「身に覚えのないログイン通知が届いた」「自社サービスの会員アカウントが乗っ取られていないか不安だ」。不正ログインは、盗まれたIDとパスワードで正規の利用者になりすます攻撃で、企業のWebサービスや社内システム、個人のSNS・ネットバンキングまで広く狙われています。
警察庁の統計では、不正アクセス行為の認知件数は令和5年に前年の約3倍へ急増し、令和6年も5,358件と高い水準が続いています。被害の8割超はインターネットバンキングでの不正送金が占めますが、会員サイトやECの管理画面を運営する企業にとっても、アカウントの乗っ取りは他人事ではありません。
対策は数が多く、「結局どれから手を付ければよいのか」が分かりにくいのが実情です。
この記事では、不正ログインを防ぐためにやるべき対策を一覧と優先順位で示し、それぞれが「どの攻撃手口に効くのか」まで整理します。個人・企業それぞれの動き方と、効果が大きい多要素認証（SMS認証など）を自社サービスに組み込む方法まで解説します。
一括ダウンロードする
目次
一括ダウンロードする
不正ログイン対策の一覧【まず何をやるか】
ここからは、不正ログインを防ぐために取るべき対策を一覧で示します。各対策に「何をするものか」と「どの攻撃手口に効くのか」を添え、効果の大きい順（上から）に並べています。全部を同時に進めるのが難しければ、上から順に着手してください。優先順位の理由は後の章で詳しく解説します。
- 多要素認証（SMS認証・認証アプリ・パスキー）を有効にする：ID・パスワードに加えて2つ目の要素で本人確認する仕組み。ID・パスワードが盗まれてもログインを止められるため、パスワードリスト攻撃・総当たり・フィッシングなど「正規のID/パスワードを悪用する型」の攻撃に横断的に効きます。
- パスワードを長く複雑にし、使い回さない：推測や総当たりを難しくし、どこか1社から情報が流出しても他サービスへ連鎖しないようにする土台の対策。サービスごとに異なる複雑なパスワードは、パスワードマネージャーを使うと無理なく管理できます。パスワードリスト攻撃・総当たり攻撃に効きます。
- フィッシング（偽サイト・偽メール）を見分ける／パスキーを使う：送信元やURLを確認し、正規サイト以外では認証が成立しないパスキーを併用する。フィッシングによるID・パスワードの窃取を防ぎます。
- ログイン監視・不正検知を導入する：普段と違う端末・地域・時間帯からのログインを検知して通知・遮断する。多くのサービスやID基盤がログインアラートや不審ログイン検知の機能を備えているため、まずは既存の機能を有効にすることから始められます。なりすまし後の被害を早期に食い止めるのに効きます。
- OS・ソフトウェアを最新の状態に保つ：脆弱性を修正するアップデートを適用する。認証を経ずに侵入する「セキュリティ・ホール攻撃型」に有効です（多要素認証では防げない領域を補う対策）。
- 被害時の初動を決めておく：ログイン履歴の確認・パスワード変更・関係先への連絡の手順をあらかじめ用意する。被害に気づいてから拡大を抑えるまでの時間を短くします。
多くの対策の中でも、警察庁やIPA（情報処理推進機構）が繰り返し勧めているのが多要素認証です。次章以降で、なぜこの対策が効くのか、どの手口にどの対策が対応するのかを順に見ていきます。
出典・参考資料（2件）
不正ログインとは？主な攻撃手口
ここからは、不正ログインとは何かを押さえたうえで、なぜ前章の対策が効くのかを理解するために、主な攻撃手口を確認します。
不正ログインとは（不正アクセスとの違い）
不正ログインとは、他人のID・パスワードなどを無断で使い、本来の利用者になりすましてサービスにログインする行為です。法律上は「不正ログイン」という言葉はなく、不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）が定める「不正アクセス行為」に該当します。
同法は、他人の識別符号（ID・パスワード等）を無断で入力してアクセス制御された機能を利用可能にする行為を不正アクセス行為と定義し（第2条第4項）、これを禁止しています（第3条）。「不正アクセス」はこうした侵入行為全般を指す広い言葉で、その中でも盗んだID・パスワードでログインする類型が「不正ログイン」にあたります。
