自社のWebサービスやアプリで、なりすまし登録や不正ログインへの対策として「SMS認証を入れてはどうか」という話が出ることが増えています。パスワードだけのログインに不安があるなか、携帯電話番号を使った本人確認は導入のハードルが低く、多くのサービスで採用が進んでいます。
一方で、「SMS認証は危険」「NISTが非推奨にした」といった断片的な情報も目にします。実際のところ、SMS認証にはどんな仕組みとリスクがあり、自社に導入してよいのか——判断するには、仕組み・メリット・デメリット・リスクへの対策を順に押さえる必要があります。
この記事では、SMS認証とは何かという定義から、仕組み・使われる理由・メリットとデメリット、セキュリティリスクと企業側で取れる対策、「廃止すべきか」の判断軸、他の認証方式との違い、そしてサービスの選び方・導入の進め方までを解説します。
目次
一括ダウンロードする
SMS認証とは?定義と仕組み
SMS認証とは、携帯電話番号宛てにSMS(ショートメッセージ)で認証コード(ワンタイムパスワード、OTP)を送り、利用者がその数字コードを画面に入力することで本人確認を行う仕組みです。IDとパスワードに加えてコード入力を求めることから、二要素認証(2FA)や二段階認証の一つとして位置づけられます。

ここからは、利用者側と企業(サービス提供者)側の流れを分けて見ていきます。
利用者側の流れ
利用者から見た流れはシンプルです。ログインや会員登録の画面で携帯電話番号を入力すると、その番号宛てにSMSで認証コードが届きます。受け取ったコードを画面に入力し、照合が成功すると本人と確認されてログインや登録が完了します。
コードの桁数や有効期限はサービスによって異なります。たとえば松井証券のログイン時のSMS認証では、受信した6桁の認証番号を3分以内に入力する必要があり、入力を3回間違えると口座がロックされる仕様が公式に案内されています。認証コードは使い捨てで、有効期限を過ぎると使えなくなるのが一般的です。
出典・参考資料(1件)
企業側(API連携)の流れ
サービスを提供する企業側では、認証コードの生成・SMS送信・入力されたコードの照合という一連の処理を行います。自社でこれらをすべて実装することもできますが、SMS認証サービスのAPIを使えば、コード生成から送信、照合までをまとめて組み込めます。
サービスによっては、OTPの生成と照合判定までをAPI側が肩代わりする「認証専用API」を用意しているものと、SMSの送信だけを担い、コードの生成・照合は利用企業側で実装するものがあります。どちらの責務分担になるかは選定時の確認ポイントになります。
SMS認証が使われる理由と利用シーン
SMS認証が広く採用されているのには理由があります。ここでは、普及の背景と具体的な利用シーンを整理します。
使われる理由
第一に、スマートフォンの普及とSMSの標準搭載です。SMSはほぼすべての携帯電話に最初から備わっているため、専用アプリや追加の設定なしに幅広い利用者へ届きます。対象を選ばず使える手軽さが、本人確認の手段として採用が広がった背景にあります。
第二に、到達性の高さです。各SMS認証サービスは、国内キャリアと直接接続する「国内直収」ルートによる高い到達率を訴求しており、到達率99%前後(各社の自社計測値)を掲げる例が多く見られます。認証コードが確実に届くことは、本人確認を成立させるうえで重要な要件です。
主な利用シーン
SMS認証は、本人確認やなりすまし防止が必要なさまざまな場面で使われています。
- 会員登録・アカウント作成時: 本人の携帯番号を確認し、架空・重複アカウントの作成を抑える
- ログイン時の二段階認証: ID・パスワードに加えてコード入力を求め、不正ログインを防ぐ
- パスワード再設定・重要情報の変更時: 本人以外による操作を防ぐ
- 決済・送金などの重要な取引時: 操作の都度、本人であることを確認する
- キャンペーン・チケット購入時: 1人で複数登録する不正や転売目的の取得を抑止する
SMS認証のメリットとデメリット
導入を検討するうえで、メリットと、実務で必ず当たる制約(デメリット)の両方を押さえておく必要があります。
メリット
- 不正アクセス対策の強化: パスワード単体のログインに比べ、携帯端末の所持という要素が加わることで、なりすましのハードルが上がる
- 利用者の負担が少ない: 専用アプリが不要で、SMSを受信してコードを入力するだけなので、幅広い層が使える
- 企業が導入しやすい: SMS認証サービスのAPIを使えば、認証フローを比較的短期間で組み込める。初期費用・月額が無料のサービスも多い
- 多重登録の抑止: 携帯電話番号は契約時に本人確認が行われているため、番号による制限で不正なアカウント量産を抑えられる
デメリット・実務上の制約
- 届かないケースがある: データ専用SIM(SMS非対応)や一部の格安SIM、固定電話しか持たない利用者には認証コードが届かない場合がある
