多要素認証とワンタイムパスワード（OTP）の違いとは？仕組み・方式と選び方を解説

IDとパスワードだけのログインを狙った不正アクセスが後を絶たず、ワンタイムパスワード（OTP）による認証強化を検討する企業が増えています。一方で、「ワンタイムパスワードを導入すれば多要素認証になるのか」「SMSと認証アプリ、物理キーのどれを選べばよいのか」といった疑問を持つ担当者も少なくありません。

本記事では、ワンタイムパスワードが多要素認証の中でどこに位置づくのかを整理します。そのうえで、TOTP・HOTPといった仕組みの違いや、受け取り手段（SMS・メール・認証アプリ・ハードウェアトークン・音声通話）ごとの長所と短所を比較し、SMS認証のフィッシングリスクとパスキー（FIDO2）への移行の考え方までを解説します。

自社の認証を強化するために、どの方式を選べばよいかの判断材料としてご活用ください。

ワンタイムパスワード（OTP）だけでは多要素認証にならない

最初に押さえておきたいのは、ワンタイムパスワード（OTP：一度きりしか使えない使い捨てのパスワード）を導入しても、それだけでは多要素認証にはならないという点です。ワンタイムパスワードは認証に使う「要素」の一つであり、パスワードなど別の要素と組み合わせて初めて多要素認証が成立します。ワンタイムパスワードの入力だけでログインを完結させる仕組みは、要素が1つしかない単要素認証にとどまります。

認証の3要素とOTP（OTPは所持要素）

認証に使う要素は、大きく3種類に分けられます。米国国立標準技術研究所（NIST）のデジタルID関連ガイドライン「NIST SP 800-63B（第4版）」は、認証要素を「知識情報（something you know）」「所持情報（something you have）」「生体情報（something you are）」の3つに整理しています。

パスワードやPINは本人だけが知っている知識情報、スマートフォンや物理キーは本人だけが持っている所持情報、指紋や顔は本人そのものを表す生体情報にあたります。

ワンタイムパスワードは、このうち所持情報に分類されます。NIST SP 800-63Bは、単要素のワンタイムパスワード認証器について「所持情報（something you have）」であると明記しています。コードを表示する端末やトークンを本人が持っていることを証明する手段だからです。

A single-factor OTP authenticator is “something you have.”
（単要素のワンタイムパスワード認証器は「所持情報（something you have）」である。）

出典：NIST Special Publication 800-63B-4《Digital Identity Guidelines: Authentication and Authenticator Management》Sec. 3.1.4｜米国国立標準技術研究所（NIST）

多要素認証とは、この3要素のうち異なる2種類以上を組み合わせる認証です。NIST SP 800-63Bも、2つの単要素認証器を組み合わせる場合は、所持情報にあたる物理的な認証器に、パスワード（知識情報）または生体情報のいずれかを必ず組み合わせることを求めています。

このように、パスワード（知識情報）とワンタイムパスワード（所持情報）を併用して、初めて2つの要素がそろう多要素認証になります。ワンタイムパスワードはあくまで認証を強くする「もう一つの要素」であり、それ単体で多要素認証を名乗れるわけではありません。

この3要素とワンタイムパスワードの関係を整理すると、次のようになります。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-63B-4《Digital Identity Guidelines: Authentication and Authenticator Management》｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63b.html）

二要素認証・二段階認証との違い

多要素認証と混同されやすい言葉に、二要素認証と二段階認証があります。二要素認証は、異なる2種類の要素を使う認証を指し、要素を2つに限った多要素認証の一形態です。パスワード（知識情報）とワンタイムパスワード（所持情報）の組み合わせは、二要素認証でもあり多要素認証でもあります。

一方の二段階認証は、認証の「段階」を2回に分ける仕組みを指し、要素の種類は問いません。たとえばパスワードを入力した後に「秘密の質問」に答えさせる方式は、どちらも知識情報なので、2段階ではあっても要素は1種類です。

段階を増やしても要素が1種類のままでは、パスワードが漏れたときのリスクを十分に下げられません。ワンタイムパスワードを加える意味は、知識情報とは別の「所持情報」という異なる要素を足して、要素の多重化によって不正アクセスを防ぐ点にあります。

