個人情報の流出が続く今、会員ログインは「コードを打つ認証」のままでいいのか

2026年の秋、企業や団体からの不正アクセスと個人情報の流出が続けて報じられています。

流出したメールアドレスや電話番号は、それで終わりではありません。次に届く「本物そっくりの偽メール・偽SMS」の宛先リストになります。電子認証局を運営するサイバートラスト社も、10月9日公開のブログで「流出した個人情報は次のフィッシングに使われるおそれがある」と指摘し、個人情報を扱うシステムには「フィッシング耐性のある多要素認証」が要ると述べています（出典は記事末）。

同社の記事が扱っているのは、主に社員が社内システムに入るときの認証です。この記事では、その考え方をお客さま（会員）がECサイトやネットバンキングにログインする場面に置き換えて考えます。

1. 攻撃者は、まず「ログインの鍵」を狙う

システムに入り込む方法はいくつもあります。その中で今いちばん伸びているのが、IDとパスワードなどのログイン情報をだまし取る手口です。

Microsoftの年次報告「Digital Defense Report 2026」によると、同社が観測した侵入のうち、フィッシングが入口になったものは2025年の7%から2026年は23%に増えました。正規のログイン情報を手に入れれば、攻撃者は「本人」として堂々と入れます。不審な動きとして見つけにくいのも、この手口が選ばれる理由です。

あわせて、生成AIで偽メールの日本語が自然になり、文面の違和感で見抜くのが難しくなったとも言われています。「怪しいメールは開かないように」という会員への呼びかけだけでは、守りきれなくなってきています。

2. 「多要素認証を入れている」だけでは足りない

「うちはログイン時にSMSで確認コードを送っているから大丈夫」と考える企業は多いと思います。ただ、確認コードを打たせる方式には弱点があります。

• 偽サイトにコードを打たせれば、そのまま横取りできる 利用者は偽のログイン画面にIDとパスワードを入れ、続けて届いたコードも入れてしまいます。攻撃者はそれを裏で本物のサイトに流し込み、ログインを完了させます（中間者型のフィッシング）。
• SMS自体を奪われる SIMの再発行を悪用して電話番号を乗っ取る手口（SIMスワップ）では、確認コードが攻撃者の手元に届きます。

Proofpoint社は自社サイトで「乗っ取られたアカウントの59%は多要素認証で守られていた」としています。多要素認証を入れたかどうかではなく、どんな方式の多要素認証かが問われる段階に入っています。

国内でも同じ流れがあります。2025年に証券口座の乗っ取りが相次いだことを受け、日本証券業協会はガイドラインの改正を進めました。ログインや出金などの重要な操作に「フィッシング耐性のある多要素認証」を求める内容です。

3. 社員向けと会員向けは、別の問題

社員向けであれば、会社が端末を配り、そこに証明書を入れて「この端末からしか入れない」形にできます。サイバートラスト社の記事が勧めているのもこの方向です。

会員向けでは、そうはいきません。

• 会員の端末を企業が配ることはできない
• 会員にはスマートフォンに不慣れな高齢の方もいる
• 手順が一つ増えるたびに、ログインの途中でやめてしまう人が出る

つまり会員向けには、「強さ」と「誰でも迷わず使えること」を両立させる必要があります。ここが、社員向けとは違う難しさです。

4. 会員ログインの選択肢を比べる

パスキーはこの中でも強い方式で、導入を進める価値があります。一方で、会員全員がすぐに登録できるとは限りません。パスキーを使える人にはパスキーを、使えない人やSMSで困っている人には別の強い選択肢を、と組み合わせて考えるのが現実的です。

5. Infront Securityの電話発信認証

Infront Securityの電話発信認証は、会員がログイン画面のボタンを押し、スマートフォンから指定の番号に1回電話をかけるだけで本人確認が終わる仕組みです。通話料はかからず、かかる時間は約1秒です。

• 打ち込むコードが無い 偽サイトに入力させる「コード」がそもそも存在しません。
• 回線と端末をあわせて確かめる 発信した電話番号と、使っている端末の情報をサーバー側で照合します。同じ端末からの次回以降のログインは、端末の照合だけで済みます。
• 音声回線の契約には公的な本人確認が要る 携帯電話の音声回線は契約時に本人確認が義務付けられているため、身元のたどれる回線を鍵にできます。
• SMSの送信費がかからない 会員が発信する方式なので、企業側にSMSの送信費は発生しません。
• 使う場所を選べる ログインだけでなく、高額の注文、送金や出金、登録情報の変更など、狙われやすい操作の直前にだけ入れることもできます。

通販の再春館製薬所様では、導入によってログイン完了率が最大45%向上し、カゴ落ちも35%減りました。守りを固めることと、会員が迷わずログインできることは両立できます。

6. まず、自社の「コードを打たせている場所」を洗い出す

流出が続く今、会員ログインの見直しはまず次の確認から始められます。

• □ ログイン時に、SMSやメールの確認コードを打たせていないか
• □ 送金・出金・登録情報の変更・高額注文の前に、本人確認を入れているか
• □ パスワード忘れの問い合わせが、コールセンターの負担になっていないか
• □ SMSが届かない・再送が多いといった声が出ていないか
• □ 高齢の会員がログインの途中でやめていないか

一つでも当てはまれば、見直しの余地があります。Infront Securityでは、貴社サイトのどこで本人確認をしているかを洗い出し、方式ごとの強さと使いやすさを整理する「信頼設計の無料診断」を行っています。お気軽にご相談ください。

信頼設計の無料診断を申し込む