コラム
【保存版】電話認証の種類と仕組みまとめ｜技術の違いと導入時のポイントを解説
電話認証は、オンラインサービスの不正利用防止やセキュリティ強化に欠かせない仕組みです。本記事では、SMS認証、IVR認証、電話発信認証、電話発信×端末認証の4種類の技術について、それぞれの特徴や仕組みをわかりやすく解説します。 導入される業界や活用シーンにも触れながら、自社に最適な認証方式を選ぶための基礎知識を提供します。 1. 電話認証とは？種類と仕組みをわかりやすく解説 そもそも電話認証とは何か？ 電話認証とは、ユーザーの電話番号を使って本人確認を行う仕組みです。ID・パスワード認証に加え、電話回線を利用した二要素認証を組み合わせることで、本人確認の精度を高め、複数アカウントの作成やなりすまし、不正アクセスを防ぎます。現在は、SMSでコードを送る方式のほか、ユーザーが指定番号に電話をかけて認証する方式や、端末情報と連動させた高度な認証も登場しています。 これらはセキュリティの高さや利用環境に応じて選べるのが特長で、導入によって不正防止によるコスト削減や、認証がスムーズになることで離脱率を減らす効果も期待できます。 導入されている業界や利用シーン 電話番号は「複製が難しい」という特性から、多くの業界で幅広く活用されています。 例えばECサイトでは、初回クーポンの不正利用やサブスクリプション型サービスの無料トライアルを何度も申し込む行為を防ぐため、1つの電話番号につき1アカウントと制限しています。この仕組みにより、実在する番号だけが登録でき、架空アカウントの排除や健全な運営、収益の確保につながります。 チケット販売やイベント予約でも同様に、転売目的による大量アカウント作成を防止します。購入前に電話認証を挟むことで、実在する利用者だけが申し込める仕組みを作り、公平な販売環境を維持できます。 この「複製が難しい」という特性はセキュリティ面でも有効です。金融・証券業界では、IDやパスワードが漏れても本人からの電話発信がなければログインできず、フィッシング詐欺の対策として機能します。 さらに近年は行政サービスや公共料金支払いにも広がり、本人確認精度が求められる手続きで不正を防ぎつつ、高齢者やネット利用が不慣れな人にも使いやすい技術として注目されています。 2. SMS認証：最も一般的な電話認証技術 SMS認証の仕組みと流れ SMS認証は、ユーザーが登録した電話番号宛にワンタイムパスコード（OTP）をSMSで送信し、そのコードを入力させて本人確認を行う方式です。サービス側はユーザーが入力したコードと送信したコードを照合し、一致すれば認証成功となります。 コードは短時間で有効期限が切れるよう設定され、不正利用にも対策されています。 実装は比較的容易で、スマートフォン標準のSMS機能を活用できるため、多くのWebサービスやアプリに採用されています。 メリットとデメリット SMS認証のメリットとして、まず追加アプリや専用機器を必要とせず、SMS受信とコード入力だけで利用できる点が挙げられます。これにより、年齢層やITリテラシーを問わず直感的に操作でき、アプリのインストールやアカウント連携が不要な分、離脱率の低下にもつながります。 既存のスマートフォンと通信網を活用できるため初期投資がほぼ不要で、API連携のみで導入可能なサービスも多く、開発期間の短縮にも有効です。さらに、ガラケーを含むほぼすべての携帯電話で利用できるなど、対応環境の幅広さも大きな利点です。 ただし、ランニングコストは想定以上に高くなる場合があります。例えば「1回の認証＝1通のSMS送信」が前提でも、再送や入力ミスで平均4通程度になる事例があり、その分通数課金が増加します。 さらに、SMS受信用番号を大量取得・貸し出す業者の存在や、データSIM契約による容易な番号入手が不正利用やなりすましの温床となっている点も課題です。 加えて、回線状況やキャリア障害による遅延・不達、6桁コードの総当たり攻撃やSIMスワップ、端末乗っ取り、マルウェアによる傍受などセキュリティ面のリスクも残ります。 端末操作に不慣れな層やSMS利用経験のないユーザーは認証を完了できず離脱する恐れもあります。 向いているユースケースと注意点 SMS認証は、ECサイトの会員登録やパスワードリセット、ポイント交換など、中〜低リスクの取引に適しています。 例えば、オンラインゲームやSNSでの多重アカウント作成や短期間での大量登録を行う業者・BOTの排除に有効です。また、フリーWi-Fi利用登録やキャンペーン応募など、高度なセキュリティよりもスムーズな利便性が求められる場面でも活用できます。 一方、SMSが届かない場合の再送機能は利便性を高める反面、不正利用のリスクを伴う可能性があります。...
