SMS認証とは？セキュリティ強化に欠かせない2段階認証を徹底解説

2021.11.02

「SMS認証（2段階認証）」を簡単に導入できるSMS認証サービス

インターネットの普及により、商品の購入やサービスの登録などをオンラインで行うのは当たり前の時代。

一昔前はID・パスワードという単一の認証のみでログインできる方法が一般的でしたが、今はWebでさまざまな事ができる時代。個人情報の保護のためにもWebサイトの安全性や防御力は非常に重要で、多くのサイトの場合、ID・パスワードとは別の方法で本人認証を行う「２段階認証」が導入されています。

「２段階認証」は当初、同じパスワードを２回以上入力する方法が一般的でしたが、現在ではID・パスワードの認証に加え、指紋やワンタイムパスワードなど、別の要素での認証を加える「2要素認証」が浸透してきています。

ふたつめの要素は指紋や顔などの生体情報や、ワンタイムパスワード用のトークンなど、様々な方法がありますが、その中でも機器やアプリが不要な携帯電話番号で行える「SMS（ショートメッセージサービス）」を利用する方法が注目されています。

この記事では、SMSによる2段階認証のメリットや使い方を紹介します。

SMS認証（2段階認証）でのセキュリティ強化の重要性

SMS認証（2段階認証）は、どのような理由で必要とされているのでしょうか。それは、他人のアカウントを悪用する不正アクセスや、情報漏洩問題などに対してセキュリティを強化し未然に防ぐためです。ここでは、SMS認証によるセキュリティ強化の背景や重要性を説明します。

SMS認証（2段階認証）は当たり前の時代に

例えば、何かのサービスへログインするとき、一般的にはIDとパスワードを入力することでログインできます。しかし、これだけではセキュリティは万全とはいえません。ID・パスワードが盗まれてしまった場合は、他人でも容易にログインできるようになってしまいます。そして、別のサービスでも同じパスワードを使っていた場合、不正アクセスの被害は拡大してしまう恐れがあるのです。このような不正アクセスや情報漏洩を防ぐため、Webサービスの運営においては、ID・パスワードとは別のセキュリティが求められています。

SMS認証（2段階認証）について

Webサービスにおける「本人認証」とは具体的にどのようなものなのでしょうか。
本人認証とは、サービス提供を受ける資格を持った人そのものであるという真正性確認をする行為のことです。Webサービスなどの「対面交渉を前提としないサービス」においては、ID・パスワードによる認証が一般的な手段となっています。
しかし、先程のような大手企業でも情報漏洩が頻発する中、現在Webサイトやアプリなどの会員登録では、IDとパスワードだけでの認証では、セキュリティは不十分と言われています。
そのため、ひと昔前まではWebサイトにログインする際、ID・パスワードを入力後、認証コードをメールで送り、その認証コードをWebページで入力を行い、本人を確認するという手法が一般的でした。
しかし最近では無料で誰もが手軽に作れる「フリーメールアドレス」サービスの普及もあり、メールアドレスを作成することや複数所有することは容易になりつつあります。　
そんな中、注目され、浸透してきているのがSMSによる2段階認証です。
その理由は、認証を携帯電話番号で行うからです。携帯電話番号の発行は契約者の身元を確認した上で契約する必要があるため、個人と結びつけやすいと考えられているからです。
また、SMSは携帯電話があれば誰でも使えるという手軽さも持ち合わせているというのも理由のひとつです。
Webサービスの最大手「Google」も、2021年末までに1億5,000万人のユーザーを2段階認証に自動登録すると発表。その中にはSMS認証も含まれており、SMSにおける2段階認証は今後のWebサービスのセキュリティ対策においてスタンダードな手法になると思われます。

SMS認証の操作手順

ここでは、SMS認証を実施しているWebサービスにユーザーが登録する際の操作の流れをご紹介します。

Webサイトで携帯電話番号を入力する

利用したいサービスのWebサイトのアカウント登録画面で、IDやパスワードとは別に「電話番号認証」や「携帯電話番号認証」、「SMS認証」などの項目があります。そこへ、自分の携帯電話やスマートフォンなどの電話番号を入力し送信します。

Webサイトで入力した携帯電話番号宛に認証コードが送信される

利用したいサービスの提供会社から携帯電話番号宛てに、認証コードが記載されたメッセージが送信されてきます。認証コードは一般的に、発行されるごとに毎回文字列が違います。

Webサイトに認証コードを入力し認証完了

送られてきた認証コードを、利用したいサービスの登録画面に戻り、入力すると作業は完了です。
※認証コードはセキュリティ性を高めるため有効期限が10分～1時間と短いことがあります。　