- 海外番号への対応が限定的: 海外の利用者が多いサービスでは、対応国やコストの面で制約が出ることがある
- 番号変更・端末紛失で認証できない: 利用者が携帯電話番号を変更したり端末を紛失したりすると、認証が通らなくなる。別の本人確認手段を用意しておく必要がある
- 遅延・未達の可能性: 電波状況やキャリア側の事情でSMSが遅れる・届かないことがあり、認証失敗や離脱につながる
- 送信コストがかかる: SMS送信は従量課金が基本で、送信量に応じて費用が発生する
SMS認証のセキュリティリスクと企業側の対策
SMS認証には、知っておくべき固有のセキュリティリスクがあります。ここでは主なリスクと、企業側の設計・運用で取れる対策を対応表で整理します。いずれも「正しく設計すれば軽減できる」ものです。
| リスク | SIMスワップ | SMSインターセプト(傍受) | スミッシング(SMSフィッシング) | 使い捨て番号・SMS認証代行 | 認証爆撃(大量送信要求) |
|---|---|---|---|---|---|
| 何が起きるか | 攻撃者が本人になりすましてSIMカードの再発行手続きを行い、携帯電話番号を乗っ取って認証コードを受け取る | 通信経路の脆弱性やマルウェアにより、SMSの内容が第三者に読み取られる | 本物を装った偽SMSで偽サイトへ誘導し、入力されたコードやID・パスワードを詐取する | 使い捨ての番号や、認証コードを肩代わり取得する不正サービスを使って、不正アカウントが量産される | 短時間に大量の認証コード送信を要求され、送信コストの増大や利用者への迷惑が発生する |
| 企業側で取れる対策 | 重要操作には多要素認証やリスクベース認証を重ねる。パスワード再設定など高リスク操作では追加の確認を行う | 重要度の高い操作はパスキーや認証アプリ(TOTP)など、より耐性の高い方式と併用する | SMS本文にログインページのURLを記載しない。送信元番号を公開・周知し、利用者へ注意喚起する | 番号の属性チェック(他人利用の可能性がある番号の検出)や、不正代行を防ぐ認証方式を採用する | 一定時間内の送信回数制限(レートリミット)や、不正トラフィックの検知機能を用いる |
なかでもSIMスワップは、携帯電話番号そのものが乗っ取られるため、SMS認証だけでは防ぎきれません。利用者側の自衛策と、企業側で取れる認証強化の具体策は、以下の記事で詳しく解説しています。
使い捨て番号・SMS認証代行への企業側対策
なかでも、使い捨て番号やSMS認証代行による不正アカウントの量産は、BtoBサービスで対策が求められる論点です。SMS認証サービスのなかには、過去の利用履歴と照合して他人名義の可能性がある番号を抽出・アラートする機能や、IVR(自動音声応答)を悪用した認証コードの不正自動取得を阻止する機能を備えたものがあります。
こうした不正対策機能の有無は、なりすまし・不正登録のリスクが高いサービスではサービス選定の重要な判断材料になります。あわせて、認証コードの送信回数に上限を設けるレートリミットを組み合わせることで、認証爆撃によるコスト増も抑えられます。
そもそも「SMS認証代行」や使い捨て電話番号とはどんな仕組みで、利用にどんな違法性・リスクがあるのか、不正登録を防ぐ代替策は何か——その実態を踏み込んで知りたい場合は、以下の記事で解説しています。
SMS認証は廃止すべき?単体で足りるかの判断軸
「SMS認証は危険」「NISTが非推奨にした」という情報を見て、導入をためらう担当者は少なくありません。ここでは、公的機関の位置づけと実際の被害データをもとに、判断軸を整理します。
まず、米国立標準技術研究所(NIST)のデジタルID関連ガイドライン「SP 800-63B-4」(2025年7月31日発行の最終版)では、SMSなどのPSTN(公衆電話網)を用いたアウトオブバンド認証(ログイン画面とは別の経路で認証コードを送って本人確認する方式)は「制限付き(RESTRICTED)」の認証子と位置づけられています。
これは「使用禁止」ではなく、リスクを評価・受容し、かつ代替となる認証手段を必ず用意することを条件に利用できる、という扱いです。
“Although they represent a less secure approach to multi-factor authentication, restricted authenticators remain necessary for some government-to-public applications. … If the RP determines that the risk to any party is unacceptable, the restricted authenticator SHALL NOT be used, and an alternative authenticator type SHALL be used.”
