2026年6月に公開されたフィッシング対策協議会の「フィッシング対策ガイドライン2026年度版」は、事業者への要求を「多要素認証」から「フィッシング耐性を有する多要素認証」に強めました。7月17日には金融庁が、保険・貸金・資金移動業者などの監督指針・事務ガイドライン等を改正し、同じ考え方を銀行・証券以外にも広げています。
では、金融以外の会員サイトやSaaSは何を物差しにし、どの用途ならSMSのワンタイムパスワード（OTP）を続けてよいのでしょうか。本稿では、特定の方式や製品を勧めるのではなく、基準の読み方と用途ごとの判断の仕方、そして監査や取引先への説明の組み立て方を整理します。
合同会社鵤パートナーズ 代表
諸角 昌宏
ページ内でご紹介している製品・サービスは編集部が独自に選定したものであり、執筆者が選定・推奨するものではありません。
目次
一括ダウンロードする
1. 金融以外の事業者は、どの基準を物差しにすべきか
土台はフィッシング対策ガイドライン、設計の物差しはNIST SP 800-63B-4、上乗せの目安は金融庁の監督指針等という3層で考えるのが現実的です。この3つを選ぶのは、いずれもログインや重要な操作の認証方式、つまり多要素認証の要否、フィッシング耐性、SMSの扱いを名指しで定めているからです。
フィッシング対策ガイドラインは業種を問わず、Webサイト運営者を主な対象としています。2026年度版は、OTPをリアルタイムで盗み出す攻撃が多発していることを理由に、要件を「フィッシング耐性を有する多要素認証を要求すること」に改めました。金融以外の事業者にとっても、フィッシング対策の水準を検討し、監査や取引先に説明する際の基本的な基準になります。
NIST SP 800-63B-4（2025年7月公表）は、SMSや音声など電話網（PSTN）を使う認証を「restricted（制限付き）」と位置付けます。使う場合には、制限のない代替手段を提供し、利用者にリスクを伝え、移行計画を持つことが求められます。また、AAL2（NISTが定める認証の強さの3段階のうち中位で、2要素以上の認証を求める水準）においても、フィッシング耐性のある認証方式を少なくとも1つ提供することが求められています。
金融庁の監督指針等は、証券・銀行に続き、2026年7月17日の改正で保険、貸金、前払式支払手段、資金移動業などに広がりました。対象は、ログインや登録情報の変更といった重要な操作です。これらの操作では、既存の顧客も含むすべての登録顧客にフィッシング耐性のある多要素認証を求め、顧客の希望だけを理由にした例外も原則として認めていません。
どの水準まで合わせるかを判断するポイントは、次の3つです。
- 換金できる価値を扱うか：ポイントやギフトコード、チケット、ゲーム内アイテム、前払い残高、登録カードでの購入など、攻撃者がすぐ現金に換えられるものを扱うなら、金融庁の水準を自社基準に取り込む価値があります。
- 扱う情報：医療・人事・法人顧客のデータを持つSaaSや、管理者権限のある画面は、金銭的な被害だけでなく、情報漏えいや権限悪用の影響も評価します。NISTのAALは、サービスのリスク評価に応じて、必要な水準を判断する際の参考になります。少なくとも、前述のとおりAAL2でもフィッシング耐性のある方式の提供が求められている点は押さえておくべきです。
- 取引先からの要求：金融機関や重要インフラ事業者にSaaSを提供する事業者は、委託先管理の一環として「監督指針相当」の対策を求められることがあります。
2. 用途ごとに見た、SMS OTPで足りる場面と足りない場面
SMS OTPで確認できるのは、その時点で、その電話番号宛てに送信された認証コードが入力されたことだけです。入力したのが電話番号の契約者本人であることまでは確認できません。足りるかどうかは、SMS OTPによる認証が突破されたときに何が起きるかで決まります。
破られ方は3つあります
1つ目は中間者型（リアルタイム）フィッシングです。攻撃者は偽サイトでID・パスワードを受け取ると即座に正規サイトへ入力し、利用者が続けて入れたOTPを有効期限内に使います。分業して短時間で処理する組織的な犯行で、2023年11月末時点のネットバンキングにおける不正送金被害は5,147件、被害額は80億円超と前年の約5倍になりました。桁数を増やしても、有効期限を縮めても防げません。
2つ目はSIMスワップです。2024年には、偽造した本人確認書類などを使って他人の携帯電話番号を乗っ取る被害が報じられました。政府は同年6月、携帯電話の契約時にマイナンバーカードなどのICチップ読み取りを義務付ける方針を決めています。番号が乗っ取られれば、利用者が何も入力しなくてもSMSは攻撃者に届きます。
3つ目はSMS認証の代行です。SNSでは「1認証1,000円から」といった募集が行われ、SMS認証代行を利用して作られたアカウントが、特殊詐欺などに悪用された事例があります。