パスワードリスト攻撃
どこかのサービスから流出したID・パスワードの組み合わせを使い、別のサービスへ次々にログインを試す手口です。パスワードを複数サービスで使い回していると、1社での流出が芋づる式に他社への不正ログインへつながります。総務省も、この手口を使い回しの危険として明確に説明しています。
パスワードはできる限り、複数のサービスで使い回さないようにしましょう。サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています。
出典：国民のためのサイバーセキュリティサイト｜総務省
総当たり・リバースブルートフォース攻撃
総当たり攻撃（ブルートフォース攻撃）は、1つのIDに対して考えられるパスワードを片端から試す手口です。逆に、よく使われるパスワードを固定して多数のIDに試すリバースブルートフォース攻撃もあります。短く単純なパスワードほど破られやすく、桁数を増やし文字種を混ぜることが基本的な防御になります。
フィッシング
本物そっくりの偽サイトや偽メールへ誘導し、利用者自身にID・パスワードを入力させて盗む手口です。警察庁は、フィッシング等で取得したID・パスワードを使う不正アクセスが多数確認されているとして、二要素認証に加えてパスキーの導入など認証の強化を促しています。
なりすまし・セッションハイジャック
盗んだ認証情報でログインするなりすましのほか、ログイン後の通信（セッション）を乗っ取って正規利用者になりかわる手口もあります。共有端末やフリーWi-Fiでのログイン、ログアウト忘れなどがリスクを高めます。過去に社内システムを利用していた元従業員や知人による不正ログインも、実際の検挙事例で一定数を占めています。
この型には、多要素認証に加えて次の対策が効きます。
- 通信を常時HTTPSで暗号化し、セッション情報の盗み見を防ぐ
- 無操作が続いたときのセッションタイムアウトや、重要操作の前の再認証を設ける
- 共有端末では使用後に必ずログアウトする
- 退職・異動に合わせて、アカウントと権限を速やかに見直す（権限管理）
ここまでの4つは、いずれも盗んだ正規のID・パスワード（識別符号）を悪用する型の手口です。このほかに、認証を経ずにシステムの脆弱性を突いて侵入する「セキュリティ・ホール攻撃型」もあり、こちらは多要素認証では防げず、OS・ソフトの更新など別の対策が必要になります。
【一覧表】攻撃手口と有効な対策の対応
ここまでに挙げた手口と、前章の対策の対応関係を一覧にまとめます。多要素認証は、ID・パスワードの窃取を前提とする複数の手口に横断的に効く一方、脆弱性を突く侵入には別の対策が必要だと分かります。
| 主な攻撃手口 | 特に有効な対策 |
|---|---|
| パスワードリスト攻撃 | 使い回しをやめる／多要素認証／ログイン監視 |
| 総当たり・リバースブルートフォース | 長く複雑なパスワード／多要素認証／連続失敗のロック |
| フィッシング | 送信元・URLの確認／パスキー／多要素認証 |
| なりすまし・セッションハイジャック | 多要素認証／ログイン監視・不正検知／権限管理 |
| 脆弱性を突く侵入（セキュリティ・ホール攻撃型） | OS・ソフトの更新／脆弱性診断／不要サービスの停止 |
警察庁の統計でも、令和6年に検挙された不正アクセス禁止法違反のうち、盗んだID・パスワード等を悪用する「識別符号窃用型」が511件と全体の90%以上を占めます。その多くはパスワードの設定・管理の甘さや、フィッシングによるID・パスワードの窃取が入口です。だからこそ、ID・パスワードが漏れても止められる多要素認証が横断的に効きます。
出典・参考資料（3件）
対策の優先順位｜まず多要素認証から
ここからは、対策をすべて同時に進めるのが難しいときに、何から着手すべきかを整理します。結論から言えば、まず優先すべきは多要素認証です。