NIST Special Publication 800-63B-4, Digital Identity Guidelines(2025年7月)
(訳:制限付き認証子は多要素認証としては安全性の低い手段だが、一部の対公衆アプリケーションでは依然として必要とされる。……関係者へのリスクが受容できないと判断される場合は、その制限付き認証子を使用してはならず、代替の認証子を用いなければならない。)
SMS認証は「廃止すべきもの」ではなく、リスクを理解したうえで、より耐性の高い手段と組み合わせて「正しく設計して使うもの」と捉えるのが実態に近い整理です。パスワード単体のログインに比べれば、不正アクセスのハードルを確実に引き上げます。
一方で、フィッシングやアカウント乗っ取りによる被害は現実に増えており、ログインや重要操作での本人確認を一段強化することが対策の軸になっています。
警察庁によると、令和6年のフィッシング報告件数はフィッシング対策協議会の集計で171万8,036件にのぼっています。インターネットバンキングに係る不正送金事犯は発生件数4,369件・被害総額約86億9,000万円で、その手口の9割をフィッシングが占めています。SIMスワップによって本人確認を突破する手口も引き続き確認されています。
出典・参考資料(1件)
フィッシングで窃取された情報は、クレジットカードの不正利用にもつながっています。日本クレジット協会によると、2024年の不正利用被害額は555.0億円と過去最高を記録し(直近の2025年は510.5億円に減少)、その9割超は非対面でのなりすましにあたる「番号盗用」によるものです。本人になりすます不正をどう防ぐかという点で、本人確認の強化と地続きの問題です。
さらに、2025年には証券口座の乗っ取りが急増しました。金融庁の集計(2025年1月〜2026年9月の発生日ベース・暫定値)では、不正アクセス19,252件、不正取引10,642件、不正に売却された金額の合計は約4,372億円にのぼります。
金融庁は対策として、ログイン・取引・出金時などの多要素認証や、フィッシング耐性のあるパスキー認証の必須化が進められていることを挙げ、その有効化を名指しで推奨しています。
出典・参考資料(1件)
これらの被害状況を踏まえると、判断の軸は「SMS認証を使うか、やめるか」ではなく、「本人確認をどう強化するか」に置くのが現実的です。SMS認証を単体で頼り切るのではなく、多要素認証の一要素として位置づけ、重要度の高い操作ではパスキーなどフィッシング耐性の高い方式を併用する設計が推奨されます。
他の認証方式(メール・認証アプリ・パスキー)との違い
SMS認証を選ぶべきかを判断するには、他の認証方式との違いを押さえておくと役立ちます。主な方式を、フィッシング耐性・利便性・コスト・対応端末の観点で比較します。
| 認証方式 | SMS認証(OTP) | メール認証 | 認証アプリ(TOTP) | パスキー(FIDO2) |
|---|---|---|---|---|
| フィッシング耐性 | 中(SIMスワップ・傍受のリスクあり) | 中〜低(メール乗っ取り・フィッシングに弱い) | 高(端末内でコード生成、傍受されにくい) | 最高(フィッシング耐性が高い) |
| 利便性 | 高(アプリ不要) | 高(メールがあれば利用可) | 中(アプリの導入・設定が必要) | 高(生体認証などで素早い) |
| コスト | 送信ごとに従量課金 | 低(基本的に無料) | 低(無料アプリが多い) | 導入・実装のコストがかかる |
| 対応端末 | SMS受信可能な携帯電話 | メールを使える端末 | スマートフォン | 対応端末・ブラウザが必要 |
SMS認証は、アプリ不要で幅広い利用者が使える利便性と、携帯番号による所持確認という強みがあります。一方、フィッシング耐性ではパスキーや認証アプリに劣るため、用途と操作の重要度で使い分けるのが現実的です。
たとえば、会員登録時のなりすまし・多重登録の抑止が主目的なら、SMS認証を中心に据えても十分なことが多いでしょう。決済・出金・重要情報の変更など被害の大きい操作があるなら、その操作だけパスキーや認証アプリを併用するか、取引のリスクに応じて追加認証を求めるリスクベース認証を組み合わせる設計が考えられます。
このリスクベース認証について、多要素認証(MFA)との違いや具体的な導入手段をさらに詳しく知りたい場合は、以下の記事が参考になります。
SMS認証サービスの選び方
自社にSMS認証を導入する場合、SMS認証サービス(SMS配信・認証API)を選ぶことになります。ここでは、選定時に確認したい観点を解説します。
- 国内直収型か: 国内キャリアと直接接続しているサービスは、海外経由ルートに比べて到達率が高く、遅延も抑えやすい。認証コードが確実に届くことは本人確認の前提になる
