「SMS認証は、いつまで使えますか」――答えが業種ごとに違う理由

自社を装うフィッシングSMSにご注意ください――そう告知しているページのすぐ隣で、同じ会社が、自社の認証コードをSMSで送っています。

当社が2026年8月に調べた22社では、この組み合わせは珍しくありませんでした（注12）。矛盾しているわけではなく、替えられない事情があるだけです。

「SMS認証は、いつまで使えますか」――この問いに期限で答えられる人が少ないのは、期限が1つではないからです。

動いている時計は3つあります。規制の時計、攻撃者の時計、そして到達の時計です。3つは別々の速さで進んでいて、業種によって、どれが最初に鳴るかが違います。

本稿は答えを1つに畳みません。自社ではどの時計が先に鳴るのかを見分けるための整理です。なお扱うのは「本人認証」（利用している人が本人かどうかの確認）であり、eKYC（オンラインで完結する本人確認）等で実在性や属性を確かめる「本人確認」とは区別します。

いまSMS認証を使っているのは、どんな会社か

公開情報でたどると、金融より先にプラットフォームが並ぶ

当社が2026年8月に、各社が公開しているFAQ・ヘルプ・ニュースリリースからSMS認証（携帯電話番号宛にワンタイムパスワード（OTP）を送って入力させる方式）の利用を確認できたのは、非金融に限って22社でした（注12）。

業種は17の区分に分散しました。予約、チケット・二次流通、マッチング、求人、不動産ポータル、地域CtoC、シェアリング系、物流・デリバリー、SNS・ゲーム、EC――人と人、人とモノをつなぐプラットフォーム型のサービスが中心です（注12）。

n=22の目視調査であり、母集団を代表するものではありません。それでも、SMS認証は金融の話だと思われがちなのに対し、実際に足を取られていたのはこの層でした。

共通点は「電話番号＝アカウント1つ」の線を引いていること

22社に共通していたのは、電話番号でアカウントを1つに絞っていることでした（注12）。ただし目的は二手に割れます。

チケット・二次流通・マッチングでは、転売や複数アカウントの抑止が目的でした。求人・不動産・ECでは、本人確認そのものが目的です（注12）。前者にとって、認証はセキュリティ施策ではなく事業KPI（重要業績評価指標）の一部になっています。

ここが厄介なところです。「1人に1アカウント」の線が引けなくなると、転売対策も出品審査も同時に崩れます。認証方式を替える話が、事業モデルを替える話にすり替わってしまいます。SMSが残っているのは、担当者が怠けているからではありません。

同じSMS認証でも、役割は3つに分かれている

1つ目は登録時の実在性チェック、2つ目はログイン時の二要素です。そして3つ目が、機種変更やパスワード忘れのときの復旧経路にあたります。

議論が集まるのは2つ目です。しかし後で述べるとおり、棚卸しで最初に手を付けるべきなのは3つ目です。

期限は1つではない――3つの時計

規制の時計は、業種ごとに別々の時刻を指している

まず、「NISTがSMSを禁止した」という読み方から整理します。米国NISTのSP 800-63B Rev.4（2025年8月26日最終版）は、SMSや公衆電話網（PSTN）を経由する認証を禁止していません。

「restricted authenticator（制限付きの認証手段）」として条件付きで許容したうえで、検証者は全ての利用者に代替の認証手段を用意しなければならない、と定めています（注1）。問題は、この時計が業種ごとにバラバラに動いていることです。

証券では鳴りました。日本証券業協会のガイドライン（2025年10月15日施行）は、重要な操作時における「フィッシングに耐性のある多要素認証（例：パスキーによる認証、PKI をベースとした認証）の実装及び必須化（デフォルトとして設定）」を求めています（注2）。ここでいう多要素認証（MFA）とは複数の要素を組み合わせる認証、パスキーとは端末に保存した鍵で認証する、パスワードもコードも使わない方式のことです。

SMS OTPを禁止するとは書かれていません。耐性がある方式の例示から外れている、という構造です。金融庁も同日に監督指針を改正しています（注3）。

クレジットでは、まだ鳴っていません。日本クレジット協会「クレジットカード・セキュリティガイドライン」6.1版（2026年3月）は6.0版からの指針対策の追加・変更がなく、携帯電話番号宛に動的パスワードを送る本人認証を前提にした記述を維持しています（注4）。

