1. SMS認証とは
SMS認証とは、ログイン時に、登録した携帯電話番号あてにSMS（ショートメッセージ）で確認コード（ワンタイムパスワード）を送り、それを入力させることで本人を確認する仕組みです。パスワードに加えてSMSコードを求めれば、それは多要素認証（MFA）の一種になります。特別なアプリも要らず、携帯電話さえあれば使えるため、多くのサービスで広く採用されてきました。
SMS認証は、「パスワードだけ」の状態に比べれば、確かに安全性を高めます。しかし近年、SMS認証には無視できないリスクがあることが明らかになり、より安全な方式への移行が求められるようになっています。手軽さの裏に、どんな弱点があるのでしょうか。
2. SMS認証が抱える4つのリスク
| リスク | 内容 |
|---|---|
| ① SIMスワップ | 攻撃者が本人になりすまして携帯電話番号を乗っ取り、SMSコードを自分の端末で受け取ってしまう |
| ② フィッシングによるコード窃取 | 偽サイトでパスワードとSMSコードの両方を入力させ、リアルタイムで盗んで悪用する |
| ③ SMSの傍受・盗み見 | 通信網の脆弱性を突いたSMS傍受や、ロック画面へのコード表示の盗み見 |
| ④ 端末・番号の管理問題 | 機種変更や解約、番号の再割り当てにより、意図せず他人にコードが届く可能性 |
特に深刻なのが① SIMスワップと② フィッシングによるコード窃取です。SIMスワップでは、攻撃者が巧妙な手口で携帯電話会社をだまし、被害者の電話番号を自分のSIMに移してしまいます。こうなると、SMSで届く確認コードは、すべて攻撃者の手に渡ります。海外では、これによって暗号資産やネットバンキングが不正に引き出される被害が実際に発生しています。また、②のように、精巧な偽サイトがパスワードとSMSコードを同時に盗み、その場で悪用する「中間者型フィッシング」も増加しています。SMSコードは「盗めるもの」であるがゆえに、狙われ続けているのです。
3. NISTもSMS認証の推奨度を下げている
SMS認証のリスクは、専門機関も明確に認めています。米国の政府標準を定めるNIST（米国国立標準技術研究所）は、認証ガイドライン「SP 800-63」において、SMSなど公衆電話網を使って送る確認コードを「制限付き（restricted）」の認証方式と位置づけ、より安全な方式の利用を促してきました。これは、SMS認証が「使ってはいけない」わけではないものの、リスクを認識し、より強い方式への移行を検討すべき方式であることを意味します。
つまり、「SMS認証を入れているから安心」とは言えない、というのが専門機関の見解です。SMS認証は、パスワードだけよりは良いものの、認証の到達点ではありません。次に目指すべき、より安全な方式があるのです。
4. では、どう移行すべきか——パスワードレスへ
SMS認証のリスクを踏まえ、どこへ移行すべきか。中間的な選択肢として、SMSより安全な「認証アプリ（TOTP）」やプッシュ通知型がありますが、これらもパスワードやコードが残る限り、フィッシングのリスクを完全にはなくせません。そして、最終的に目指すべき到達点は、パスワードもコードもなくす「パスワードレス認証」です。
その中核技術であるFIDO2は、SMSコードのような「盗めるコード」を一切使いません。生体認証や専用の認証器を使い、認証情報が端末の外に出ないうえ、アクセス先が本物かを技術的に確認するため、フィッシングでも、SIMスワップでも盗みようがありません。SMS認証が抱えるリスクを、根本から解消できるのです。前述のNISTをはじめ世界のセキュリティガイドラインは、最終的に求められる認証として、このフィッシング耐性の高いパスワードレス認証を明確に示しています。SMS認証はあくまで通過点。目指すゴールは、盗めるものが存在しないパスワードレスです。
5. まとめ
SMS認証は手軽で広く使われてきましたが、SIMスワップ、フィッシングによるコード窃取、傍受、番号管理の問題という複数のリスクを抱えています。NISTもSMS認証を「制限付き」と位置づけ、より安全な方式への移行を促しています。「SMS認証を入れているから安全」とは、もはや言えません。
リスクの根本原因は、SMSコードが「盗めるもの」である点にあります。これを解消する最終的な答えが、パスワードもコードもなくすパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが最終的に求めるのは、このフィッシングに強いパスワードレスです。SMS認証に頼り続けている場合は、まず自社のどの入口がSMS認証になっているかを確認し、より安全な方式への移行を検討しましょう。移行の進め方でお困りなら、専門家にご相談ください。