- 対応キャリア数: NTTドコモ・au・ソフトバンク・楽天モバイルの主要4キャリアに対応しているかを確認する。カバー範囲が広いほど、認証できない利用者を減らせる
- 到達率・遅延対策: 到達率の数値は各社の自社計測値であることが多いため、国内直収か、再送の仕組みはあるかなど、根拠となる仕様までを確認する
- 認証機能とAPI連携のしやすさ: OTPの生成・照合まで担う認証専用APIか、SMS送信のみかを確認する。既存システムへ組み込みやすいREST APIが提供されているかも重要
- 不正対策機能: 他人利用の可能性がある番号の検出や、SMS認証代行への対策など、なりすまし・不正登録を防ぐ機能があるか
- 海外配信・多言語対応: 海外の利用者が対象に含まれる場合は、対応国やチャネル(音声・WhatsApp等)の広さを確認する
- サポート体制とセキュリティ認証: 障害対応の体制や、提供企業がISMS(ISO/IEC 27001)・プライバシーマークなどを取得しているか
SMS認証の導入ステップと料金相場
実際に導入する場合の進め方と、費用の目安を押さえておきましょう。
導入ステップ
- 要件整理・ベンダー相談: 認証を組み込む画面・想定送信量・必要な機能(不正対策・海外対応など)を整理し、候補サービスへ問い合わせる
- トライアル・テスト配信: 無料トライアルやデモ環境で、到達性やAPIの使い勝手を確認する
- 契約・環境設定・運用開始: 契約後、APIキーの発行・システム連携・送信元番号の設定などを行い、本番運用に移す
料金相場の目安
SMS認証サービスは、初期費用・月額基本料が無料で、SMS送信分だけ従量課金という料金体系が多く見られます。各社の公式料金を見ると、SMS送信単価は概ね1通あたり数円〜十数円の範囲で、送信量やルートによって変動します。主要なサービスでは、SMS送信が1通6円前後から設定されている例が多く見られます。各社の具体的な単価は、後半の比較表とサービス紹介で確認できます。
ただし、OTPの生成・照合を含む認証機能はオプション扱いや「要お問い合わせ」となっているサービスも多く、実際の費用は想定送信量をもとに見積もりを取るのが確実です。送信成功分のみ課金する「成功課金」を採用しているサービスが多い点も、コストを見積もるうえで押さえておきたいポイントです。
この従量課金という性質上、送信量が極端に少ない場合は費用対効果が見合わないこともあります。どの程度の送信規模から導入が見合うかについて、SMSLINKを提供する株式会社ネクスウェイの担当者は、次のように話しています。

正直にお伝えすると、月に10件程度など、送信件数が極端に少ない場合は費用対効果が合わない可能性があります。その場合は、無理におすすめしないこともあります。
一括ダウンロードする
SMS認証を自社に導入できるサービス
ここからは、SMS認証を自社サービスに組み込める代表的なサービスを紹介します。それぞれ強みが異なるため、自社の要件(到達率・不正対策・海外対応など)に照らして比較してください。まずは主な違いを表で確認します。
| サービス名 | SMSLINK | オーロラSMS by メディアSMS | KDDI Message Cast | Cuenote SMS | Twilio Verify | 絶対リーチ!SMS |
|---|---|---|---|---|---|---|
| 提供会社 | 株式会社ネクスウェイ(TISインテックグループ) | 株式会社メディア4u | KDDI株式会社(Supershipと共同運営) | ユミルリンク株式会社 | Twilio Inc.(国内販売: ソフトバンク) | AI CROSS株式会社 |
| 認証機能・提供形態 | SMS配信+認証機能(オプション) コード生成〜照合をAPIで運用。SMS不達時は音声通話へ自動切替 | 認証専用API(OTP生成・照合をワンステップ) SMSが届かない場合はIVR認証で補完 | SMS/RCS配信+SMS送信API OTP生成・検証は利用企業側で実装 | SMS配信+SMS認証(OTP送信) コード生成・照合は利用企業側で実装(一体提供は姉妹のCuenote Auth) | 認証専用API(OTP生成〜検証を単一API) SMS・音声・WhatsApp・メール等のマルチチャネル対応 | SMS配信+認証専用プラン 確認コードを自動生成・送信(発番機能の開発が不要) |
| 国内直収・対応キャリア | 国内キャリアと直接接続 到達率約98%(自社調べ)。対応キャリア名は非公開 | 国内4キャリア直収接続 到達率99.9%(自社検証試験) | 国内4キャリア直収接続(共通番号0005) 到達率98%以上(自社調べ) | 国内4キャリア直収接続 到達率99.9%(2022年の自社実績) | グローバル網経由(200超の国・地域) 国内直収の明示はなし | 国内直収ルートあり 直接接続99.9%(国内直収ルート利用時の公式訴求) |
