スミッシングやSIMスワップ詐欺のニュースを見て、「自社が使っているSMS認証は本当に安全なのか」「届いたSMSを開いても大丈夫なのか」と不安に感じていませんか。SMSは本人確認や二段階認証で広く使われる一方、安全性をめぐっては「高セキュリティ」という見方と「リスクがある」という見方が入り混じっています。
本記事では、SMSが安全とされる理由と危険とされる理由を両論で整理したうえで、スミッシング・SIMスワップ・傍受といった具体的なリスクと、事業者・利用者それぞれが取るべき対策を解説します。さらに、SMS認証を使い続けるべきかの判断軸（NISTの位置づけを含む）と、安全なSMS認証・SMS配信サービスの選び方まで整理しました。
自社のSMS認証・SMS配信を安全に運用したい担当者の方が、リスクを正しく理解し、次の一手を判断するための材料としてご活用ください。
目次
一括ダウンロードする
SMSのセキュリティは安全か危険か（両論で整理）
結論から言うと、SMSは「メールなど他の手段と比べれば安全性が高い面がある一方、単体では防ぎきれないリスクもある」というのが実態です。まず、安全とされる理由と危険とされる理由の両方を並べて見ていきましょう。
SMSが安全とされる理由
- 電話番号は契約時に本人確認されている：携帯電話の契約時には携帯電話不正利用防止法にもとづく本人確認が義務付けられており、匿名で大量に取得できるフリーメールより、なりすましのハードルが高くなります。
- 端末・番号に紐づく：SMSは特定の電話番号を持つ端末でしか受け取れないため、所持の確認（本人性の担保）に使えます。
- 到達率が高い：迷惑メールフォルダに振り分けられるメールと違い、SMSは相手に届きやすく、認証コードの受け取り漏れが起きにくい特性があります。
「SMSはキャリアの閉域網を通るから安全」という説明もよく見られますが、これはSMS事業者が挙げる根拠で、中立の公的資料で裏付けられたものではありません。後述の傍受リスクとあわせて、過信しすぎないことが大切です。
SMSが危険とされる理由
- 本文が暗号化されない：SMSは平文で送られるため、通信経路（SS7と呼ばれる携帯電話網の信号制御の仕組み）の脆弱性を突いた傍受や、不正アプリによる読み取りのリスクがあります。
- 番号を乗っ取られることがある：SIMスワップ詐欺により、電話番号ごと攻撃者に移されると、認証SMSが本人に届かなくなります。
- 人をだます攻撃に弱い：スミッシング（SMSを使ったフィッシング）で偽サイトに誘導され、利用者自身が認証コードを入力してしまう被害が増えています。
このように、SMSの弱点の多くは「技術そのもの」よりも、人をだます手口や番号の乗っ取りといった運用面にあります。だからこそ、リスクの中身を知り、対策とあわせて使うことが判断の出発点になります。
出典・参考資料（1件）
SMSに潜む具体的なリスク・攻撃手口
ここからは、SMSを狙う代表的な攻撃手口を、何が起きて何を盗られるのかとあわせて一覧で整理します。自社や自分に関係しそうなものを確認してみてください。
| 攻撃手口 | スミッシング（SMSフィッシング） | SIMスワップ | 傍受（SMSインターセプト） | 送信元の偽装 | SMS認証代行 |
|---|---|---|---|---|---|
| 主な手口 | 実在の企業や公的機関を装う偽SMSで偽サイトへ誘導する | 本人になりすまして携帯会社に電話番号を別のSIMへ移し替えさせる | 平文のSMSをSS7の脆弱性や不正アプリで盗み見る | 送信元ID（英字）を正規企業に偽装して紛れ込ませる | 他人の電話番号を使って認証を肩代わりする |
| 主な被害 | ID・パスワード・認証コードやカード情報の詐取、不正送金 | 認証SMSを攻撃者が受信し、アカウントを乗っ取られる | ワンタイムパスワードや通知内容が第三者に漏れる | 正規SMSと見分けがつかず、偽サイト誘導に悪用される | 不正なアカウント作成や本人確認のすり抜け |
これらは絵空事ではありません。警察庁のまとめによると、2025年上半期（令和7年上半期）のフィッシング報告件数は119万6,314件にのぼります。同期のインターネットバンキングに係る不正送金の発生件数は2,593件、被害総額は約42億2,400万円で、フィッシングがその手口の約9割を占めています。