お知らせ一覧
3Dセキュア2.0の「チャレンジ認証」を完全攻略！仕組みからエラー対策まで網羅
ネット決済で求められる3Dセキュアの「チャレンジ認証」に、戸惑いや不便を感じていませんか？この記事では、チャレンジが発生する仕組みである「リスクベース認証」から、具体的な発生シナリオ、カード会社ごとの違い、エラー対策まで徹底解説。結論として、チャレンジは不正利用を防ぐための重要な追加認証です。その仕組みと正しい対処法を理解し、安全でスムーズなオンライン決済を実現しましょう。 1. 3Dセキュア2.0の核心「リスクベース認証」と「チャレンジ」の仕組み オンラインショッピングでクレジットカード決済をする際、カード会社のロゴが表示されたパスワード入力画面や、スマートフォンでの認証を求める画面に切り替わった経験はありませんか？それが「3Dセキュア」による本人認証です。特に、追加の認証が求められるケースを「チャレンジ認証」と呼びます。 この章では、なぜチャレンジ認証が発生するのか、その裏側にある3Dセキュア2.0の核心的な仕組みである「リスクベース認証」について、初心者にも分かりやすく解説します。 1.1 チャレンジ認証とは？不正利用を水際で防ぐ追加認証 チャレンジ認証とは、3Dセキュア2.0において、クレジットカード決済がカード保有者本人によるものかを確認するために行われる「追加の本人確認手続き」のことです。チャレンジ（Challenge）という言葉の通り、カード会社が取引の安全性に確信が持てない場合に、利用者に対して「本当にあなた本人ですか？」と問いかけ（挑戦し）、それを証明してもらうプロセスを指します。 フィッシング詐欺や情報漏洩などによって、カード番号やセキュリティコードが第三者の手に渡る事件は後を絶ちません。実際に、一般社団法人日本クレジット協会の調査によると、2023年のクレジットカード不正利用被害額は過去最悪の540.9億円にのぼり、その多くがカード番号を盗用されたことによる被害でした。（出典: 一般社団法人日本クレジット協会「クレジットカード不正利用被害額の発生状況」） チャレンジ認証は、こうした第三者による「なりすまし」を防ぎ、不正利用を水際で阻止するための最後の砦として機能します。たとえカード情報が盗まれたとしても、本人しか知らないパスワードや、本人のスマートフォンにしか届かないワンタイムパスワードの入力を求めることで、第三者が決済を完了させることを極めて困難にするのです。 1.2 チャレンジが発生する/しないは「リスクベース認証」で決まる 「毎回パスワードを入力するのは面倒…」と感じる方もいるでしょう。しかし、最新の3Dセキュア2.0では、必ずしも毎回チャレンジ認証が発生するわけではありません。その鍵を握るのが「リスクベース認証」という仕組みです。 リスクベース認証とは、決済ごとに行われる取引の状況をリアルタイムで分析し、不正利用のリスク度合いを判定する仕組みです。カード会社は、ECサイトや決済代行会社から提供される様々な情報を基に、その取引が「本人による可能性が高いか（低リスク）」、それとも「第三者による不正の疑いがあるか（高リスク）」を瞬時に判断します。そして、そのリスク判定の結果に応じて、追加認証（チャレンジ）を行うかどうかを決定しているのです。 1.2.1 カード会社がリスク判定に利用する情報とは では、カード会社は具体的にどのような情報を使ってリスクを判断しているのでしょうか。EMVCo（※）が定める国際規格に基づき、以下のような多角的な情報が利用されています。 ※EMVCo：Visa、Mastercard、JCB、American Express、Discover、UnionPayの国際カードブランド6社が共同で設立した、決済技術の標準化と普及を推進する団体。 リスクベース認証で利用される情報の例 情報のカテゴリ 具体的な情報内容 解説 デバイス情報 PC、スマートフォン、OSの種類・バージョン、ブラウザ情報など いつも利用している端末からのアクセスか、不審な設定のデバイスではないかなどを確認します。 アクセス情報 IPアドレス、接続国、時間帯など 普段と異なる国からのアクセスや、深夜など不自然な時間帯の利用ではないかを判定します。...