| 不正対策機能 | なりすまし・不正利用防止を公式に訴求 (専用の番号検知機能の記載はなし) | 他人接続判定 他人名義の可能性がある番号を抽出・アラート(API提供) | 誤配信防止(番号の利用状況を事前確認) 共通番号0005・認証済みマークでなりすまし対策 | 他人接続判定(誤送信防止) | Fraud Guard(SMSポンピング詐欺対策)を標準搭載 | セキュアSMS認証(特許取得) IVRを悪用した認証コードの不正代行を阻止 |
| 海外・多言語対応 | ×公式に明記なし | ×公式に明記なし | ×公式に明記なし | ×公式に明記なし | ◎200超の国・地域/42言語の自動翻訳に対応 | ×公式に明記なし |
| 料金の目安 | 初期・月額0円(スタンダードプラン) SMS 1通6円から。認証機能はオプション・要問い合わせ | 初期・月額0円(従量制) 1通単価は要問い合わせ。無料トライアル最大2ヶ月 | 初期・月額0円 SMS 9.35円(税込)から(到達課金) | 初期費用0円 SMS 1通6円から(成功課金)。月額は要問い合わせ | 初期費用なし(従量課金) 認証成功1回0.05ドルから(USD建て・チャネル別の送信料が別途) | 認証系プランは初期・月額・単価とも要問い合わせ (1-Wayプランは初期0円・月額1,000円) |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | 公式サイト |
※ 料金・到達率などは2026年10月時点の各社公式情報にもとづく各社の自社表記です。最新の条件は各社の公式情報をご確認ください。
1. SMSLINK(株式会社ネクスウェイ)

SMSLINKは、FAXや郵送などの法人向けコミュニケーションを長年手がけてきた株式会社ネクスウェイ(TISインテックグループ)が提供するSMS配信サービスです。本体のSMS配信に加え、認証コードの生成から送信・照合までをAPIで運用できる「認証機能」をオプションで用意しています。
管理画面が3ステップで送信できるシンプルな設計で、SMS送信に失敗した場合は自動で音声通話に切り替えて認証コードを伝えるフォールバックも備えます。初期費用・月額無料のスタンダードプランから始められ、SMS送信は1通6円からの従量課金です(認証機能はオプション、料金は要問い合わせ)。
2. オーロラSMS by メディアSMS(株式会社メディア4u)

株式会社メディア4uが提供するオーロラSMSは、SMS認証に特化した機能をそろえたソリューションです。ワンタイムコードの生成と照合判定をAPIがワンステップで担う「認証オールインワン」の仕組みを持ち、自社でコードの管理・照合ロジックを実装せずに本人認証を組み込めます。
不正対策として、過去の利用履歴と照合して他人名義の可能性がある番号を抽出する「他人接続判定」をAPIで提供するほか、SMSが届かない場合に備えたIVR(自動音声)認証も組み合わせられます。国内4キャリアへの直収接続による到達率99.9%(自社検証試験、受信拒否・圏外・電源OFFを除く)を掲げ、提供企業はISO/IEC 27001・プライバシーマークを取得しています。
3. KDDI Message Cast(KDDI株式会社・Supership株式会社)

KDDI Message Castは、通信事業者であるKDDIとSupershipが共同運営する法人向けメッセージ配信サービスです。SMS送信APIを通じて会員登録時の本人確認やログイン時の二段階認証に組み込めるほか、SMSの進化版であるRCS・+メッセージの配信にも対応します。
キャリア公認の共通番号「0005」や+メッセージの認証済みマークにより、なりすまし・迷惑SMS対策を強化できる点が特徴です。初期費用・月額0円で、到達した分のみ課金する到達課金を採用しています。なお本サービスはSMS送信を担う配信基盤であり、OTPの生成・検証ロジックは利用企業側システムで実装する形態です。
4. Cuenote SMS(ユミルリンク株式会社)

東証グロース上場のユミルリンク株式会社が提供するCuenote SMSは、プロモーション配信から本人認証までを同一プラットフォームでカバーするSMS配信サービスです。国内主要4キャリアへの直収接続に対応し、本人認証・二段階認証のユースケースを公式に提供しています。
開発言語を問わないREST APIを標準搭載し、認証コード送信のシステム組み込みがしやすい設計です。大規模会員サービスでのSMS認証の稼働実績もあり、提供企業はISO/IEC 27001・プライバシーマークを取得しています。SMS送信は1通6円からの成功課金で、初期費用は0円です。