同庁は、偽サイトに入力させた情報をその場で悪用する「リアルタイム型フィッシング」で二段階認証が突破された事例や、SIMスワップで本人確認が突破された事例にも言及しています。SMS認証も、こうした手口の前では万能ではないことがわかります。
特にSIMスワップは、攻撃者が偽の身分証などで携帯電話会社をだまし、被害者の電話番号を自分のSIMへ移し替える手口です。番号が移ると認証SMSは攻撃者に届くため、SMS認証だけに頼っていると、気づかないうちにアカウントを乗っ取られる恐れがあります。
傍受（SMSインターセプト）は、通信網の脆弱性や不正アプリを悪用してSMSを盗み見るもので、日常的に多発する手口ではありませんが、重要な情報を扱う場面では無視できないリスクです。
出典・参考資料（2件）
上の表で挙げた「SMS認証代行」は、利用者ではなくサービスを提供する事業者側が被る種類のリスクです。その手口がなぜ問題になるのか、法的にどう扱われるのか、事業者が取れる対策までを別の記事で詳しく解説しています。
一括ダウンロードする
SMSのセキュリティリスクへの対策
リスクは、事業者側の設計と利用者側の注意の両輪で大きく減らせます。ここでは立場別に、実務で取れる対策を整理します。
事業者が取るべき対策
- 送信元を明確にする：共通番号（「0005」から始まる、国内キャリアの審査を通過した事業者に発行される番号）や自社の電話番号を送信元に用い、送信元番号やドメインを公式サイトで事前に公開します。
- 国内網直収のサービスを使う：海外経由の配信は迷惑SMSとしてブロックされやすく、なりすましにも悪用されやすいため、国内キャリアに直接接続するサービスを選びます。
- 多要素認証（MFA）と組み合わせる：SMS認証を単独ではなく、パスキーや認証アプリと組み合わせ、重要操作時に追加認証を求める設計にします。
- 不正利用を検知する仕組みを持つ：他人名義の番号やデータSIMを判定する機能、認証コードの有効期限や試行回数の制限で、なりすましや認証代行を抑止します。
利用者が取るべき対策
- 不審なSMSのURLを開かない：身に覚えのないSMSや、短縮URLのリンクを安易に開かず、公式アプリや公式サイトのブックマークからアクセスします。
- 送信元と本文を確認する：送信元の番号や本文を検索し、正規の連絡か確かめます。不安な場合は送信元とされる企業に直接問い合わせます。
- 認証コードを他人に教えない：どんな理由であれ、電話やSMSで認証コードの入力・共有を求められても応じないようにします。
SMS配信で押さえておきたい法令
事業者がSMSを配信する際は、法令順守も欠かせません。広告・宣伝を目的とするSMSは特定電子メール法の対象で、受信者の同意（オプトイン）や配信停止への対応が求められます。総務省も、SMSが同法の規制対象であることを示しています。
また、SMS配信で扱う電話番号などの個人情報については、個人情報保護法が事業者に安全管理措置（漏えい防止のための技術的・組織的な対策）を求めています。配信停止リストの管理や第三者認証（ISMS／Pマーク）の取得は、こうした法令順守の一環として位置づけられます。
出典・参考資料（2件）
SMS認証は使い続けるべきか、別手段へ移行すべきか
結論として、SMS認証は「廃止すべきもの」ではなく、「リスクを理解して追加の対策とあわせて使うべきもの」です。パスワード単体よりは不正アクセスのハードルを確実に上げられるため、多要素認証の一要素として活用する判断が現実的です。
NISTの位置づけを正確に読む
SMS認証をめぐっては「NISTが非推奨にした」という表現が広まっていますが、これは正確ではありません。米国のガイドライン NIST SP 800-63B は、電話網（PSTN）を使うSMS/音声のOTPを「RESTRICTED（制限付き）」に分類しています。これは禁止ではなく、リスクを理解し追加対策を施すことを条件に継続利用を認める、という位置づけです。
リスクがあっても使われ続ける理由
NISTがRESTRICTEDに分類してもなおSMS認証が使われ続けるのは、コストとカバレッジの面で現実的な利点があるからです。専用アプリの導入や生体認証の登録が不要で、電話番号さえあれば使えるため、スマートフォンに不慣れな人やフィーチャーフォンの利用者も取りこぼしません。導入・運用の負担が軽く、幅広い利用者を一つの手段でカバーできる点が、他の認証手段にはない強みです。
