認証方式を変更するときは、先に予備の認証手段と復旧方法を用意してください。

SMS認証の意味

二要素認証は、パスワードのような知識情報と、スマートフォンや認証アプリのような別の要素を組み合わせて本人確認を行う仕組みです。

SMS認証では、サービスが登録済みの電話番号へ確認コードを送ります。

利用者はパスワードに加えて、その端末で受信したコードを入力します。

パスワードだけを使う状態より確認を一つ増やせますが、電話番号、SIM、端末、通信会社の手続きに依存します。

認証コードは、他人から求められても伝えないでください。

SMS認証が防ぎやすい攻撃

SMS認証を設定すると、パスワードだけを入手した第三者が、そのままログインできる可能性を下げられます。

特に、複数のサービスへ同じパスワードを試す自動的なログインには、追加の認証が障壁になります。

ただし、SMS認証が有効でも、ログイン通知や確認コードが届いた事実を見逃さない運用が必要です。

コードが届いたときの状態別の初動

  • 届いただけで入力していない場合：コードを誰にも伝えず、SMS内のリンクから操作しません。届いただけでは不正ログインの成功は判断できません。公式アプリや保存済みのブックマークから、最近のログインと登録電話番号を確認します。
  • 偽サイトへパスワードやコードを入力した場合：入力を止め、公式サイトからパスワードを変更します。不審なログイン済み端末、認証方法、復旧用の連絡先も確認してください。ログインできなければ公式の復旧手順へ移り、金融や決済の情報を入力した場合は、その会社へすぐに連絡します。
  • 突然通話もSMSも使えなくなり、身に覚えのない契約変更もある場合：別の電話や契約書類から通信会社の公式窓口へ連絡し、SIM再発行や電話番号の移転が行われていないか確認します。圏外だけで不正利用と断定せず、障害情報も確認してください。

Googleなら、アカウント保護の公式手順で、セキュリティイベント、使用中のデバイス、復旧情報を確認できます。入力後の対応は不正ログインされた場合の初期対応も参照してください。

パスワードを使い回している場合は、パスワード使い回しの危険性と対策で移行の順番を確認します。

SMS認証で防げない攻撃

SMS認証には、次のような限界があります。

リアルタイムフィッシング

偽サイトが入力内容を受け取ると同時に、正規サイトへログインを試みることがあります。

利用者が正規サイトから届いたコードを偽サイトへ入力すると、攻撃者へコードが渡る可能性があります。

SMS認証を使っていても、リンク先の画面にコードを入力する前に、公式アプリや公式サイトから操作をやり直してください。

SIMの再発行や電話番号の不正利用

電話番号を別のSIMへ移す不正な手続きが行われると、SMSを受信する端末が変わる可能性があります。

通信会社の本人確認や契約状況を確認し、身に覚えのない変更があれば通信会社へ連絡します。

端末の盗難やロック解除

SMSを受信する端末そのものを使われると、SMS認証だけでは端末内の情報を守れません。

画面ロック、端末検索、盗難時の保護機能、銀行や決済アプリの追加認証を別に設定してください。

認証コードの詐取

サポート担当者や家族を装ってコードを聞き出す手口があります。

正規サービスの担当者だと名乗る相手から電話やメッセージで認証コードを求められても、コードは伝えません。

SMS、認証アプリ、パスキー、セキュリティキーの比較

方法使う要素注意点
SMS認証登録電話番号と受信端末SIM、電話番号、端末の状態に依存します。
認証アプリ登録した端末やアプリ電話番号に頼らず使えますが、表示コードを偽サイトに入力すると盗まれます。紛失時の復旧手段も用意します。
パスキー端末のロック解除や生体認証サービスと端末の対応、同期、予備手段を確認します。
セキュリティキー物理キー対応サービス、端子、予備キー、紛失時の復旧を確認します。

パスキーやFIDO対応のセキュリティキーは、偽サイトへコードを入力する方式と比べて、フィッシングへの耐性を高められます。認証アプリのワンタイムコードとは分けて選んでください。