API連携でSMS送信サービスを自社に取り入れよう

仕組みとしてはとてもシンプルなSMS認証ですが、Webサイトは基本24時間365日稼働が前提。この作業を人が手作業で行うのは現実的ではありません。
ゆえに、Webサイトにおける2段階認証の仕組みは、システム化し、自動送信されるものを使って行うのが一般的です。
ただ、自社でSMS送信システムを構築するのは費用や時間、保守など多くの課題が発生します。
その際に便利なのが「SMS送信サービス」です。SMS送信サービスは、メッセージの送信から結果取得までを行うWebサービスです。多くのSMS送信サービス事業者は、APIを提供しています。2段階認証を導入したいWebサービスとSMS送信サービスをAPI経由で連携することにより、自社でSMS送信システムを構築する必要はなくなります。

「SMS認証（２段階認証）」については今さら聞けないSMS認証（２段階認証）活用のポイントの記事もぜひご参照ください。

SMS認証（2段階認証）を導入するメリット

セキュリティ強化に効果があるSMS認証（2段階認証）ですが、企業にとってもユーザーの個人情報を守るなどの信頼を得ることが可能です。ここでは、SMS認証を導入するメリットについて紹介します。

不正アクセス（ログイン）防止

前述でも触れたようにIDとパスワードだけでのログインでは、これらの情報が漏洩してしまうと誰でも簡単に不正アクセスできてしまうので、セキュリティ面で優れているとはいえません。しかし、SMS認証を導入し2段階認証にすることで、サービスのセキュリティを高めることができ、ユーザーの信頼も得ることができます。

不正登録を防止

IDとパスワードだけでユーザーを管理することで起きてしまう問題は不正登録です。例えば、登録することで商品の購入やサービスで利用できるポイントを、1人1回に限りプレゼントするキャンペーンを行ったとしましょう。ここで、登録方法をメールアドレスと、任意のパスワードだけにしたとします。すると、1人1回にもかかわらず複数のフリーメールを使い、何度でもプレゼントを受け取るという不正登録が行われるのです。また、フリーメールで複数登録されたアカウントは、ポイントを使い終えたら放置されたり解約されたりするので、企業にとっての顧客となるユーザーとはいえません。

対してSMSは、電話番号へメッセージを送れるサービスです。そのため、ひとつの端末で複数の登録をすることはできません。SMS認証は、2段階認証によりセキュリティを高め、さらに複数登録などの不正も防ぐことができるメリットがあります。

SMS認証（2段階認証）のデメリット

個人情報を守るために優秀なSMS認証ですが、メリットだけでなくデメリットも存在します。

端末がSMS受信拒否設定をしている場合、メッセージが届かない

受信者側でメッセージの受信拒否設定がされている場合、当然SMSは届きません。

ですので、あらかじめ送り先である端末が、SMSを受信拒否にしている設定となっていないかの事前確認や、注意喚起をする必要があります。

格安スマホでは、SMS認証が行えない場合がある

近頃よく耳にするようになっている格安スマホ。MVNO（仮想移動体通信事業者）が提供する格安SIMを内蔵している端末の場合、そもそもSMSを利用できないケースがあります。

これは格安SIMを選択しているユーザーには、通話やメッセージのやり取りは主にLineやIP電話で対応することを想定しており、データ通信専用のSIMが選ばれることが多いためです。

SMS認証（2段階認証）の活用例

セキュリティ強化を目的として、さまざまなシーンで活用されているSMS認証ですが、ここでは具体的な活用例を紹介していきます。

金融機関・証券会社での振込時の本人認証

多くの金融機関や証券会社では、SMS認証を導入しています。お金に関わるサービスなので、ユーザーが安心して利用できるようなセキュリティが必要です。また、万が一セキュリティの問題が発生した場合、サービスや会社の存続に関わる大きな社会問題となる傾向があります。

ECサイトの本人認証

よく使うECサイトにクレジットカードの情報を登録している人は多いのではないでしょうか。クレジットカード情報の登録は、支払いや決済が便利になる一方、情報漏洩や不正使用のリスクが高まります。こういったリスクを下げるために、ECサイトでは購入時にSMSによる２段階認証を取り入れ、購入・決済の操作をしている人が本人である確率を高める仕組みを構築・運用しています。

パスワード再発行時の本人認証

多くのWebサービスでは、パスワードの再発行にメールアドレスを使います。しかし、メールアドレスは誰でも入力でき、メールのIDやパスワードさえわかれば、誰でも受信できてしまいます。個人情報の漏洩防止のため、多くのサイトでは、パスワードの再発行時にSMSによる本人認証(ワンタイムパスワード等)を取り入れ、セキュティを高めています。