5. Twilio Verify(Twilio Inc.)

Twilio Verifyは、グローバルに展開するTwilioが提供する認証専用APIです。SMSに加えて音声・WhatsApp・メール・認証アプリ(TOTP)・パスキーなど複数チャネルを単一のAPIで扱えるマルチチャネル型で、到達状況に応じたチャネルの切り替えができます。
200以上の国・地域をカバーし、検証メッセージの多言語自動翻訳にも対応するため、海外の利用者を多く抱えるサービスの認証基盤に向いています。不正に大量のSMS送信を発生させて送信料をだまし取る「SMSポンピング詐欺」を防ぐ「Fraud Guard」を標準で備え、ユーザー単位ではなく認証成功単位で課金される点も特徴です。国内ではソフトバンクなどのパートナー経由で日本語サポートを受けられます。
6. 絶対リーチ!SMS(AI CROSS株式会社)

絶対リーチ!SMSは、東証グロース上場のAI CROSS株式会社が手がけるSMS送信サービスで、本人認証・二要素認証を専用プランとして用意しています。確認コード・ワンタイムパスワードを自動生成して送信するため、利用企業側でコード発番機能を開発する必要がありません。
特許を取得した「セキュアSMS認証」により、IVRを悪用した認証コードの不正な自動取得を阻止できる点が特徴で、不正代行への対策を重視するサービスに向きます。HTTPS Web APIとSMPPのマルチプロトコルに対応し、既存のCRMやコンタクトセンターへ組み込めます。
ここで挙げたサービスも含め、到達率・不正対策機能・料金をより多くの選択肢で見比べたい場合は、以下の記事で主要なSMS認証サービスの詳細比較と選び方を解説しています。導入を具体的に検討する際の比較材料としてご覧ください。
認証コードが届かないときに確認すること
利用者としてSMS認証のコードが届かない場合は、次の点を順に確認すると解決することが多いです。サービスを提供する側にとっても、利用者への案内を用意しておくと、認証失敗による離脱を減らせます。
- 電波状況を確認する(圏外・機内モードになっていないか)
- 入力した電話番号に誤りがないか確認する
- 迷惑SMSフィルタや受信拒否設定でブロックされていないか確認する
- データ専用SIMなどSMSに対応していない回線を使っていないか確認する
- 端末のストレージ空き容量を確認し、少し時間をおいて再送する
これらを確認しても届かない場合は、利用しているサービスのサポート窓口に問い合わせるのが確実です。
まとめ
SMS認証は、携帯電話番号宛てに送る認証コードで本人確認を行う、導入しやすく利用者負担の小さい二要素認証です。アプリ不要で到達性が高い一方、SIMスワップやスミッシングなどのリスクもあり、NISTは「制限付き」として代替手段の用意を前提に利用を認めています。
重要なのは「使うかやめるか」ではなく「本人確認をどう強化するか」です。SMS認証を多要素認証の一要素として位置づけ、重要操作ではパスキーなど耐性の高い方式と併用する設計であれば、パスワード単体よりも確実に安全性を高められます。自社への導入を検討する際は、国内直収・不正対策機能・API連携のしやすさといった観点でサービスを比較し、まずは資料を取り寄せて要件に合うか確認するとよいでしょう。
一括ダウンロードする
よくある質問(FAQ)