前章のとおり、不正ログインの大半は正規のID・パスワードが盗まれて使われる型です。パスワードを強くする対策は重要ですが、フィッシングや流出でパスワードそのものが渡ってしまえば突破されます。多要素認証は、その盗まれたID・パスワードだけではログインさせない仕組みで、複数の手口をまたいで効きます。IPAも、その効果を次のように明記しています。
「多要素認証」を利用している場合、仮にIDおよび1つ目のパスワードを不正利用されてもログインはできないことから、不正ログイン防止に効果があります。
出典：不正ログイン対策特集ページ｜独立行政法人情報処理推進機構（IPA）
優先順位の考え方としては、パスワードの使い回しをやめて長く複雑なものにすることを土台としつつ、盗まれても突破を止められる多要素認証を筆頭に据えます。この2つを最優先で固めたうえで、フィッシング対策（送信元確認・パスキー）、ログイン監視、OS・ソフトの更新へと広げていくと、効果の大きい順に穴をふさげます。
IPAも、パスワードを長く複雑にして使い回さないことを土台に、そのうえで多要素認証の設定を勧めています。
出典・参考資料（1件）
立場別にやるべきこと（個人・企業）
ここからは、同じ「不正ログインを防ぐ」でも立場によって具体的な動き方が変わる点を、個人と企業に分けて整理します。
個人がやるべきこと
個人の場合は、使っているサービスごとに多要素認証やパスキーを設定するのが最優先です。SNS・ネットバンキング・ショッピングサイトなど、多くのサービスは、アカウントの「セキュリティ」や「ログイン」の設定画面から多要素認証（二段階認証やワンタイムパスワードなど）・パスキーを有効にできます。
あわせて、推測されにくく使い回さないパスワードにすることが土台になります。総務省は、最低でも10文字以上で数字・記号・大小の英字を混ぜた長いパスワードを推奨しています。流出などの事実がない限り、パスワードを定期的に変更する必要はないとされています。
企業がやるべきこと
企業の場合は、個々人の対策に加えて、組織として仕組みで守ることが求められます。具体的には、自社サービスや社内システムへの多要素認証（SMS認証・認証アプリなど）の導入、アクセス権限の最小化と定期見直し、不審なログインを見つけるログイン監視・不正検知、OS・ソフトの計画的なパッチ適用、従業員へのセキュリティ教育などです。
この中でも効果が大きく、自社サービスの会員登録やログインに直接組み込めるのが多要素認証です。次章で、その具体的な仕組みと、SMS認証を自社に導入する際の選び方を解説します。
出典・参考資料（1件）
多要素認証（SMS認証）で組織的に不正ログインを防ぐ
ここからは、企業が自社サービス・社内システムに多要素認証を組み込む方法を、SMS認証を中心に解説します。対策全体の中でSMS認証がどこに位置づくかも踏まえて、自社に合う手段を選べるようにします。
多要素認証の種類（SMS認証・認証アプリ・パスキー）と使い分け
多要素認証は、「本人だけが知っていること（パスワード）」に、「本人だけが持っているもの」や「本人自身の特徴」を組み合わせて確認する方式です。企業が実装する主な手段には、次のようなものがあります。
- SMS認証（SMSワンタイムパスワード）：本人の携帯電話番号宛に認証コードを送り、入力させて確認する方式。専用アプリが不要で導入のハードルが低く、会員登録やログインに広く使われます。
- 認証アプリ（TOTP）：スマートフォンの認証アプリが一定時間ごとに生成するコードを使う方式。通信状況に依存せず、SMSより安価に運用できる場合があります。
- パスキー（生体認証・FIDO）：正規サイト以外では認証が成立しないため、フィッシングに強い新しい認証方式。警察庁もフィッシング対策として導入を促しています。
SMS認証は、携帯電話という多くの人が持つ端末を使うため導入しやすい手段ですが、万能ではありません。SIMスワップ（携帯番号の乗っ取り）や、リアルタイムに認証コードを盗むフィッシングには限界があるため、フィッシング耐性の高いパスキーの併用・移行も視野に入れると安全性が高まります。
警察庁も、ワンタイムパスワード等の二要素認証に「加えて」パスキーの導入を勧めています。SMS認証は、対策全体の中の有力な一手段として位置づけるのが適切です。