お知らせ一覧
その違い、説明できますか？二要素認証・多要素認証・二段階認証の正しい使い方
「二要素認証」「多要素認証」「二段階認証」、これらの言葉の正確な違い、ご存知ですか？この記事を読めば、それぞれの認証方式の定義、仕組み、メリット・デメリットが明確に理解できます。オンラインサービス利用時のセキュリティ強化に不可欠なこれらの認証方式を正しく使い分け、不正アクセスを防ぐための知識が身につきます。 1. はじめに 二要素認証 多要素認証 二段階認証の重要性 オンラインバンキング、SNS、クラウドサービスなど、私たちの生活は数多くのデジタルサービスに支えられています。これらのサービスを安全に利用するためには、「本人であること」を正しく確認する「認証」の仕組みが不可欠です。近年、サイバー攻撃の手口はますます巧妙化・悪質化しており、従来のIDとパスワードだけの認証では、不正アクセスや情報漏洩のリスクを防ぎきれないケースが増えています。 そこで注目されているのが、「二要素認証（2FA）」「多要素認証（MFA）」「二段階認証」といった、より強固な認証方式です。これらの言葉を耳にする機会は増えましたが、それぞれの違いや正しい意味、具体的な使い方を正確に理解しているでしょうか？ 実は、これらの認証方式は混同されやすく、誤った認識のままでは、せっかくのセキュリティ対策も効果が半減してしまう可能性があります。 本記事では、セキュリティ対策の基本とも言えるこれらの認証方式について、それぞれの定義、仕組み、メリット・デメリット、そして正しい選び方や使い方を分かりやすく解説します。安全なデジタルライフを送るために、認証の知識をアップデートしましょう。 1.1 なぜ今、認証強化が求められるのか？ 私たちが日々利用するオンラインサービスには、個人情報や決済情報といった機密性の高いデータが数多く含まれています。これらの情報が一度漏洩したり、アカウントが乗っ取られたりすると、金銭的な被害だけでなく、社会的な信用の失墜にも繋がりかねません。認証強化が急務とされる背景には、主に以下の要因があります。 サイバー攻撃の高度化・常態化: フィッシング詐欺、パスワードリスト攻撃、マルウェア感染など、攻撃者は常に新しい手口で認証情報の窃取を試みています。独立行政法人情報処理推進機構（IPA）が毎年発表している「情報セキュリティ10大脅威」でも、不正アクセスや情報漏洩に関連する脅威が常に上位を占めており、個人・組織を問わず、誰もがサイバー攻撃の標的となり得る時代です。 従来のID/パスワード認証の限界: 多くのサービスで基本となっているIDとパスワードによる認証は、パスワードの使い回し、推測されやすい文字列の使用、フィッシングによる詐取といった脆弱性を抱えています。どれだけ複雑なパスワードを設定しても、それが漏洩してしまえば意味がありません。 クラウドサービス利用の拡大と働き方の多様化: クラウドサービスの普及やテレワークの浸透により、場所やデバイスを問わずに重要な情報へアクセスする機会が増えました。 これは利便性を向上させる一方で、不正アクセスのリスクポイントも増加させることになり、より強固な本人確認手段が求められています。 このような状況下で、単一の認証情報だけに頼るのではなく、複数の認証手段を組み合わせることでセキュリティ強度を高めるアプローチが不可欠となっています。 1.2 認証方式の多様化とその背景 セキュリティに対する意識の高まりとともに、認証方式も進化し、多様化してきました。