ワンタイムパスワード（OTP）の仕組み（TOTP・HOTP・チャレンジレスポンス）

ワンタイムパスワードは、一定のルールに従って毎回異なるコードを生成することで、一度使ったコードを再利用できないようにしています。コードの生成方法にはいくつかの方式があり、代表的なものが時刻をもとにするTOTP、カウンタをもとにするHOTP、サーバからの問いかけに応答するチャレンジレスポンスです。方式によって、コードがいつ変わるか、どの機器で成り立つかが変わります。

3つの方式の違いは、下図のように整理できます。

TOTP（時刻同期方式）

TOTP（Time-based One-Time Password）は、現在時刻を入力にしてコードを生成する方式です。サーバと端末があらかじめ共有しておく秘密の鍵（シード値）と現在時刻を組み合わせて計算するため、時間が経つとコードが自動的に切り替わります。認証アプリに表示されるコードが一定時間で更新されるのは、この仕組みによるものです。

TOTPの仕様を定めたRFC 6238では、コードが切り替わる時間の幅（タイムステップ）の推奨値を30秒としています。これはセキュリティと使いやすさのバランスから選ばれた推奨値で、30秒ごとに更新される実装が多く見られますが、固定の決まりではなく運用側で調整できる値です。TOTPは、コードを進める値に回数を使う後述のHOTPについて、その進める値を時刻に置き換えた拡張として定義されています。

出典・参考資料（1件）

• 出典：RFC 6238《TOTP: Time-Based One-Time Password Algorithm》｜IETF（https://www.rfc-editor.org/rfc/rfc6238.txt）

HOTP（カウンタ同期方式）

HOTP（HMAC-based One-Time Password）は、時刻ではなくカウンタ（回数）をもとにコードを生成する方式です。コードを発行するたびにカウンタが1つ進み、サーバと端末の双方で同じカウンタ値を保つことで、正しいコードかどうかを検証します。

HOTPの仕様を定めたRFC 4226は、このカウンタをクライアント（生成側）とサーバ（検証側）の間で同期しなければならない「移動因子」と位置づけています。

時刻に依存しないため、時刻のずれを気にせず使える反面、コードは発行するまで切り替わりません。物理トークンのボタンを押したときにコードが生成されるタイプが、このHOTPにあたります。TOTPが「時間」で、HOTPが「回数」でコードを進める、という違いで整理すると分かりやすいでしょう。

出典・参考資料（1件）

• 出典：RFC 4226《HOTP: An HMAC-Based One-Time Password Algorithm》｜IETF（https://www.rfc-editor.org/rfc/rfc4226.txt）

チャレンジレスポンス方式

チャレンジレスポンス方式は、サーバがその都度発行する「チャレンジ」と呼ばれる値に対して、端末が手元の鍵を使って「レスポンス（応答）」を計算し、返すことで本人確認を行う方式です。

毎回異なるチャレンジに対して応答を計算するため、やりとりを盗み見て再利用する攻撃に対して強いという特徴があります。TOTPやHOTPのように一対一で対応する固有の規格名があるわけではなく、認証方式の考え方を指す一般的な呼び方です。

OTPが使われる活用シーン

仕組みを押さえたところで、ワンタイムパスワードが実際にどのような場面で使われているかを見ておきます。自社のどの業務に当てはめられるかをイメージすると、次に解説する受け取り手段の選び方が考えやすくなります。

代表的なのは、ネットバンキングやECサイトでの本人確認です。ログインや送金、決済といった重要な操作の前にワンタイムパスワードを求めることで、万一パスワードが漏れていても第三者による操作を防ぎます。

クラウドサービスへのログインでも広く使われており、社外から業務システムにアクセスする際の認証強化として、SaaSの標準機能に組み込まれている例が増えています。社内システムやVPNへのアクセスでも、在宅勤務や拠点間での利用を想定して、ワンタイムパスワードや物理キーによる多要素認証を必須にする企業が広がっています。

消費者向けか社内利用か、守りたい操作のリスクの高さによって、次に見る受け取り手段のどれが向くかが変わってきます。

OTPの受け取り手段を比較（SMS・メール・認証アプリ・ハードウェアトークン・音声）

ワンタイムパスワードは、同じ仕組みでも「どの手段でコードを受け取るか」によって、安全性・コスト・使い勝手が変わります。ここでは代表的な5つの受け取り手段を、フィッシング耐性や端末への依存といった観点で横並びに整理します。自社の利用者層や求めるセキュリティ水準に合わせて、どの手段が適するかを判断する材料としてご覧ください。