判断は3つの問いで決めます
次のどれか1つに「はい」と答える操作は、SMS OTPだけで守ってはいけません。
- 破られたら、その場で換金できるか（送金、ポイント交換、ギフト、登録カードでの購入）
- 破られたら、回復手段を書き換えられるか（電話番号、メール、パスキーの変更）
- 破られたら、一度で多くの情報や権限に届くか（管理者画面、機微な個人情報の一覧）
2つ目の問いは見落とされがちですが、登録情報を書き換えられると、一度の侵入が恒久的な乗っ取りに変わります。
用途別の判断：SMS OTPだけで守ってよいか
| 用途 | 判断 | 理由・条件 |
|---|---|---|
| 登録情報の変更や新しい端末からのログインの通知 | 適している | 認証ではなく知らせる用途。乗っ取りに気づくきっかけになる |
| 新規登録時の番号確認 | 足りる（目的を限れば） | 「その番号を現在使用できる」ことの確認にとどめ、本人確認の代わりにしない。送信回数に上限を設け、送信先の国を制限し、SMSポンピングを防ぐ |
| ログイン（閲覧中心の会員サイト） | 暫定的に許容（リスク受容） | 破られても被害が限られるため、移行までの間に限り許容する。ただし、ガイドラインが求めるフィッシング耐性は満たさない。 |
| パスワードの再設定、サポート窓口での本人確認 | 単独では足りない | SIMスワップだけで乗っ取りが完結する。登録済みの別経路と組み合わせる |
| 登録情報・認証手段・信頼済み端末の変更 | 足りない | 問い2に該当。変更前の連絡先へ通知し、登録済みのパスキーで確認する |
| 機微情報・管理者画面へのログイン、権限変更、APIキー発行、データ一括出力 | 足りない | 問い3に該当。フィッシングに強い方式で再認証する |
| 決済・送金・ポイント交換 | 足りない | 問い1に該当。EMV 3-Dセキュアで発行会社が判定する決済以外（ポイント、前払い残高、登録済みカードでの購入）は自社の認証が必要 |
表の「足りる」は、攻撃を受けた場合でも実務上許容できるかどうかの判断であり、基準がその使い方を推奨しているという意味ではありません。SMS OTPをログインに残す場合、NISTが制限付き認証に求める条件を踏まえてリスクを評価し、代替手段の提供や移行計画を用意する必要があります。ただし、それによってフィッシング対策ガイドラインが求めるフィッシング耐性を満たすことにはなりません。したがって、SMS OTPは移行までの暫定的な手段と位置付けるのが妥当です。
利用者の負担と「抜け道」
すべてを一度に切り替えるのは現実的ではありませんが、目指す姿は次のとおりです。
- フィッシング耐性のある認証を基本とする。
- SMS OTPを残す場合は、表で「足りる」「暫定的に許容（リスク受容）」とした用途に限り、被害が限られる範囲にとどめる。
- SMS OTPを認証に使う場合は、代わりに選べる手段、SMS OTPに残るリスク、移行の計画を明確にする。
重要な操作で「パスキーが使えなければSMSでも可」とすると、攻撃者はSMSを選択できるため、フィッシング耐性の弱い経路が残ります。また、金融庁の監督指針等は、原則としてメールやSMSにログインリンクなどを記載しないことを求めています。OTPを送るSMSにもURLを付けない運用にそろえておきましょう。
3. パスキーなどを「フィッシングに強い」と説明するために確かめること
「パスキーを入れた」という事実だけでは、説明になりません。金融庁はパブリックコメントへの回答で、例示以外の方式でも安全性とフィッシング耐性を「合理的に説明できる」なら趣旨にかなうと答えました。その一方で、評価の観点は「個々の事情や各社の方針に応じて、判断が必要」としています。つまり、説明の中身は事業者が用意するものです。なお、この回答は特定の方式を一律に認めたものではなく、どの方式についても有効性を個別に説明する必要があります。
パスキーは、WebAuthnなどFIDO2の仕様に基づく認証方式です。ただし「FIDO2対応」というだけでは、フィッシングに強いことの説明にはなりません。
方式ごとに、説明できる範囲は次のとおりです。
- 端末固定パスキー：秘密鍵が端末外に持ち出せない構成で、接続先ドメインに紐づいた認証を行います。中間者型フィッシングに対する耐性を持ちます。AAL3への適合には、鍵の保護方式や利用者検証など、ほかの要件も確認する必要があります。
- PKIベース認証：クライアント証明書など、公開鍵基盤を利用する認証方式です。フィッシング耐性については、具体的な実装と運用（たとえば、偽サイトに中継されても使えない仕組みになっているか）が要件を満たすかを確認する必要があります。