ただし、どの方式でも端末紛失、アカウント復旧、登録情報の変更を別に管理する必要があります。

アカウントの重要度ごとの選択

サービスの知名度だけでは、侵害時にどの復旧経路や他アカウントへ影響が及ぶか分からないため、認証方式は影響範囲を基準に選びます。

最初に強化するアカウント

メール、AppleやGoogleなどの基盤アカウント、パスワード保管先、金融、決済を優先します。

これらは、他のサービスの復旧メールや認証手段につながるためです。

次に強化するアカウント

SNS、通販、クラウド、仕事用のアカウントを確認します。

管理者権限や機密情報を持つ仕事用アカウントは、組織の規程と管理者の案内を優先してください。

優先順位の決め方は、2段階認証を設定するアカウントの優先順位で整理しています。

設定と復旧手段

認証方式の変更は、ログインできる状態で行います。

  1. サービスの公式サイトや公式アプリから認証設定を開きます。
  2. SMS認証を有効にする場合は、登録電話番号が正しいか確認します。
  3. 認証アプリ、パスキー、セキュリティキーを追加できるか確認します。
  4. リカバリーコード、予備端末、予備キーなどの復旧手段を用意します。
  5. 新しい認証方法でログインでき、予備手段も確保できた後で、古い方法を残すか削除するか判断します。

認証方法を一つだけ残すと、その端末やキーを失ったときに復旧できなくなる場合があります。

リカバリーコードは、紛失に備えるスマートフォンだけに保存せず、他人から見られない場所で保管してください。

セキュリティキーの登録と紛失時の復旧は、物理セキュリティキーYubiKeyとはで確認できます。

Googleアカウントで設定する場合

  1. Googleアカウントを開き、対象のメールアドレスか確認します。「セキュリティとログイン」から「Googleにログインする方法」の「2段階認証プロセス」を開きます。未設定の場合は有効にする案内に進みます。
  2. 利用できる認証方法を追加します。パスキーならパスキーの設定で作成します。共有端末には作成せず、自分の端末を使ってください。作成後に利用できるまで時間がかかる場合があります。
  3. 「2段階認証プロセス」の「バックアップコード」から予備のコードを用意します。高度な保護機能プログラムでは、このコードをダウンロードできないため、対象の公式案内で予備手段を確認します。

操作の入口はGoogleの2段階認証の案内で確認できます。仕事や学校のアカウントでは管理者が方法を制限する場合があります。設定できないときは、規程を確認して管理者へ相談してください。

移行が終わったかの確認

  • 設定一覧に意図した認証方法が登録され、登録先の端末や電話番号が自分のものと確認できた
  • 現在ログイン中の端末は残したまま、自分の別端末や別のブラウザから新しい方法でログインできた
  • そのスマートフォンがなくても使える予備手段の保管場所と、公式の復旧窓口を確認した

いつもの端末で追加認証が出ないだけでは、新しい方法を試せたことにはなりません。確認できない場合は古い方法を先に削除せず、公式手順を見直します。

Googleのバックアップコードは1回使うと無効になり、新しいセットを発行すると古いセットも無効になります。使ったものを区別し、更新したら保管中の古い控えも取り違えないようにします。バックアップコードの公式手順を確認してください。

Googleではパスキーを追加しても、既存の認証方法や復旧手段は自動で削除されません。電話番号がどの用途に残るか、パスキーの案内と設定一覧で確認します。ログイン成功だけで、過去の不正利用がなかったとは判断できません。

よくある質問

SMS認証は設定しないよりはよいですか？

パスワードだけの状態に追加の確認を置けるため、設定を検討する価値があります。

ただし、重要なアカウントでは、サービスが対応するよりフィッシングに強い方式も確認してください。

SMS認証があるので、フィッシングに注意しなくてよいですか？

注意が必要です。

偽サイトへパスワードや認証コードを入力すると、追加認証が攻撃者へ渡る可能性があります。

リンク先ではなく、公式アプリや公式サイトから操作を始めてください。

認証アプリへ移行したらSMSを削除してよいですか？

新しい方式でログインでき、紛失時の復旧手段も確認できてから判断します。

サービスによっては、SMSが復旧手段として残る場合があります。

削除や変更の条件は、各サービスの公式案内を確認してください。

参考資料

対応方式、登録画面、復旧条件はサービスによって変わります。

SMS認証を残すか他の方式へ移るかは、対象サービスの最新の公式案内を確認して決めてください。

執筆と確認

デジタル社会の歩き方 編集部

デジタルの困りごとを、初心者が行動を選べる順序に整理しています。

最終更新日：