※上記は各受け取り手段の一般的な傾向です。実際の対応状況や仕様はサービス・製品により異なるため、各提供元の情報をご確認ください。

SMSや音声通話は、携帯電話番号さえあれば受け取れる手軽さから広く普及していますが、後述するフィッシングやSIMスワップに対して弱いという課題があります。NIST SP 800-63Bは、電話網を経由するSMS・音声での認証コード送付を「制限付き（restricted）」の手段と位置づけ、メールについては認証コードの送付に使ってはならないとしています。

認証アプリ（TOTP）は、通信を介さず端末内でコードを生成できるため送信コストがかからず、SMSより安全性は高まりますが、コードを画面に表示して手入力する以上、偽サイトに入力させられるリスクは残ります。より高い安全性を求める場合は、後述するFIDO2対応の物理キーやパスキーが選択肢になります。

選び方の目安を整理すると、一般の消費者向けWebサービスでは導入しやすい認証アプリを基本に、SMSは段階的に縮小するのが無難です。スマートフォンを配布しにくい社内利用や現場では物理キー、送金など不正の損害が大きい操作ではフィッシングに強いパスキーを優先する、といった当たりの付け方ができます。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-63B-4《Digital Identity Guidelines: Authentication and Authenticator Management》Sec. 3.1.3 / 3.2.9｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63b.html）

受け取り手段のうちハードウェアトークンについては、仕組みや種類、ソフトウェアトークンとの違い、現場に合った選び方を以下の記事で詳しく解説しています。物理デバイスでの受け取りを検討している場合の参考にしてください。

OTPのメリットと導入・運用の注意点

ワンタイムパスワードは手軽に認証を強化できる一方で、導入後の運用で見落としやすい注意点もあります。メリットと運用上の課題の両面を押さえておくと、導入後のトラブルを避けやすくなります。

メリット（セキュリティ向上と既存IDへの追加のしやすさ）

最大のメリットは、パスワードが漏れても、そのワンタイムパスワードがなければログインを許さない点です。パスワードの使い回しやリスト型攻撃による不正ログインを、追加の要素で防げます。

また、多くのクラウドサービスやID基盤が標準でワンタイムパスワードに対応しているため、既存のログインに後から追加しやすいのも利点です。認証アプリを使えば、1台のスマートフォンで複数サービスのコードをまとめて管理でき、利用者の負担を抑えながら認証を強化できます。

端末の紛失・機種変更への備え

認証アプリや物理キーは「持っていること」で本人を確認するため、その端末を失うとログインできなくなります。スマートフォンの紛失・故障や機種変更に備え、あらかじめ復旧の手順を決めておくことが欠かせません。

NIST SP 800-63Bは、ソフトウェア型のワンタイムパスワード認証器について、端末を変更する際の手順を示しています。新しい端末のアプリを利用者のアカウントに登録し直し、使わなくなった古いアプリを無効化するよう求めています。予備の認証手段や管理者による再登録の窓口を用意しておかないと、機種変更のたびにログインできない利用者からの問い合わせが増え、情報システム部門の負担になります。

出典・参考資料（1件）

• 出典：NIST Special Publication 800-63B-4《Digital Identity Guidelines: Authentication and Authenticator Management》Sec. 3.1.4.2｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63b.html）

コストと使い勝手（送信課金と離脱リスク）

SMSや音声通話でコードを送る方式は、送信や通話のたびに費用がかかります。利用者数やログイン頻度が多いサービスでは、この送信コストが積み上がり、運用費を押し上げる要因になります。認証アプリや物理キーは端末内でコードを生成するため、この送信コストはかかりません。

もう一つの注意点は、認証の手間が増えることによる離脱です。ログインのたびにコードの入力を求めると、利用者によっては面倒に感じて離れてしまう場合があります。信頼できる端末からのアクセスは追加認証を省く、リスクの高いログインだけ追加認証を求めるといった、安全性と使い勝手のバランスを取る設計が運用では重要になります。

このように、アクセスのリスクに応じて追加認証の要否を切り替える仕組みは「リスクベース認証」と呼ばれます。考え方や多要素認証との違い、導入手段は以下の記事で解説しています。