- 同期パスキー：クラウドのアカウントを通じて複数の端末で共有されるパスキーです。接続先ドメインに紐づくため偽サイトでは認証に使えず、フィッシングに強い点は端末固定パスキーと同じです。ただし、同期元のアカウントや同期の仕組みが侵害されると、同期されたパスキー全体に影響が及ぶおそれがあり、NISTもAAL3では認めていません。国家サイバー統括室の重要インフラ向けガイドラインも、この点に注意を促しています。2026年秋には、グーグルやアップルのアカウントが乗っ取られ、それらに紐づくパスキーが悪用されたとみられる証券口座の不正取引が報じられ、日本証券業協会も注意を呼びかけています。
- 携帯電話会社の回線認証：SIMとモバイルデータ通信で、回線の契約者の端末であることを確かめる方式です。利用者が認証コードを入力しないため、コードを盗んで使う手口は通じません。ただし、偽サイトを経由した中継に強いかは実装によって異なり、SIMスワップにも弱いままです。NISTの電話網の制限に当たるかを含め、SMSとの違いやSIMスワップへの対策を整理し、有効性を個別に説明する必要があります。
見落とされやすいのは、サービス側の実装です。2026年8月にはUnit 42が、Googleの同期パスキーを侵害済み端末から悪用する手法を報告しました。その報告では、Pass-ta-key攻撃が成立する条件の一つとして、利用者検証（User Verification：端末上で生体認証やPINなどにより利用者を確かめること）を必須に設定しながら、その結果を示すUVフラグをサービス側が検証していないという実装上の問題が指摘されています。この場合、パスキーは実質的に「持っているもの」だけの1要素になります。利用者検証を要求する場合は、WebAuthnの応答に含まれるUVフラグも適切に検証する必要があります。
監査や取引先に説明する前に、少なくとも次の点を確かめ、記録に残しておきましょう。
- サーバーがオリジン（接続先ドメイン）、チャレンジ、RP IDハッシュ（そのパスキーがどのサービス向けかを示す値）、署名を検証し、利用者検証を要求する場合はUVフラグも検証しているか
- 同期パスキーと端末固定のパスキーを区別し、管理者など高リスクな利用者には後者を求めているか（認証器データのBEフラグで単一デバイス資格情報か複数デバイス資格情報か、BSフラグで実際にバックアップされているかを確認できる。ただし、端末そのものを識別・固定するものではない）
- パスキーを追加・再登録する経路が、SMS OTPだけで通れる抜け道になっていないか
- パスキーを登録した利用者も、パスワード＋SMS OTPでログインできるままになっていないか
まとめ：「やめるかどうか」ではなく「どこに使うか」を決める
SMS OTPを一律に廃止する必要はありません。問われているのは、用途ごとに何を守り、そこで何を確かめているかを自社の言葉で説明できるかどうかです。
実務では、用途ごとに採用した方式、参照した基準、SMS OTPを残す理由と移行の時期を1枚の表にしておくと、監査にも取引先のチェックシートにもそのまま使えます。
参考資料
一次資料
- フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」
- NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management（2025年7月）
- 金融庁「保険会社向けの総合的な監督指針」等の一部改正（案）に対するパブリックコメントの結果等の公表について（2026年7月17日）
- 金融庁「コメントの概要及びコメントに対する金融庁の考え方」（No.33、No.34、No.61、No.72）
- Unit 42 “Pass the Passkey: A Novel Attack Surface in Passwordless Authentication”（2026年8月3日）
- 内閣官房 国家サイバー統括室「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」（2026年9月11日）
補足資料
- フィッシング耐性を持つ多要素認証を要求、「フィッシング対策ガイドライン2026年度版」を公開（ニュートン・コンサルティング）
- 「フィッシング対策ガイドライン2026年度版」公開（Web担当者Forum）
- NIST SP 800-63B-4（対訳）
- 重要インフラ向けに必要なセキュリティ対策とは（サイバートラスト）
- パスキー万能説破れる？ Google同期パスキー実装に見つかった“想定外の穴”（@IT）
- 不正送金被害の爆発的増加にフィッシング対策協議会が警鐘（ペイメントナビ）
- 携帯電話契約時にマイナンバーカードなどのICチップ読み取り必須に（ITmedia Mobile）
- SMS認証代行に関する注意喚起（埼玉県警）
- 「パスキーだから安心」が危ない? SBI証券が警告したGoogle・Appleアカウント経由の口座乗っ取り（@IT、2026年10月9日）
- 生体認証の証券口座で被害（共同通信、2026年11月11日）