用途に応じた認証手段の使い分け
「どちらか一つ」ではなく、用途に応じて組み合わせるのが基本です。フィッシング耐性を最優先するならパスキーを主認証にし、SMS認証を補完手段に回すといった設計が有効です。
| 認証手段 | SMS認証 | パスキー（FIDO2） | 認証アプリ（TOTP） | IVR（音声）認証 |
|---|---|---|---|---|
| フィッシング耐性 | 中（コードを盗まれる余地がある） | 高 | 中〜高 | 中 |
| 主な強み・向く場面 | 電話番号の所持確認で不正アカウント作成を抑止。導入が容易でフィーチャーフォンでも使える | 秘密情報を送信しない設計でフィッシングに強い。対応環境が前提で、フィッシング耐性を優先する場面に | 通信を介さずコードを生成。アプリ導入が必要で、社内利用など管理しやすい場面に | SMSが届かないときの補完。固定電話でも認証できる |
金融分野でも、日本証券業協会が2025年に会員へインターネット取引での多要素認証の設定必須化を求めるなど、多要素認証を求める動きが強まっています。SMS認証を使う場合も、他の要素との組み合わせを前提に設計することが重要です。
出典・参考資料（1件）
SMS認証と組み合わせる多要素認証（MFA）そのものを強化したい場合は、認証方式や料金の異なるさまざまなシステムがあります。以下の記事で機能・料金・タイプ別の選び方を比較しているので、あわせてご覧ください。
安全なSMS認証・SMS配信サービスの選び方
対策の全体像はここまでで押さえられます。ここからは、対策を実際のサービスで運用したい方に向けて、選び方と具体的なサービスを紹介します。セキュリティ機能を備えたSMS認証・SMS配信サービスは、次の観点で比較すると自社に合うものを見極めやすくなります。
セキュリティで選ぶときの観点
- 送信元の明確化：共通番号や自社番号での送信、送信元表示に対応しているか
- 国内網直収：国内キャリアに直接接続し、高い到達率となりすまし耐性を確保しているか（海外経由ルートも持つサービスでは、用途に応じて国内直収ルートを指定できるか）
- 不正利用の抑止：他人接続判定や認証代行対策など、なりすましを防ぐ機能があるか
- 第三者認証と法令順守：ISMS（ISO/IEC 27001）やPマークなどの取得、配信停止リスト管理に対応しているか
これらの観点で、本記事で紹介する4サービスの特徴を比較すると次のとおりです。
| サービス名 | KDDI Message Cast | オーロラSMS by メディアSMS | SMSLINK | 絶対リーチ!SMS |
|---|---|---|---|---|
| 認証方式 | SMS認証型 （SMS送信APIでOTP・二段階認証に利用） | SMS認証＋IVR（発信）認証 | SMS認証型 （送信失敗時に音声通話へ自動切替） | SMS認証型 （IVR付き認証で非対応端末を補完） |
| 送信元の明確化・なりすまし対策 | 共通番号0005（携帯4社公認）と＋メッセージの認証済みマーク。誤配信防止機能で他人利用の可能性がある番号を事前確認 | 他人接続判定機能で本人以外の可能性がある番号を抽出。音声SIM判定でデータSIMを自動除外（オプション） | なりすまし・不正利用の防止を公式に訴求（認証機能）。専用番号・英字表記プランで送信元表記に対応 | セキュアSMS認証で認証代行（認証コードの不正な自動取得）を阻止（特許取得） |
| 国内網直収・対応キャリア | 国内キャリア網に直接接続。SMSは共通番号0005でau・ドコモ・ソフトバンク・楽天の4社に対応 | 国内4キャリア直収接続（ドコモ・au・ソフトバンク・楽天） | 国内キャリアと直接接続を公式に訴求（個別キャリア名は公式非開示） | 国内直収ルートで送信（別途、海外経由の送信ルートも併存） |
| 第三者認証（ISMS／Pマーク） | KDDI本体はISO/IEC 27001を全社で保有。Message Castサービス単位の認証は公式に記載なし | Pマーク／ISO/IEC 27001・27017を本体保有。ASPICの情報開示認定も取得 | プライバシーマークを本体保有。ISO/IEC 27001は公式に記載なし | プライバシーマーク（第21001169号）。ISO/IEC 27001は規格に基づく管理体制を維持と公式に記載 |