SMS認証はなぜ危ない？フィッシング耐性とパスキー（FIDO2）への移行

ワンタイムパスワードはパスワード単体より安全ですが、万能ではありません。特にSMSで受け取る方式は、近年の攻撃手口に対して弱い面があります。ここでは、ワンタイムパスワードが突破される仕組みと、その先にあるパスキー（FIDO2）という選択肢を解説します。

リアルタイム型フィッシング（AiTM）・SIMスワップとOTPの弱点

ワンタイムパスワードは、利用者がコードを画面に手入力する以上、偽のサイトに入力させられる余地が残ります。この弱点を突く手口が「リアルタイム型フィッシング」で、警察庁の報告でも横行しているとされています。具体的には、利用者が偽サイトに入力した情報を犯人が即座に正規サイトへ入力し、その際に届くワンタイムパスワードも偽サイトに入力させて不正ログインを図ります。

これは中継型フィッシング（AiTM：Adversary-in-the-Middle）とも呼ばれる手口です。コードを手入力する点はSMSに限らず認証アプリのワンタイムパスワードも同じで、この攻撃はどちらも突破されうる、受け取り手段を問わない弱点です。

リアルタイム型フィッシング：利用者がフィッシングサイトに入力した情報を犯人が正規サイトに即座に入力し、その際利用者に送付される二段階認証のためのワンタイムパスワードもフィッシングサイトに入力させて、不正ログインを試みる手口

出典：警察庁《令和6年におけるサイバー空間をめぐる脅威の情勢等について》（2025年3月公表）

SMSにはもう一つ、SIMスワップという固有のリスクがあります。これは、偽造した本人確認書類で携帯電話番号を乗っ取り、本人に届くはずのSMSを攻撃者が受け取る手口です。

番号さえ奪われれば、SMSで送られるワンタイムパスワードも攻撃者の手に渡ってしまいます。NIST SP 800-63Bも、SMS・音声の送付前にSIMの変更や番号の移管といったリスク指標を確認するよう求めており、SMSを限定的な手段として扱っています。

SIMスワップの手口の詳細や、個人でできる自衛策、自社サービスのSMS認証を強化する具体策は、以下の記事で掘り下げています。SMS認証への依存に不安がある場合に役立ちます。

こうした手口の広がりは統計にも表れています。警察庁の報告によれば、令和6年のフィッシング報告件数はフィッシング対策協議会の集計で171万8,036件にのぼり、同年のインターネットバンキングに係る不正送金事犯では、その手口の9割をフィッシングが占めています。

ワンタイムパスワードを導入していても、リアルタイム型フィッシングで中継されれば突破されうるという点は、方式を選ぶうえで押さえておく必要があります。

出典・参考資料（2件）

• 出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁（https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6/R06_cyber_jousei.pdf）
• 出典：NIST Special Publication 800-63B-4《Digital Identity Guidelines》Sec. 3.1.3.3｜米国国立標準技術研究所（NIST）（https://pages.nist.gov/800-63-4/sp800-63b.html）

パスキー（FIDO2）との住み分けと段階的な移行

ワンタイムパスワードの手入力に伴うフィッシングリスクを根本から避ける手段が、パスキー（FIDO2）によるパスワードレス認証です。パスキーは、公開鍵暗号を使い、端末内の秘密鍵を外部に出さずに本人確認を行います。

W3Cの仕様「WebAuthn」は、認証情報が登録元のサイト（オリジン）に限定され、別のサイトに対しては再利用できないよう設計されていると定めています。FIDOアライアンスも、パスキーは登録したサイトにしか提示されず、利用者が誤って攻撃者のサイトに入力してしまうことがないと説明しています。

この「登録したサイト以外では認証が成立しない」という構造が、偽サイトにコードを入力させるフィッシングを原理的に防ぎます。ワンタイムパスワードが手入力ゆえに中継されうるのに対し、パスキーは仕組みとしてフィッシングに強いのが大きな違いです。NIST SP 800-63Bも、AAL2と呼ばれる認証水準では、フィッシングに強い認証手段を少なくとも1つ用意することを求めています。

とはいえ、すべてをいきなりパスキーに切り替えるのは現実的でない場合もあります。既存の多くのサービスはワンタイムパスワードに対応しており、まずはワンタイムパスワードで認証の土台を整え、対応するサービスや利用者から段階的にパスキーへ移していくのが現実的な進め方です。

