SMS認証の脆弱性を徹底解説：世界で加速する「脱SMS認証」の今、事業者が取るべき対策とは

認証
公開日: 2024年10月30日｜最終更新日: 2026年7月17日
SMS認証の脆弱性を徹底解説：世界で加速する「脱SMS認証」の今、事業者が取るべき対策とは

SMS認証は、その利便性と低コストから多くのオンラインサービスで広く採用されてきましたが、その脆弱性を突いた不正アクセスや不正送金の被害が深刻化しています。 リアルタイムフィッシングやSIMスワップといった、従来の二要素認証を突破する手口はすでに確立されており、インターネットバンキングの不正送金被害は2025年通年で4,747件・約104億円にのぼります(警察庁)。 こうした状況のなか、米国NIST(国立標準技術研究所)は2025年7月公開の最新ガイドラインでもSMSによるワンタイムパスワードを「制限付き(restricted)」の認証手段と位置づけているほか、GmailやGビズIDといった大手サービス・行政サービスでもSMS認証の廃止・移行の動きが相次いでいます。 本記事では、SMS認証の脆弱性の全体像と「脱SMS認証」の最新動向を整理し、事業者が取るべき具体的な対策について紹介します。

1. SMS認証を突破される被害が深刻化

被害の実態

二要素認証は、パスワードなどの知識情報に加えて、別の認証要素を組み合わせるセキュリティ手法で、これまで比較的強固な認証方式とされてきました。 なかでもSMS認証は、ユーザーの携帯電話にワンタイムパスワードを送信し、それを入力してもらうことで本人確認を行う手軽な方式として、多くのサービスで採用されています。

しかし、このSMS認証を前提とした二要素認証が、フィッシング詐欺によって突破される被害が続いています。 警察庁と金融庁の発表によると、インターネットバンキングに係る不正送金被害は、2023年に5,578件・約87.3億円と、件数・金額ともに過去最多を記録しました。 2024年も4,369件・約86.9億円と高止まりが続き、2025年は通年で4,747件・約104億円と再び被害が拡大しました。警察庁によると、その手口の約9割をフィッシングが占めています。なお、フィッシング対策協議会への2025年のフィッシング報告件数は2,454,297件と過去最多を更新しており、攻撃の母数自体が拡大し続けています。

また、2025年にはフィッシングで盗んだ認証情報を使って証券口座を乗っ取り、株式を勝手に売買する手口が社会問題化しました。金融庁によると、2025年の証券口座への不正アクセスは17,559件、不正売買額は約7,393億円にのぼります。 背景には、SMS認証を含む二要素認証を突破する手口が確立され、従来のセキュリティ対策が無力化されていることがあります。

SMS認証の普及とその限界

SMS認証が広く普及した背景には、利便性とコストの低さがあります。 携帯電話さえあれば特別なアプリやデバイスを必要とせず、既存のモバイルネットワークを活用するため導入コストも低く抑えられることから、オンラインバンキングやEコマース、SNSなど広範な分野で二要素認証の一環として採用されてきました。

しかし、こうした利便性の裏には構造的な弱点があります。 SMS認証の本質的な問題は、「その電話番号宛てのメッセージを受け取れること」だけを本人性の根拠にしている点です。 このため、ユーザーを騙してコードを入力させるフィッシング、電話番号そのものを乗っ取るSIMスワップ、携帯電話網の制御信号(SS7)の脆弱性を悪用した通信の窃取など、複数の経路で突破される可能性があります。 「SMSは暗号化されていないから危険」と説明されることがありますが、実際に国内で被害の中心となっているのは通信経路上の傍受ではなく、フィッシングとSIMスワップによる突破です。攻撃者は暗号を解読するのではなく、「正規のコードを正規の手順で受け取る(または入力させる)」ことで認証を通過してしまうのです。

以下では、SMS認証を突破する代表的な手口を順に見ていきます。

2. リアルタイムフィッシング：入力した瞬間にコードが盗まれる

リアルタイムフィッシングは、攻撃者が正規サイトそっくりの偽ログインページを用意し、ユーザーが入力したIDやパスワード、SMSで届いたワンタイムパスワードを「リアルタイムで」正規サイトへ中継する中間者型の攻撃です。 ワンタイムパスワードは短時間しか有効でないからこそ安全と考えられてきましたが、攻撃者がその有効時間内に即座にログインしてしまうため、SMS認証では防ぐことができません。 ユーザー本人が正規の手順どおりにコードを入力しているため、システム側からは正常なログインと区別がつかない点がこの手口の厄介なところです。

2025年に急増した証券口座の乗っ取りも、この中間者型フィッシングが主要な手口とされています。 リアルタイムフィッシングの詳しい仕組みと対策については、こちらの記事で解説しています。 → 関連記事: 急増するリアルタイムフィッシングの脅威と対策