SMS認証だけでなく、認証アプリやパスキーも含めて自社の要件に合う認証方式・製品を横並びで比べたい場合は、以下の記事で認証方式ごとの特徴や料金、タイプ別の選び方を詳しく解説しています。
SMS認証を自社サービスに組み込む仕組みと選び方
SMS認証を自社サービスに組み込む場合、多くのサービスがHTTPS APIを提供しており、会員登録やログインの処理から認証コードの生成・送信・照合を呼び出す形で実装します。認証コードの生成から照合までを一括で担う専用APIを用意しているサービスなら、自社側で発番の仕組みを作り込む必要が減ります。
選ぶ際は、次の観点を自社の要件に照らして確認するとよいでしょう。
- 認証コードが確実に届くか（国内キャリアとの接続方式・到達率）
- 認証専用のAPIやワンタイムパスワードの生成・照合機能が用意されているか
- 料金体系が送信通数に見合うか（初期費用・月額・従量単価・到達課金かどうか）
- フィッシングやなりすまし対策の機能があるか
主要なSMS認証サービスの比較
不正ログイン対策としてSMS認証を導入する際に候補となる、代表的な法人向けSMS認証サービスを比較します。より多くのサービスを横並びで見たい場合は、後述の比較記事もあわせてご覧ください。
| サービス名 | SMSLINK | KDDI Message Cast | オーロラSMS by メディアSMS |
|---|---|---|---|
| 提供会社 | 株式会社ネクスウェイ （TISインテックグループ） | KDDI株式会社 （Supership株式会社と共同運営） | 株式会社メディア4u （ファブリカグループ） |
| 認証の実装方式 | 認証専用API（有料オプション） コード生成〜SMS・音声送信〜照合をワンストップ | SMS送信APIでOTPを送信 （OTP生成・検証は自社システム側で実装） | 認証オールインワンAPI OTP生成・照合をワンステップで実行 |
| 初期費用 | 0円 | 0円 | 0円 |
| 月額費用 | 0円 （専用番号・英字表記プランは月額30,000円） | 0円 （基本料なし） | 0円 （基本料／送信成功分の従量課金） |
| SMS従量単価 | 1通6円〜 （従量・通数により変動、2026年8月時点） | 9.35円（税込）〜 （到達課金、2026年8月時点） | 要問い合わせ （公式は単価非開示、2026年8月時点） |
| 国内キャリア接続・到達 | 国内4キャリアと直接接続 （到達率の数値は非開示） | 共通番号「0005」で携帯4社に直接接続 到達率98%以上（自社調べ） | 国内4キャリア直収接続 到達率99.9%（自社検証試験） |
| 音声（IVR）認証フォールバック | ●SMS不達時に自動音声通話へ切替（固定電話対応） | ×音声認証フォールバックの記載なし | ●IVR（発信）認証に対応（固定電話・SMS不達を補完） |
| なりすまし・フィッシング対策 | 公式に専用機能の記載なし （プライバシーマーク保有） | 共通番号「0005」 認証済みマーク付き＋メッセージ RCS公式アカウント（KDDI審査） | ＋メッセージ公式アカウント取得支援 （審査通過で認証済みマーク付与） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
不正ログイン対策に使える主なSMS認証サービス
ここからは、SMS認証を提供する代表的なサービスを個別に紹介します。いずれも会員登録・ログイン時の本人確認や二段階認証を、SMS送信API経由で自社サービスに組み込めるサービスです。
1. SMS配信サービス「SMSLINK」（株式会社ネクスウェイ）
SMSLINKは、FAX・郵送・メールなどの法人向けコミュニケーションを35年以上手がけてきた株式会社ネクスウェイ（TISインテックグループ）が提供するSMS配信サービスです。本人確認・二段階認証の用途には、有料オプションの「認証機能」を追加することで、認証コードの生成からSMS・音声での送信、照合チェックまでをAPI連携で運用できます。