SMSは手軽さから使われ続けていますが、NIST SP 800-63Bも制限付きの手段として、代替手段の提示と移行計画の用意を求めています。優先度の高いログインから、認証アプリやパスキーへ寄せていくのが安全です。

出典・参考資料（2件）

• 出典：Web Authentication: An API for accessing Public Key Credentials Level 2｜W3C（https://www.w3.org/TR/webauthn-2/）
• 出典：How Passkeys Work｜FIDO Alliance（https://www.passkeycentral.org/introduction-to-passkeys/how-passkeys-work）

課題を解決する認証ソリューション

ここまで解説した認証方式を、実際のサービスで見てみましょう。以下では、OTPアプリとFIDO2・パスキーに対応したID基盤と、OATH（TOTP）にも対応するハードウェアトークン型の物理キーを、方式の選択肢の具体例として紹介します。まだ製品を絞り込む段階になく、多要素認証（MFA）システムを幅広く比較したい場合は、このあと紹介する全体比較の記事が役立ちます。

以下はご紹介する2つのサービスの比較表です。

※2026年11月時点の各社公式情報による。最新の仕様・料金は各提供元の情報をご確認ください。

CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNO（クラウドゲートウノ）は、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤です。シングルサインオン（一度の認証で複数サービスへアクセスする仕組み）に、多要素認証・アクセス制限・ID管理を組み合わせて提供します。

認証方式の選択肢が広いのが特徴で、ワンタイムパスワード（OTP）に対応した自社の認証アプリ「CloudGate Authenticator」に加え、FIDO2・パスキーによるパスワードレス認証、Windows HelloやTouch ID／Face IDといった端末内蔵の生体認証に対応します。パスキー認証は全プラン・全ユーザーで制限なく利用できると公式に明示されています。

ワンタイムパスワードで認証の土台を整え、順次パスキーへ移していくという段階的な移行を、一つの基盤の中で進められます。同社は2014年にFIDOアライアンスへ加盟し、2019年5月にFIDO2準拠のパスワードレス認証の提供を開始した実績があります。国産の自社開発で、導入前から導入後まで日本語でサポートを受けられる体制も整えています。

ワンタイムパスワードからパスワードレス認証への移行が運用にもたらす効果について、同社は導入企業での事例を次のように述べています。

YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を、法人向けにサブスクリプション型で提供するサービスです。株式会社インターナショナルシステムリサーチが、Yubico社とのパートナー契約に基づいて日本で提供しています。ハードウェアトークン型の多要素認証にあたり、秘密鍵を端末内に保持してフィッシングに強い認証を実現します。

YubiKey 5シリーズはFIDO2／WebAuthnによるパスワードレス認証に対応するほか、OATH準拠のワンタイムパスワード（TOTP）にも対応しており、本記事で解説した受け取り手段のうち「ハードウェアトークン」を体現する選択肢です。

スマートフォンを業務で使えない現場や、派遣・委託先のスタッフが多い環境でも、物理キーによる多要素認証を全社に展開できます。買い切りではなく運用費として導入でき、契約期間中のキー種類の変更や、紛失・増員に備えた予備キーの提供、導入から運用までの支援が付帯します。最低200ユーザーからの提供で、料金は構成に応じた個別見積もりとなります。

SMS認証や認証アプリと異なり、物理キーが紛失時のリスクを抑えられる理由について、同社の担当者は次のように説明しています。

ここで取り上げた2サービスを含め、多要素認証（MFA）に対応したID基盤やセキュリティキーを、認証方式・料金・タイプ別の選び方から横断的に比較したい場合は、以下の記事で主要サービスをまとめて解説しています。方式の当たりが付いたら、全体比較で自社に合う製品を絞り込んでいけます。

まとめ

ワンタイムパスワードは、認証の3要素のうち「所持情報」にあたる要素であり、それ単体では多要素認証になりません。パスワードなど別の要素と組み合わせて、初めて不正アクセスを防ぐ多要素認証が成立します。

