」です。
その中核技術であるFIDO2は、そもそも「人が入力するコード」を使いません。認証は、利用者の端末内に安全に保管された鍵と生体認証などで完結し、認証情報が端末の外に出ることがありません。そして決定的なのは、FIDO2は「今アクセスしているサイトが本物かどうか」を技術的に検証する点です。偽サイトに対しては、そもそも認証情報を返しません。だから、リアルタイムフィッシングは原理的に成立しません。OTPボットも、SIMスワップも、盗めるコードが存在しない以上、狙いようがなくなります。OTPが抱えるすべての危険性が、仕組みのレベルで消えるのです。
だからこそ、米国NISTをはじめ世界のセキュリティガイドラインは、SMSやOTPの限界を明記したうえで、最終的に求められる認証として、このフィッシング耐性の高いパスワードレス認証を明確に示しています。OTPは、パスワードだけの状態から前進する手段としては有効です。しかし、その危険性を直視するなら、目指すべきゴールは、盗めるコードそのものが存在しないパスワードレスなのです。
6. まとめ
ワンタイムパスワード（OTP）は、「あれば安全」とは言えなくなりました。リアルタイムフィッシング（AiTM）、OTPボット、SIMスワップといった手口が道具化し、OTPは現実に突破されています。その原因は、OTPが「人が入力する、盗めるコード」であるという仕組みそのものに内在しており、教育や検知といった当面の対策では、危険性をゼロにできません。
危険性を根本からなくす答えは、パスワードもOTPも使わないパスワードレス認証（FIDO2/パスキー）です。フィッシングが原理的に成立しないため、OTPが抱える危険性が仕組みごと消えます。世界のガイドラインが最終的に求めるのも、このフィッシングに強いパスワードレスです。OTPに頼った認証を続けているなら、まず自社のどの入口がOTP頼みになっているかを確認し、パスワードレスへの移行を検討しましょう。進め方でお困りなら、専門家にご相談ください。