国内4キャリアすべてと直接接続することで到達率を高めつつ、後発ならではの分かりやすい操作性と低価格を打ち出している点が特徴です。管理画面から3ステップで送信できるWebタイプと、既存システムと連携するAPIタイプを用意しており、小さく始めて自動化へ広げられます。
認証コードの到達率は、他社サービスからの乗り換えを相談する動機としても現場で挙がるといいます。SMSLINKを提供する株式会社ネクスウェイの担当者は、次のように述べています。
2. KDDI Message Cast（KDDI株式会社）
通信事業者であるKDDI株式会社がSupership株式会社と共同運営する、法人向けメッセージ配信サービスです。会員登録時の本人確認やログイン時の二段階認証を、SMS送信API経由でワンタイムパスワードの送信として実装できます。KDDIの国内キャリア網接続による到達率の高さを訴求しています。
携帯4社が公認する共通番号「0005」や、送信元の信頼性を示す認証済みマーク付き＋メッセージ、KDDIの審査を経たRCS公式アカウントなど、なりすまし・フィッシング対策の機能を備えます。初期費用・月額基本料は0円で、到達した分のみ課金する到達課金のため、スモールスタートしやすい料金体系です（2026年8月時点、SMS従量単価は9.35円（税込）〜）。
3. オーロラSMS by メディアSMS（株式会社メディア4u）
株式会社メディア4uが提供するメディアSMS（ブランド名オーロラSMS）は、国内4キャリアとの直接接続を基盤に、SMS配信と本人認証を組み合わせて提供するサービスです。認証用途では、ワンタイムパスワードの生成・送信・照合判定を1つのAPIで実行できる「認証オールインワンサービス」を用意しており、自社側での発番開発を抑えられます。
SMSが届かない場合や固定電話での認証に備えて、自動音声応答（IVR）を使う発信認証にも対応する点が特徴です。初期費用・月額基本料は0円で、送信成功分のみを請求する従量制課金です（2026年8月時点、SMS従量単価は公式では非開示で要問い合わせ）。認証コードの不達を抑えたい場合の選択肢になります。
SMS認証とIVRを組み合わせた運用について、メディアSMSを提供する株式会社メディア4uの担当者は、導入現場での評価を次のように説明します。
認証領域では、SMS認証にIVR（自動音声）を組み合わせることで、ユーザー体験を損なわずにセキュリティを強化できたという評価もいただいています。
ここで取り上げた3サービスを含め、より多くのSMS認証サービスを到達率・料金体系・API・なりすまし対策の機能で横並びに比較したい場合は、以下の記事で選び方とあわせて詳しく解説しています。自社サービスへの多要素認証の導入を検討される方は、ぜひこちらもご覧ください。
不正ログインの被害に遭ったとき・兆候があるときの対処
ここからは、身に覚えのないログイン通知が届いたときや、実際に被害に遭ったと分かったときの対処手順を確認します。警察庁が示す手順に沿って、落ち着いて次の順で動きます。
- ログイン履歴を確認・保全する：ログイン履歴が確認できる場合は、画面を保存・印刷して証拠を残します。いつ・どこからアクセスされたかが、その後の対応や相談の材料になります。
- パスワードを変更する：対象のサービスにログインできる場合は、早急にパスワードを変更します。同じパスワードを使い回している他のサービスも、あわせて変更してください。
- サービス提供会社・警察へ連絡する：利用しているサービスの提供会社へ速やかに連絡・相談し、必要に応じて、保存したログイン履歴を持参して最寄りの警察署やサイバー犯罪相談窓口へ通報・相談します。
企業の場合、不正アクセス禁止法は、アクセス管理者からの申出に応じて都道府県公安委員会が再発防止のための援助（資料提供・助言等）を行うことを定めています（第9条）。被害の連絡先・相談先を、あらかじめ社内の手順として決めておくと初動が速くなります。
出典・参考資料（2件）
まとめ
不正ログインの多くは、盗まれた正規のID・パスワードを悪用する型です。対策は数多くありますが、優先順位をつけるなら、まず多要素認証を有効にし、パスワードを長く複雑にして使い回さないことが土台になります。そのうえで、フィッシング対策・ログイン監視・OSやソフトの更新へと広げると、効果の大きい順に穴をふさげます。