従来のパスワード認証の弱点を補うために登場したのが、「二段階認証」「二要素認証」「多要素認証」といった考え方です。 これらの認証方式は、「何かを知っている（知識情報）」「何かを持っている（所持情報）」「自分自身である（生体情報）」といった異なる種類の認証要素を組み合わせることで、不正アクセスの難易度を格段に高めます。たとえ一つの認証情報が破られても、他の認証情報が関門となるため、アカウントの乗っ取りを防ぐ効果が期待できます。 しかし、これらの用語はしばしば混同されたり、同義として扱われたりすることがあります。それぞれの認証方式が持つ意味や特性を正しく理解することが、自社のサービスや個人アカウントのセキュリティレベルを適切に評価し、必要な対策を講じるための第一歩となります。 2. 二段階認証とは何か オンラインサービスやシステムを利用する際、**セキュリティを強化するために用いられる認証方法の一つが「二段階認証」**です。近年、不正アクセスや情報漏洩のリスクが高まる中で、IDとパスワードだけの認証では不十分とされるケースが増えてきました。そこで注目されているのが、複数の認証ステップを組み合わせることで、アカウントの安全性を高めるアプローチです。二段階認証は、その中でも比較的導入しやすく、多くのサービスで採用されています。 この章では、二段階認証の基本的な仕組みから、具体的な利用例、そしてそのメリットとデメリットについて詳しく解説していきます。正しく理解し活用することで、あなたの大切な情報を不正アクセスから守る一助となるでしょう。 2.1 二段階認証の基本的な仕組み 二段階認証（Two-Step Verification、2SV）とは、その名の通り、認証プロセスを「二つの段階」に分けて行う仕組みを指します。通常、最初の段階では利用者が記憶している情報（IDとパスワードなど）を入力し、それが正しい場合に次の段階へ進みます。そして、第二の段階では、第一段階とは異なる方法で本人確認を行います。 具体的には、以下のような流れで認証が行われます。...
お知らせ一覧
パスキー＝万能じゃない？仕組み・メリットと知っておくべきデメリット【2026年最新版】
「パスキーは本当に安全で便利なの？」「パスワードと何が違うの？」そんな疑問をお持ちではありませんか？ 本記事では、パスワードに代わる認証技術として急速に普及が進むパスキーについて、基本的な仕組みからパスワード認証との決定的な違い、2026年時点の普及状況までを徹底解説します。 さらに、フィッシング詐欺に強いといったメリットだけでなく、「デバイスに依存する」「共有や復旧に注意が必要」といった見落とされがちなデメリットも深掘りします。パスキーを取り巻く環境はこの1〜2年で大きく変化しており、「かつては課題だったが、いまは改善されつつあるもの」と「いまも残る本質的な注意点」を切り分けて整理しました。パスキーが「万能ではない」理由を正しく理解することは、個人ユーザーはもちろん、ECや金融など自社サービスの認証方式を検討する事業者にとっても、より安全な認証手段を選ぶための第一歩となります。 1. パスキーとは？パスワードとの違いまで徹底解説 近年、パスワードに代わる次世代の認証技術として広く使われるようになった「パスキー」。その基本的な仕組みから、これまで主流だったパスワード認証との違いまで、詳しく解説します。 