同ガイドラインが示す方式のうち、3Dセキュア2.0（EMV 3-Dセキュア）を全取引で通す方式③の運用を続ける限り、SMS前提の設計もそのまま残ります（注4）。

行政と認証基盤は、また別の時刻です。GビズIDは2025年12月17日にSMSワンタイムパスワード認証を廃止し、代替をアプリ認証とメールOTPに切り替えました（注5）。Microsoft Entra IDは2027年2月1日に、Microsoft提供のSMS・音声配信を終了します。オプトアウトはありません（注6）。

LINEヤフーは2026年4月14日にパスキーへの一本化方針を公表し、2027年春頃までに「パスワードのみ」のログインを終了するとしています（注7）。同社ログインユーザーは約90%がパスワードレス、約60%がパスキーを設定済みです（注7）。

同じ2026年に、証券は脱OTPへ動き、クレジットはOTP前提を維持し、行政の一部はすでに廃止を終え、認証基盤の側は2027年の終了日を切っています。期限は、自社の業種だけでなく、自社が乗っている基盤からも来ます。

攻撃者の時計は、全業種で同じ時刻に鳴っている

フィッシング対策協議会の「フィッシング対策ガイドライン」2026年度版（2026年5月29日）は、「単にワンタイムパスワードを利用するのみではフィッシング耐性を有するとはいえなくなっている」と記しています（注8）。

理由は方式ではなく設計にあります。コードを読んで入力させる限り、その数十秒から数分のあいだ、利用者は「入力先が本物かどうか」を自分で見分ける役を負わされます。

しかも、そのやり取りは行きも帰りも同じインターネット網の上にあります。偽サイトが本物への中継役に立てば、コードはそのまま流れていきます。経路が1本しかないことが、この設計の弱点です。

件数そのものは減っています。同協議会への報告は2026年4月の151,112件をピークに、5月126,061件、6月72,370件、7月66,119件と3か月続けて減少しました（注9）。

ただし同じ7月の報告で、フィッシングサイトのURL件数は43,267件（前月比1,026件増）、悪用されたブランド数は101（同3増）と増えています（注9）。減ったのは件数で、標的の幅はむしろ広がっています。

年単位で見ると絵が変わります。警察庁の令和7年（2025年）の情勢では、フィッシング報告は年間245万4,297件、インターネットバンキング不正送金は4,747件・約103億9,700万円で手口の約9割がフィッシング、証券口座への不正アクセスは17,668件でした（注10）。

月次と年次を混ぜて「増え続けている」と語るのは正確ではありません。ただし、減ったから安全になったという話でもありません。

SIMスワップ（携帯番号を第三者に乗っ取られる手口）はどうでしょうか。米国FBIのIC3年次報告では、2025年の苦情971件・被害額約1,740万ドルで3年連続の減少です（注11）。

一方、日本では警察庁が「引き続きみられた」と定性的に記すにとどまり、件数も金額も公表されていません（注10）。被害が小さいのではなく、数えられていないだけです。

なお、SMSの受け口となる回線は、データ通信専用SIMでも契約できる場合があります（注13）。そのデータ通信専用SIMについては、契約時の本人確認の義務付けが2025年4月22日の犯罪対策閣僚会議で決定されています（注10）。裏を返せば、SMSの受け口は、必ずしも公的な本人確認を経ていません。

到達の時計は、誰も期限を切らないので放置される

3つ目は、外から鳴らない時計です。

実際、先ほどの22社の中には、2026年に入ってから新たにSMS認証を導入した事業者もありました（注12）。「規制で禁止されるから、そのうち使えなくなる」という物語は、現場で起きていることと食い違っています。

当社の比較資料では、SMS認証は1認証あたり平均4回の送信・再送信が発生し、完了までおおむね3分かかります（注13）。企業側には、その4回分の送信コストがかかります。

ただし送信料は費用の一部にすぎません。残りは、認証を完了できなかった利用者側に残ります。

コードが届かない、届いたが読めない、有効期限を過ぎる――ガラケー、格安SIM、高齢の利用者。問い合わせ、離脱、再訪なしの3つは、送信明細のどこにも載りません。切り替え前から機会を失っていたのは、この層です。