コードの受け取り手段には、SMS・メール・認証アプリ・ハードウェアトークン・音声通話があり、安全性・コスト・使い勝手にそれぞれトレードオフがあります。

特にSMSはリアルタイム型フィッシングやSIMスワップに弱く、公的にも限定的な手段として扱われているため、認証アプリやFIDO2対応の物理キー、さらにはパスキーへ寄せていくのが安全です。まずはワンタイムパスワードで土台を整え、段階的にパスワードレス認証へ移行する進め方を前提に、自社の利用者層や運用体制に合った方式を選んでいきましょう。

よくある質問（FAQ）

Q. ワンタイムパスワードを導入すれば多要素認証になりますか？

A. ワンタイムパスワードの導入だけでは多要素認証にはなりません。多要素認証は、パスワード（知識情報）とワンタイムパスワード（所持情報）のように異なる2種類以上の要素を組み合わせて初めて成立します。

ワンタイムパスワードの入力だけでログインを完結させる仕組みは、要素が1つしかない単要素認証にとどまります。ワンタイムパスワードはあくまで認証を強くする「もう一つの要素」であり、それ単体で多要素認証を名乗れるわけではありません。

Q. ワンタイムパスワードのTOTPとHOTPはどう違いますか？

A. ワンタイムパスワードのTOTPとHOTPの違いは、TOTPは時刻をもとに一定時間ごとにコードが自動で切り替わり、HOTPはボタンを押した回数（カウンタ）をもとにコードを生成する点です。

TOTP（時刻同期方式）は認証アプリで広く使われ、コードが一定時間で更新されます。HOTP（カウンタ同期方式）は時刻のずれを気にせず使えますが、コードは発行するまで切り替わりません。物理トークンのボタンを押したときにコードが出るタイプがHOTPにあたります。

Q. ワンタイムパスワードはSMSで受け取っても安全ですか？

A. ワンタイムパスワードをSMSで受け取る方式は、フィッシングやSIMスワップ（携帯電話番号の乗っ取り）に弱く、公的にも限定的な手段として扱われています。

米国国立標準技術研究所（NIST）のガイドライン「SP 800-63B」は、電話網を経由するSMS・音声での認証コード送付を「制限付き（restricted）」と位置づけています。手軽さから広く普及していますが、利用者層やリスクを踏まえ、認証アプリやFIDO2対応の物理キー、パスキーへ段階的に寄せていくことが推奨されます。

Q. 認証アプリ（TOTP）を使えばフィッシングは防げますか？

A. 認証アプリ（TOTP）はSMSより安全ですが、コードを画面に表示して手入力する以上、偽サイトに入力させられるリアルタイム型フィッシング（AiTM：中継型フィッシング）を完全には防げません。

利用者が偽サイトに入力したコードを攻撃者が即座に正規サイトへ入力する手口に対しては、認証アプリでも突破される余地が残ります。フィッシングを構造的に防ぎたい場合は、登録したサイト以外では認証が成立しないパスキー（FIDO2）が有効な選択肢になります。

Q. パスキー（FIDO2）とワンタイムパスワードは何が違いますか？

A. パスキー（FIDO2）は登録したサイト以外では認証が成立しない構造を持ち、フィッシングを原理的に防ぎますが、ワンタイムパスワードは手入力ゆえに偽サイトへ中継されるリスクが残ります。 パスキーは公開鍵暗号を使い、端末内の秘密鍵を外部に出さずに本人確認を行うパスワードレス認証です。

ただし、すべてをいきなりパスキーに切り替えるのは難しい場合もあるため、まずはワンタイムパスワードで認証の土台を整え、対応するサービスや利用者から段階的にパスキーへ移していくのが現実的な進め方です。

Q. スマートフォンを機種変更・紛失するとログインできなくなりますか？

A. 認証アプリや物理キーは「持っていること」で本人を確認するため、その端末を失うとログインできなくなるおそれがあり、あらかじめ復旧の手順を決めておくことが欠かせません。

NIST SP 800-63Bも、端末を変更する際は新しい端末のアプリをアカウントに登録し直し、古いアプリを無効化するよう求めています。予備の認証手段や、管理者による再登録の窓口を用意しておかないと、機種変更のたびにログインできない利用者からの問い合わせが増え、情報システム部門の負担になります。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、多要素認証やパスワードレス認証に対応したID基盤・セキュリティキーの最新資料を無料で一括請求できます。対応する認証方式や料金を比べながら、自社に合うサービスを検討できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。