1.1 パスキー認証の基本的な仕組み パスキー（Passkey）は、パスワードを使わずにウェブサイトやアプリケーションにログインできる認証方式です。FIDO Allianceが提唱する「FIDO2」という技術標準に基づき、WebAuthn（ウェブオースン）というWeb標準技術によって実現されています。 パスキー認証の最大の特長は、公開鍵暗号方式を利用している点にあります。 ユーザーがサービスに登録する際、利用しているデバイス（スマートフォン、PCなど）上で秘密鍵と公開鍵のペアが生成されます。このうち、公開鍵のみがサービス提供側のサーバーに登録され、秘密鍵はユーザーのデバイス内に安全に保管されます。 ログイン時には、ユーザーはパスワードを入力する代わりに、デバイスの生体認証（指紋、顔認証など）やPINコードを使って認証を行います。 これにより、デバイス内の秘密鍵が利用され、サービス側が要求する「チャレンジ」（ランダムなデータ）に対して署名が行われます。サービス側は、事前に登録された公開鍵を使ってこの署名を検証することで、本人であることを確認します。 この仕組みにより、ユーザーは複雑なパスワードを覚える必要がなく、また、サービス提供側のサーバーには秘密鍵が保存されないため、サーバーからの情報漏洩によってアカウントを乗っ取られるリスクを大幅に低減できます。 1.2 パスワード認証の仕組みと課題 これまでインターネット上の認証の主流であったパスワード認証は、ユーザーが設定した文字列（パスワード）と、サービス提供側のサーバーに保存されたパスワード（多くはハッシュ化されたもの）を照合することで本人確認を行う仕組みです。 しかし、このパスワード認証には多くの課題が指摘されています。 覚えにくさと使い回し：セキュリティを強化するためには複雑で長いパスワードが必要ですが、これはユーザーにとって覚えにくく、結果として複数のサービスでの「パスワード使い回し」の温床となります。 フィッシング詐欺のリスク：偽サイトに誘導され、パスワードをだまし取られるフィッシング詐欺の被害が後を絶ちません。ユーザーがフィッシングサイトと正規サイトを見分けるのは非常に困難です。 サーバーからの漏洩リスク：サービス提供側のサーバーがサイバー攻撃を受け、保存されているパスワード情報が漏洩するリスクがあります。ハッシュ化されていても、辞書攻撃やブルートフォース攻撃によって解読される可能性があります。 入力の手間：サービスを利用するたびにパスワードを入力する手間がかかります。 これらの課題を解決するため、二段階認証や多要素認証（MFA）が普及しましたが、これらはパスワード認証の根本的な脆弱性を補うものであり、ユーザーの利便性を損なう側面もありました。 1.3 パスキーとパスワード 何が違う？ パスキーとパスワードは、どちらもユーザー認証に使われる手段ですが、仕組みやセキュリティ、使いやすさに明確な違いがあります。以下に主なポイントを簡潔に整理します。 認証方式：パスキーは、デバイスに保存された秘密鍵とサーバーの公開鍵を使う「公開鍵暗号方式」を採用しています。一方パスワードは、ユーザーが記憶した文字列をサーバーに送って照合する「共有秘密方式」です。 記憶の負担：パスキーは、ユーザーが秘密鍵を覚える必要がなく、生体認証やPINで端末を解錠するだけで利用可能です。パスワードは複雑な文字列を覚えて入力する必要があり、記憶・入力の手間が大きくなります。...