3. SIMスワップ詐欺：電話番号ごと乗っ取られる

SIMスワップ詐欺は、攻撃者が被害者になりすまして携帯電話会社にSIMカードの再発行・機種変更を行わせ、電話番号そのものを乗っ取る手口です。 電話番号が攻撃者の手に渡ると、SMSで送られる認証コードはすべて攻撃者のデバイスに届くため、SMS認証は防御として機能しません。 国内でも偽造マイナンバーカードを使って機種変更手続きを行い、市議会議員らの電話番号が乗っ取られる事件が発生しており、本人確認手続きの厳格化が進められています。

SIMスワップ詐欺の具体的な手口と事例については、こちらの記事で解説しています。 → 関連記事: SIMスワップ詐欺を認証で防ぐ！

4. 使い捨て電話番号・SMS認証代行：本人でなくてもコードを受け取れる

使い捨て電話番号やSMS認証代行業者は、一時的な電話番号を提供し、自分の番号を使わずにSMS認証を通過できるサービスです。 攻撃者は、フィッシング等で事前に入手したターゲットのパスワードや個人情報と組み合わせ、こうした一時的な番号を使ってアカウント登録や認証を突破します。 SMS認証には「送信先の電話番号が本当に本人のものか」を確認する仕組みがないため、使い捨て番号でコードを受信されても、システムは正規ユーザーと見なしてしまいます。

5. 世界で加速する「脱SMS認証」の潮流

こうした脆弱性を受けて、この数年で「脱SMS認証」の動きが一気に具体化しました。

NISTが最新ガイドラインでもSMS認証を「制限付き」に分類(2025年7月) 米国NISTは2025年7月に公開したデジタルアイデンティティガイドラインの最新版「SP 800-63B Rev.4」で、SMSや音声通話(PSTN)によるワンタイムパスワードを「制限付き認証手段(restricted authenticator)」に分類しています。この分類は2017年公開の前版(Rev.3)で導入されたもので、最新版でも維持されました。 利用自体は引き続き可能なものの、SIMスワップや中間者攻撃などのリスクを組織として評価し、利用者へのリスク告知や代替手段の提供などの追加条件を満たすことが求められる、事実上の「格下げ」状態が継続しています。

GmailがSMS認証の廃止方針を表明(2025年) Googleは2025年2月、GmailのログインにおけるSMSコード認証を廃止する方針を表明し、QRコードベースの認証やパスキーへの段階的な移行を進めています(移行の完了時期は未公表)。世界最大級のメールサービスがSMS認証に見切りをつけたことは、業界に大きなインパクトを与えました。 → 関連記事: GmailのSMS認証が廃止へ

GビズIDもSMS認証を廃止(2025年12月) 国内でも、法人向け共通認証基盤「GビズID」が2025年12月17日にSMSによるワンタイムパスワード認証を廃止し、アプリ認証またはメールによるワンタイムパスワード認証へ移行しました。デジタル庁は移行案内の中で、SMS認証に情報セキュリティ上の課題があることを廃止理由として挙げています。

認証の国際基準、グローバル大手、そして日本の行政サービスまでが足並みをそろえてSMS認証から離れつつある今、SMS認証だけに依存した二要素認証を続けることは、事業者にとって明確なリスクとなっています。

6. Infront Securityによる解決策

電話＋端末認証による高い本人担保性

では、SMS認証に代わる認証手段には何を選べばよいのでしょうか。Infront Securityが提供するのは、ユーザーが指定された電話番号に架電する(電話を「かける」)ことで本人認証を行う、電話発信型の認証ソリューションです。初期登録時にユーザーの端末固有情報を認証基盤の端末DBに登録し、通常のログイン時にはID認証と端末情報認証を組み合わせて本人確認を行います。

この認証方式は、リアルタイムフィッシングに対しても高い効果を発揮します。攻撃者が情報をリアルタイムで傍受しても、ログインに使われる端末の情報が認証基盤に登録された情報と一致しなければログインは拒否され、攻撃者はWebサイト上で一切の取引を行うことができません。

また、端末情報認証により、攻撃者が取得した情報を他の端末で使用することを防ぎ、仮にSIMスワップ詐欺で電話番号が乗っ取られたとしても、電話番号だけでは認証を突破できない仕組みです。

使い捨て電話番号からは電話発信不可

使い捨て電話番号やSMS認証代行業者が提供する番号の多くは受信専用で、電話発信ができません。 Infront Securityの認証方式では、ユーザーが指定された番号に対して「電話をかける」ことが本人確認の重要な要素です。発信機能のない使い捨て電話番号では本人確認が成立しないため、攻撃者がこれらの番号を悪用した不正アクセスを防止できます。

SMSを「受け取る」認証から、電話を「かける」認証へ。 不正は劇的に、ユーザーは快適に。Infront Security。

更新履歴

  • 2026年7月17日: 警察庁・金融庁発表の最新統計(2023年確定値〜2025年通年)への更新、NISTガイドライン(SP 800-63B)におけるSMS認証の「制限付き」分類(2025年7月公開の最新版でも維持)、GmailのSMS認証廃止方針・GビズIDのSMS認証廃止など「脱SMS認証」の最新動向を追記しました。あわせて関連記事への案内を整理しました。
  • 2024年10月30日: 記事公開。

参考資料

記事一覧へ戻る

認証のお悩みを
オンラインで無料相談

まずは相談する