Q. SMS認証とは何ですか?
A. SMS認証とは、携帯電話番号宛てにSMSで送られる認証コード(ワンタイムパスワード)を入力して本人確認を行う、二要素認証の一つです。IDとパスワードに加えて「携帯端末を所持していること」を確認するため、パスワードだけのログインよりも不正アクセスのハードルを上げられます。専用アプリが不要で導入しやすく、会員登録・ログイン・決済確認・パスワード再設定など幅広い場面で使われています。
Q. SMS認証は危険ですか?廃止すべきですか?
A. SMS認証は「廃止すべきもの」ではなく、リスクを理解したうえで、より耐性の高い手段と組み合わせて正しく設計して使うものです。米国のNIST(SP 800-63B-4)はSMSなどを用いた認証を「制限付き(RESTRICTED)」と位置づけていますが、これは使用禁止ではなく、代替手段を用意することを条件に利用を認める扱いです。
SIMスワップやスミッシングといったリスクの多くは企業側の設計・運用で軽減でき、パスワード単体のログインよりは確実に安全性を高められます。判断の軸は「使うかやめるか」ではなく「本人確認をどう強化するか」に置くのが現実的です。
Q. SMS認証とパスキーはどちらが安全ですか?
A. フィッシング耐性だけを見ればパスキーが上回りますが、不正なアカウント作成の抑止や幅広い端末への対応ではSMS認証に利点があります。パスキー(FIDO2)はフィッシングに非常に強い一方、対応する端末・ブラウザが必要です。
SMS認証は携帯電話番号による所持確認で架空・重複アカウントの作成を抑えやすく、アプリ導入が難しい層にも届きます。最も効果的なのは、パスキーを主たる認証、SMS認証を補完手段として組み合わせる設計です。
Q. SMS認証とメール認証では、どちらが安全ですか?
A. 本人確認の確実性という点では、SMS認証のほうがメール認証より優位です。携帯電話番号は契約時に本人確認が行われているため、匿名で大量に取得しやすいフリーメールよりなりすましが困難です。また、PCがマルウェアに感染しても、経路が分かれている電話回線経由のSMSは影響を受けにくい利点もあります。
ただしどちらも単体で万全ではないため、重要度の高い操作では認証アプリ(TOTP)やパスキーとの併用が推奨されます。
Q. SMS認証の導入にはどのくらい費用がかかりますか?
A. SMS認証サービスは初期費用・月額基本料が無料で、SMS送信分だけ従量課金という料金体系が多く、送信単価は1通あたり数円〜十数円が目安です。主要なサービスでは1通6円前後から設定されている例が多く見られます(各社の具体的な単価は本文の比較表を参照)。
ただし、OTPの生成・照合を含む認証機能はオプション扱いや「要お問い合わせ」となっているサービスも多いため、想定送信量をもとに見積もりを取るのが確実です。送信成功分のみ課金する「成功課金」のサービスが多い点も押さえておきましょう。
Q. SMS認証は海外の利用者にも使えますか?
A. 海外の利用者にSMS認証を使うには、海外配信に対応したサービスを選ぶ必要があります。国内直収型のサービスは国内キャリアへの到達率が高い一方、海外番号への配信は対応国やコストの面で制約が出ることがあります。海外の利用者が多い場合は、まず対応国数を確認しましょう。SMSが届かないときに音声・WhatsApp・メールなど別チャネルへ切り替えられるマルチチャネル対応のサービスも選択肢になります。
Q. SMS認証のコードが届かないときは何を確認すればよいですか?
A. まず、電波状況・入力した電話番号の誤り・迷惑SMSフィルタの設定・SMS非対応の回線(データ専用SIMなど)を順に確認します。多くはこれらの確認で解決します。それでも届かない場合は、少し時間をおいて再送するか、利用しているサービスのサポート窓口に問い合わせてください。サービスを提供する側としては、こうした確認手順を利用者向けに案内しておくと、認証失敗による離脱を減らせます。
SMS認証サービスの料金・資料を一括チェック
MCB FinTechカタログでは、SMS認証に対応したSMS送信・認証APIサービスの最新資料を無料で一括請求できます。到達率や対応キャリア、不正対策機能、料金を各社の資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか?
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。

マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。

