| 料金（初期／月額） | 初期0円／月額0円 （SMS従量9.35円〜/通・到達課金） | 初期0円／月額0円 （送信成功分の従量課金・単価は要問い合わせ） | 初期0円／月額0円 （スタンダードプラン・SMS1通6円〜） | 1-Wayプランは初期0円／月額1,000円 （認証系プランは要問い合わせ） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式サイト |
1. KDDI Message Cast（KDDI株式会社／Supership株式会社）
KDDI Message Castは、KDDI株式会社とSupership株式会社が共同運営する法人向けメッセージ配信サービスです。携帯電話番号宛にSMS・RCS・＋メッセージを配信でき、本人確認や二段階認証、重要なお知らせ、支払い督促などに使われています。
KDDIの国内キャリア網への直接接続による高い到達率が強みで、SMS送信APIを通じて会員登録時のSMS認証やログイン時の二段階認証に組み込めます。送信元を明確にする運用と直収配信により、なりすまし対策と確実な到達を両立したい事業者に向いています。
2. オーロラSMS by メディアSMS（株式会社メディア4u）
不正利用の抑止と第三者認証を重視するなら、株式会社メディア4uが提供するオーロラSMS by メディアSMSが選択肢になります。国内4キャリアとの直接接続を特徴とし、SMS認証に加えて、SMSが届かない場合のフォールバックとなるIVR（音声）認証にも対応します。
電話番号が他人名義である可能性を判定する「他人接続判定機能」を備え、なりすましや不正利用の抑止に役立ちます。ISO/IEC 27001・27017やPマーク、ASPICクラウドサービス情報開示認定などの第三者認証を取得しており、セキュリティ体制を重視する企業の要件に合わせやすいサービスです。
3. SMSLINK（株式会社ネクスウェイ）
SMSLINKは、TISインテックグループの株式会社ネクスウェイが提供するSMS配信サービスです。本体のSMS配信機能に加え、有料オプションの「認証機能」で、認証コードの生成・送信・照合までをAPI連携で運用できます。
国内網直収による配信を基本とし、公式にもなりすまし・不正利用の防止用途を掲げています。Pマークを取得し、配信停止リストの管理など特定電子メール法・個人情報保護法への対応も整理されているため、法令順守を重視しながらSMS認証を導入したい事業者に向いています。
4. 絶対リーチ!SMS（AI CROSS株式会社）
認証代行のような不正利用まで踏み込んで対策したい場合に候補となるのが、AI CROSS株式会社の絶対リーチ!SMSです。国内キャリアとの直接接続ルート（国内直収）と海外経由ルートの2系統を持ち、認証など確実性が求められる用途では国内直収ルートを選べます。API連携で既存システムにも組み込めます。
本人確認・多要素認証の用途を公式に提供し、SMS認証を第三者に肩代わりさせる「認証代行」を阻止する専用の仕組み（セキュアSMS認証）を備えている点が特徴です。プライバシーマークを取得しており、不正なアカウント作成を防ぎたいサービス事業者に向いています。
また、ここで取り上げた以外のSMS認証サービスも含めて、基本機能や料金、選び方まで全体を比較検討したい場合は、以下の記事が参考になります。導入を本格的に検討する際の材料としてご活用ください。
SMS認証とは（仕組み）
最後に、ここまでの前提となるSMS認証の基本を確認します。SMS認証とは、利用者の携帯電話番号宛にSMSで認証コード（ワンタイムパスワード）を送り、その番号を持つ本人だけがコードを受け取れることを利用して本人確認を行う仕組みです。
利用者側の流れはシンプルで、サービスにログインまたは登録する際に電話番号を入力すると、SMSで届いた認証コードを画面に入力して認証が完了します。企業側は、認証コードの生成・SMS送信・入力されたコードの照合を、SMS認証サービスのAPIと連携して自動で処理します。パスワードだけの認証に「本人の端末を持っていること」という要素を加えられるため、二段階認証・多要素認証の手段として広く使われています。
まとめ