お知らせ一覧
AI時代に問われる生体認証の安全性：脅威と対策の最新情報
生体認証はパスワードに代わる便利な認証手段として普及が進んでいます。しかし、AI技術の進化はディープフェイクなどの新たな脅威も生み出しており、その安全性に注目が集まっています。本記事では、生体認証の基礎知識から最新の脅威、そして多層防御やゼロトラストといった有効なセキュリティ対策までを網羅的に解説。AI時代の生体認証を安全に活用するためのポイントが分かります。 1. 生体認証技術の概要 生体認証とは、指紋、顔、虹彩、声、静脈といった個人の身体的特徴や、署名、キーストロークといった行動的特徴など、人それぞれに固有の生体情報を利用して本人確認を行う技術です。従来の知識情報（パスワードやPINコード）や所持情報（ICカードや鍵）による認証方法と比較して、紛失や盗難のリスクが低く、なりすましが困難であるという大きなメリットがあります。また、利用者がパスワードを記憶したり、認証媒体を携帯したりする必要がないため、利便性の向上にも大きく貢献します。デジタル化が急速に進展する現代社会において、オンラインサービスへのログイン、金融取引、施設の入退室管理など、多岐にわたるシーンで生体認証の活用が拡大しており、私たちの生活に不可欠なセキュリティ技術となりつつあります。 1.1 身体的特徴を利用する認証 生体認証技術は、認証に用いる生体情報によって、主に「身体的特徴（Static Biometrics）」を利用するものと、「行動的特徴（Behavioral Biometrics）」を利用するものに大別されます。 身体的特徴を利用する認証とは、個人の身体そのものが持つ不変的な特徴を読み取って認証する方式です。 ■ 指紋認証 概要・仕組み 指先の紋様（隆線パターン）を読み取り、登録された指紋と照合 光学式、静電容量式、超音波式などの方式がある メリット 個人ごとに異なるため認証精度が高い 小型化しやすく、スマホなどに組み込みやすい 比較的低コストで導入できる デメリット・課題 指の乾燥や濡れ、傷などで認証失敗の可能性 残った指紋からの偽造リスク 接触型は衛生面での懸念あり 主な利用シーン スマートフォンやPCのログイン 勤怠管理、入退室管理 キャッシュレス決済端末など ■ 顔認証 概要・仕組み...
お知らせ一覧
証券口座乗っ取り被害7,000億円超──「多要素認証の必須化」から「フィッシング耐性MFAの実...
2025年春に本格化した証券口座の乗っ取り(不正アクセス・不正取引)は、その後も拡大を続け、2025年の1年間だけで不正取引金額は約7,393億円(金融庁公表)に達しました。これを受けて金融庁は2025年10月に監督指針を改正し、パスキーなど「フィッシング耐性のある多要素認証」の実装・必須化を、原則2026年6月末までに実施するよう証券会社に求めました。その期限をちょうど迎えた今、証券業界の認証は「多要素認証を入れるかどうか」の段階を終え、「どの多要素認証なら攻撃を防げるのか」を問う段階に入っています。 本記事では、被害の最新状況と制度改正の内容、そして必須化の核心である「フィッシング耐性」を満たす認証方式について、電話発信認証の具体例を交えて解説します。証券業界で起きたこの評価軸の転換は、オンラインで本人確認を行う金融・EC事業者すべてが遠からず直面するテーマです。 1. 証券口座乗っ取りの被害は累計7,000億円超に 2025年、被害は当初想定を大きく超えて拡大 2025年2月頃から、フィッシング詐欺を起点とした証券口座への不正アクセス・不正取引が急増しました。当初(2025年4月16日時点)の金融庁公表値は不正アクセス3,312件・不正取引1,454件・売却金額約506億円でしたが、これはあくまで「序章」に過ぎませんでした。 金融庁が公表している月次の被害状況によると、被害のピークは2025年4月で、この1カ月だけで不正アクセスは5,468件、不正取引金額は約3,045億円にのぼりました。2025年通年では不正アクセス17,559件・不正取引9,752件、不正取引金額(売却・買付の合計)は約7,393億円に達しています。 2025年半ば以降、各社の認証強化が進んだことで被害は減少傾向にありますが、根絶には至っていません。