個人は各サービスで多要素認証やパスキーの設定を、企業は自社サービス・社内システムへの多要素認証（SMS認証など）の導入を軸に進めるとよいでしょう。SMS認証は導入しやすい有力な手段ですが、SIMスワップやフィッシングには限界があるため、パスキーの併用も含めて自社に合う形を検討してください。
一括ダウンロードする
よくある質問（FAQ）
Q. 不正ログインとは何ですか？
A. 不正ログインとは、他人のID・パスワードなどを無断で使い、正規の利用者になりすましてサービスにログインする行為です。法律上は「不正ログイン」という呼称はなく、不正アクセス禁止法が禁じる「不正アクセス行為」に該当します。企業のWebサービス・社内システムから、個人のSNS・ネットバンキングまで幅広く標的になります。
Q. 不正ログインと不正アクセスの違いは何ですか？
A. 「不正アクセス」はシステムへの不正な侵入行為全般を指す広い言葉で、その中でも盗んだID・パスワードでログインする類型が「不正ログイン」にあたります。不正アクセスには、不正ログインのほかに、システムの脆弱性（セキュリティ・ホール）を突いて認証を経ずに侵入する型も含まれます。不正ログインは、不正アクセスの代表的な一形態といえます。
Q. 不正ログイン対策はまず何から始めるべきですか？
A. 不正ログイン対策で最初に取り組むべきは、多要素認証（SMS認証・認証アプリ・パスキーなど）を有効にすることです。不正ログインの大半は盗まれた正規のID・パスワードを悪用する型で、多要素認証はID・パスワードが漏れてもログインを止められるため、複数の攻撃手口に横断的に効きます。
あわせて、パスワードを長く複雑にして使い回さないことが土台になります。IPAも、パスワードを強くしたうえで一歩進んだ対策として多要素認証の設定を勧めています。
出典・参考資料（1件）
Q. 多要素認証のSMS認証は安全ですか？
A. SMS認証は導入しやすく有効な多要素認証の一手段ですが、万能ではありません。SIMスワップ（携帯番号の乗っ取り）や、認証コードをリアルタイムに盗み取るフィッシングには防ぎきれない限界があります。
警察庁も、ワンタイムパスワード等の二要素認証に「加えて」、フィッシング耐性の高いパスキーの導入を勧めています。SMS認証は、パスキーなどと併用・移行しながら、対策全体の中の有力な一手段として位置づけるのが安全です。
Q. 不正ログインされたかどうかを確認する方法はありますか？
A. 多くのサービスが備える「ログイン履歴」や「ログインアラート（通知）」で、身に覚えのないアクセスがないかを確認できます。見慣れない端末・地域・日時からのログイン記録があれば、乗っ取りの兆候です。
心当たりのないログイン通知が届いた場合は、まず履歴を保存・保全したうえで速やかにパスワードを変更し、サービス提供会社へ連絡してください。企業では、普段と異なるログインを検知するログイン監視・不正検知の導入が、兆候の早期発見に有効です。
Q. 不正ログイン対策としてパスワードは定期的に変更すべきですか？
A. 流出などの事実がない限り、パスワードを定期的に変更する必要はないとされています。定期的な変更を求めると、かえって単純なパスワードやパターン化された使い回しを招きやすく、総務省も定期変更は不要としています。重要なのは、他サービスと使い回さない長く複雑なパスワードを設定し、流出のおそれがあるときに速やかに変更することです。
出典・参考資料（1件）
SMS認証サービスの料金・手数料を一括チェック
SMS認証サービスの多くは、送信通数や機能に応じて料金が変わり、認証専用機能の料金は個別見積りとしている場合もあります。MCB FinTechカタログでは、不正ログイン対策に役立つSMS認証サービスの最新資料をまとめて取り寄せられます。到達率・API・料金体系・なりすまし対策の機能を横並びで比較し、自社サービスへの多要素認証の導入を検討する材料としてご活用ください。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