この3番目には、外から期限が来ません。だから、認証を「守りの費用」として扱っている限り、この損失は誰の予算にも計上されないまま残ります。

順番をどう決めるか

先に効くのは「乗り換え」より「棚卸し」です

電話番号がアカウントの一意キーになっている会社では、認証の変更が事業モデルの変更に及びます。方式をまるごと入れ替える計画が途中で止まるのは、この構造が理由です。

先に手を付けるべきは、3つ目の役割である復旧経路です。入口をパスキーで固めても、機種変更やパスワード忘れの復旧経路がSMSのまま残っていれば、攻撃者はそこを通ります。

認証方式を1つ追加する作業と、古い経路を撤去する作業は別物です。前者だけを終えた状態が、パスキーを入れてもSMSが残っている状態にあたります。

3つの時計には、自社で測れる指標が1つずつある

攻撃者の時計は、コードを入力させている画面の所在で測れます。ログイン、決済、そして復旧の3種類を、画面単位で洗い出します。

到達の時計の記録は、すでに社内にあります。SMS送信数に対する認証完了数、再送信の回数、「ログインできない」の問い合わせ件数。この3つを並べれば輪郭が出ます。

規制の時計は、外から期限が来る業種・基盤に乗っているかどうかで測れます。自社の業界団体だけでなく、使っているIDプロバイダの告知も見ます。

違うのは、3つのうちどれが先に鳴るかの順番です。それが決まれば、「いつまで使えますか」は答えられる問いになります。

Infront Securityが担うのは、コードを入力させない経路

当社が提供するInfront Securityは、電話番号を使いながら、コードの入力をなくす認証です（注13）。利用者がワンタップで指定番号に1コール自動発信し（通話料無料・1秒）、発信者番号と端末情報をサーバー側で照合して本人と判定します（注13）。

既定の構成では、2回目以降は同じ端末なら端末認証だけで完了します。要件に応じて、毎回発信する構成も選べます（注13）。

先ほどの復旧経路にも、同じ考え方が使えます。電話番号を変えるときは旧番号での端末認証を通してから新しい番号で初回認証をやり直し、端末ごと変わるときは事前登録した質問かカスタマーサポートを経由します（注13）。復旧を「コードを送る」以外の手段で設計できるかどうかが、棚卸しの分かれ目です。

中継できるコードが、そもそも存在しません。偽サイトはあなたの電話回線を持っていない――これが、攻撃者の時計に対する構造上の答えです（注13）。

加えて、音声通話の回線契約には、携帯電話不正利用防止法（携帯音声通信事業者による契約者等の本人確認等及び携帯音声通信役務の不正な利用の防止に関する法律）により、契約時の本人確認が義務付けられています。先ほどのデータ通信専用SIMの論点と、ちょうど裏返しの関係になります。

到達の時計に対しては、「電話をかける」という動作そのものが答えになります。18歳から80歳まで説明不要で使え、固定電話でも成立します（注13）。3分の壁を1秒に――速さの話であると同時に、そこで失われていた人を取り戻す話です。

コスト構造も逆になります。SMSは企業が送信料を平均4回分負担しますが、電話発信は利用者側の操作なので、企業側の通信費は発生しません（注13）。

クレジット領域では、3Dセキュアを代替するものではなく、その手前に入る認証レイヤーとして機能します（注13）。不正を99%防ぎながらCV（コンバージョン）を最大化する。入力の往復がなくなる分だけログイン離脱とカゴ落ちが減る、という機序です（注13）。

偽サイトが自社名を騙っても、入力させるコードが存在しなければ、なりすましの踏み台になりません。冒頭に挙げた「注意喚起を出しながらSMSで送っている」状態から抜ける道が、ここにあたります。

導入はAPI連携で、最短8週間でのPoC（概念実証）が可能です（注13）。ログイン成功率の測定と高齢者モニターによるUX評価まで、現場実装まで伴走します（注13）。料金は見積もり方式のため、条件は個別にご相談ください。

どの時計から読むか

規制の期限が到来している業種は、いま動いている業種のごく一部です。来ない業種こそ、自分で決めるほかありません。

「SMS認証は、いつまで使えますか」の答えは、外を探して見つけるものではなく、自社の3つの時計を読んで自分で置くものです。

そのとき問われているのは、認証を守りの機能として残すのか、顧客との接点を保証する仕組みとして作り直すのか――「認証」から「接点保証」へ、という選び直しだと考えています。

---