金融庁の月次公表値によると、2025年12月時点でも月間約41億円の不正売買が確認されており、2025年1月から2026年5月までの累計では不正アクセス18,915件・不正取引10,474件が報告されています。 手口の中心は「リアルタイムフィッシング」 一連の被害で確認された典型的な手口は、次のようなものです。 証券会社を装ったメールやSMS、検索連動型広告などから、本物そっくりの偽サイトへ誘導する 利用者が入力したID・パスワード、さらにはワンタイムパスワードまでを攻撃者がリアルタイムで正規サイトに中継し、ログインを成立させる(リアルタイムフィッシング) 乗っ取った口座で保有株式を勝手に売却し、その資金で中国株や流動性の低い小型株を大量に買い付け、株価を吊り上げて攻撃者が利益を得る 被害は当初、楽天証券、SBI証券、野村證券、SMBC日興証券、マネックス証券、松井証券の6社に集中していましたが、その後、被害が確認された証券会社は大幅に増え、業界全体の問題となりました。ID・パスワードを盗み取るマルウェア(インフォスティーラー)経由の認証情報流出も指摘されており、「フィッシングに気をつける」という利用者の注意だけでは防ぎきれない状況が明らかになっています。 ここで重要なのは、多くの証券会社が多要素認証(MFA)を必須化した後も、被害が完全には止まらなかったという事実です。SMSやメール、認証アプリで届くワンタイムパスワード(OTP)は、リアルタイムフィッシングによって「本人に入力させて中継する」ことが可能であり、多要素認証であってもフィッシングに耐性があるとは限らない──これが2025年の被害から業界が得た最大の教訓でした。 2. 制度は「必須化」から「フィッシング耐性MFAの実質義務化」へ 金融庁: 監督指針を改正、フィッシング耐性MFAを2026年6月末までに必須化 金融庁は2025年7月に「金融商品取引業者等向けの総合的な監督指針」等の一部改正案を公表し、パブリックコメントを経て2025年10月15日に改正・適用しました。改正指針では、インターネット取引を提供する証券会社に対し、ログイン・出金・出金先銀行口座の変更といった重要な操作の際に、パスキー(FIDO/WebAuthn)やPKI(公開鍵基盤)をベースとした認証に代表される「フィッシング耐性のある多要素認証」を実装し、必須(デフォルト)とすることを求めています。実施時期は原則2026年6月末までとされており、監督指針への明記は実質的な義務化を意味します。 「フィッシング耐性のある認証」とは、利用者が偽サイトに認証情報を入力してしまっても、攻撃者がそれを使い回せない・そもそも中継できる情報が存在しない仕組みを指します。パスワードやOTPのように「人が読み取って入力する秘密」に依存する方式は、原理的に偽サイトへの入力・中継を防げないため、この要件を満たしません。 日本証券業協会: ガイドラインを改正、OTPは原則不可に 日本証券業協会(日証協)も2025年10月15日、「インターネット取引における不正アクセス等防止に向けたガイドライン」を改正しました。2025年4月時点では「58社が多要素認証の必須化を決定」という段階でしたが、改正ガイドラインはさらに踏み込み、リアルタイムフィッシングで突破され得るOTP型の認証を原則不可とし、フィッシング耐性のある多要素認証の採用を必須としています。ログイン時だけでなく、出金や登録情報変更といった重要操作の場面でも追加認証を求める多層防御の考え方は維持されています。 つまり業界のルールは、「多要素認証を導入したか」ではなく「導入した多要素認証がフィッシングに耐えられるか」を基準に書き換えられたのです。 楽天証券の事例: メール認証コードからパスキー必須化へ こうした制度改正への個社の対応状況は各社の公表リリースによりますが、先行事例となっているのが楽天証券です。同社は2025年6月1日、ログイン時の多要素認証をすべてのチャネルで必須化しました。しかし前述のとおり、メールで届く認証コードのような方式はリアルタイムフィッシングへの耐性が十分ではありません。 そこで同社は2025年10月26日、パスキー(FIDO2)によるログイン認証を導入し、さらに2026年6月以降、ログイン時のパスキー認証を段階的に必須化する方針を発表しました。「多要素認証の必須化」から1年あまりで「フィッシング耐性認証の必須化」へ移行するというこの流れは、業界全体が今後たどる道筋を示していると言えます。 3....
お知らせ一覧