SMSは、電話番号の本人確認や高い到達率という強みがある一方、スミッシング・SIMスワップ・傍受といったリスクも抱えています。安全か危険かは二択で決まるものではなく、リスクを理解したうえで、送信元の明確化・国内直収・多要素認証との組み合わせといった対策とセットで使うことが答えになります。
SMS認証は正しく設計すれば有効な認証手段です。自社の運用に合った、セキュリティ機能を備えたSMS認証・SMS配信サービスの資料は、以下からまとめて請求できます。
一括ダウンロードする
よくある質問（FAQ）
Q. SMSとメールでは、認証コードの受け取りはどちらが安全ですか？
A. SMS認証は、一般にメールでの認証コードよりも本人確認の確実性とフィッシング耐性が高いと考えられます。携帯電話番号は契約時に携帯電話不正利用防止法にもとづく本人確認が行われており、匿名で大量に取得できるフリーメールよりなりすましのハードルが高いためです。ただしSMSにもスミッシングや傍受のリスクはあるため、どちらも「単体で万全」ではなく、多要素認証と組み合わせて使うことが前提になります。
Q. SMS認証は廃止したほうがよいですか？
A. SMS認証は、廃止する必要はなく、リスクを理解したうえで多要素認証の一要素として使い続けるのが現実的な判断です。米国のガイドライン NIST SP 800-63B もSMS/音声のOTPを「RESTRICTED（制限付き）」と位置づけており、これは禁止ではなく、追加の対策を条件に継続利用を認めるものです。
パスワード単体よりは不正アクセスのハードルを確実に上げられるため、パスキーや認証アプリと組み合わせて活用するのが有効です。
Q. SIMスワップ詐欺による乗っ取りは、事業者側の対策で防げますか？
A. SIMスワップ詐欺は、利用者だけでは完全には防げませんが、事業者側の認証設計で乗っ取りの成立を大きく抑えられます。SIMスワップは攻撃者が携帯会社になりすまして電話番号を別のSIMへ移し替える手口のため、SMS認証を単独の本人確認手段にせず、パスキーや認証アプリと組み合わせる、重要操作時に追加の認証を求めるといった多要素の設計が有効です。
番号の変更・再発行を検知して再認証を促す仕組みも、被害の抑止に役立ちます。
Q. 届いたSMSが本物か偽物（スミッシング）かを見分けるにはどうすればよいですか？
A. 届いたSMSの真偽は、本文中のURLを鵜呑みにせず、公式アプリや自分で登録したブックマークから正規サイトにアクセスして確かめることで見分けます。実在の企業や公的機関を装う偽SMS（スミッシング）は文面だけでは見分けにくいため、リンクは安易に開かず、送信元の番号や本文を検索して正規の連絡か確認します。不安な場合は、送信元とされる企業へ公式サイトに記載の連絡先から直接問い合わせるのが確実です。
Q. 金融サービスの本人確認をSMS認証だけで行っても問題ありませんか？
A. 金融サービスの本人確認は、SMS認証だけに頼らず、多要素認証と組み合わせて行うことが求められる方向にあります。日本証券業協会は2025年に会員へインターネット取引での多要素認証の設定必須化を求めるなど、金融分野では多要素認証を求める動きが強まっています。SMS認証を用いる場合も、パスキーや認証アプリなど他の要素と組み合わせる前提で設計することが重要です。
出典・参考資料（1件）
Q. SMS認証コードをうっかり第三者に伝えてしまった場合はどうすればよいですか？
A. SMS認証コードを第三者に伝えてしまった場合は、気づいた時点でただちに対象サービスのパスワードを変更し、可能であればパスキーや認証アプリなど別の認証方式を追加で設定してください。認証コードは一定時間で失効しますが、偽サイトへの入力をその場で悪用するリアルタイム型の攻撃では即座に使われる恐れがあります。
不正ログインや不正送金の有無を確認し、身に覚えのない操作があればサービス事業者やカード会社へ速やかに連絡しましょう。今後は、どんな理由であれ電話やSMSで認証コードの入力・共有を求められても応じないことが基本です。
SMS認証・SMS配信サービスの料金・資料を一括チェック
MCB FinTechカタログでは、送信元表示・国内直収・不正利用対策などセキュリティ機能を備えたSMS認証・SMS配信サービスの最新資料を無料で一括請求できます。機能や対応範囲を横断で比べて、自社の運用に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
