SMS認証は廃止される？

公開日：2026/11/09

SMSを使った認証そのものが、一斉に廃止されるわけではありません。やめる動きの中心は、ログインのたびに送る認証コードです。Microsoftの個人向けアカウントや証券会社のログインで、パスキーなどフィッシングに強い方法へ移す流れがあります。ログインや出金のお知らせ、口座開設などの本人確認、パスキーが使えないときの予備手段、予約や督促の連絡には、SMSの役割が残ります。

SMS認証は廃止されるのか：やめる動きが出ているのは「ログインの認証コード」

公式の発表で確かめられた例が、Microsoftのサポート記事「個人アカウントの SMS コードの送信を停止する Microsoft」です。個人のMicrosoftアカウントの認証とアカウントの回復の方法として、SMSの段階的な廃止を始めると書かれています。理由は「SMS ベースの認証は現在、詐欺の主要な原因」になっていることで、代わりにパスキーと検証済みのメールを案内しています。終わる日付は書かれていません。

日本証券業協会の「インターネット取引における不正アクセス等防止に向けたガイドライン」（2025年10月15日）は、ログイン時、出金時、出金先銀行口座の変更時などの重要な操作で、フィッシングに耐性のある多要素認証（例：パスキーによる認証、PKI（公開鍵基盤）をベースとした認証）を実装し、初期設定で必須にするよう求めています。同じガイドラインは、身に覚えのないログインや出金、出金先口座の変更に顧客が早く気づけるよう、登録された電子メールやSMSなどに通知を送る機能も求めています。

ログインの認証コードはSMSから離れていきますが、証券業協会のガイドラインでもSMSは通知の送り先として残っています。企業がお知らせや連絡にSMSを送ること自体が、なくなる話ではありません。

SMS認証が危ないと言われる理由：リアルタイムフィッシング

先に言ってしまうと、SMS認証には本当に弱点があります。金融庁は、金融機関をかたったフィッシングによる不正送金・不正取引の被害が増えていると書いています。

2026年4月の「フィッシング耐性のある多要素認証等に係る官民一体・業界横断的な広報」は、銀行・信用金庫・証券会社などと金融庁・警察庁が連携して作ったものです。そのチラシ（フィッシング耐性のある多要素認証編・詳細版）には、「メールやSMSに届くワンタイムパスワードを利用した多要素認証は、リアルタイムフィッシングに脆弱なほか、中間者攻撃、マルウェアによる窃取等により突破される場合があります」と書かれています。リアルタイムフィッシングは、偽サイトに入力されたIDやパスワード、認証コードをその場で盗み、本物のサイトにログインする手口です。

弱いのは、利用者が偽サイトにもコードを打ち込めてしまう点です。同じチラシは、パスキーやPKIの認証について、端末の側で本物のサイトかを確かめるため、偽サイトをはじくと説明しています。SIMスワップ（携帯電話番号の乗っ取り）を含む、認証方式ごとの弱点はSMS認証とメール認証の違いにまとめています。

パスキーに移っても、SMSに残る4つの役割

ログインの認証コードがパスキーに移っても、企業がSMSを送る場面は残ります。日本証券業協会のガイドラインは通知の送り先にSMSを挙げ、米国のNIST SP 800-63B（第4版）も、認証器の登録やアカウントの回復を利用者に知らせる先の例に、テキストメッセージを送れる電話番号を挙げています。

お知らせのSMSは、本人を確かめるためではなく、本人が気づくために送ります。パスキーでログインする仕組みでも、この役割は変わりません。

会員登録や口座開設の本人確認も、パスキーとは別に残ります。パスキーは、登録をすませた人がログインするための方法で、「この携帯電話番号は本人のものか」を確かめる場面は登録のときにあります（SMS認証とは、SMS認証とメール認証の違い）。

予備手段については、NISTの指針が、アカウントの回復に使うコードをテキストメッセージで送ることを認めています（有効期限は最大10分）。ただし、Microsoftのように回復の手段からもSMSを外す会社もあり、残すかどうかは扱う操作の重さで決めることになります。

予約の前日の確認や支払い期限の案内は、もともと認証の話ではありません。パスキーに移っても、送り方は変わりません（予約リマインドSMSの送り方、督促SMSの文面と送り方）。

私の考え：SMS認証をやめるかより、SMSを何に使うかを決め直す

私は、SMSを使っている企業が考えるべきなのは「SMS認証をやめるかどうか」より、「SMSを何に使うか」の決め直しだと考えています。出金や出金先口座の変更のように取り消しにくい操作は、パスキーなどへ移す流れが証券の分野で先に始まっています。そのうえで、お知らせ・本人確認・予約や督促の連絡の3つはSMSに任せ続けてよく、予備手段は操作の重さしだいだと判断しています。

条件は、受け取った人が本物かどうかを確かめる材料を、そろえて送ることです。詐欺のSMSと同じ見た目で送っていれば、お知らせも督促も、身に覚えのないSMSとして読まれずに消されかねません。

ULTIQUE SMSでお知らせや本人確認のSMSを送る場合

ULTIQUE SMSには、認証コードを発行・照合する機能や、パスキーの機能はありません。認証コードの本文は自社のシステムで作ってAPIで渡し、お知らせはAPIか管理画面から送ります。日本国内の携帯電話番号に、国内網（国内回線）で配信します。API連携では、送信ごとに「届いた／届かなかった」が指定したURLに返ります（コールバック）。

SMSを本物と分かってもらう送り方

送る側がすることの基本は、送信元の番号を決めて変えない、URLは自社のドメインにそろえる、パスワードやカード番号をSMSで聞かない、その内容を公式サイトに載せる、の4つです。やり方はスミッシング対策で企業がすることに書き、ここではお知らせと認証コードのSMSで足す点を書きます。

日本証券業協会のガイドラインは、メールやSMSに、パスワードの入力を促すページのURLやログインリンクを載せないことを求めています（法令上の義務を果たすためなど、ほかの手段がない場合を除く）。金融庁の広報のチラシも、利用者に「メールやSMSのURLリンクは危ない」と呼びかけ、ブックマークした公式サイトや公式アプリから入るよう勧めています。お知らせのSMSは、リンクを押さなくても用が済む文面にしておきます。

認証コードのSMSに操作の名前を入れておくと、その操作をしていない人にコードが届いたとき、おかしいと気づく手がかりになると考えています。

ULTIQUE SMSで送信元番号を決め、送る仕組みを守る場合

送信元の番号を決めても、その番号で送れる管理画面やAPIに他人が入れば、本物の番号から偽のSMSが出てしまいます。ULTIQUE SMSの場合、管理画面では接続できるIPアドレスを制限でき、2段階認証（任意）も使えます。API連携では、セキュリティのため接続元のIPアドレスを登録していただいています。管理画面とAPIの通信はHTTPSで暗号化しています。プライバシーマークとISMS認証（ISO/IEC 27001）も取得しています。

送信元には、固定電話・050番号・フリーダイヤルなど、個人の携帯電話番号以外を登録できます。標準の番号設定に追加費用はかかりませんが、受け取る人の携帯電話がSoftBankの場合、「253000」または「253001」と表示されます。すべての携帯電話会社で指定の番号を表示する有料オプション（初期費用70,000円・月額20,000円、税抜。使い始めるまで約2週間〜1か月）を使うと、「当社のSMSは必ずこの番号から届きます」と案内できます。番号は本物かを確かめる材料の1つなので、公式サイトでの案内やURLのドメインとあわせて確かめてもらう形にします。

ほかの番号のオプションや表示の違いは、SMSの送信元番号の種類と表示の違いにまとめています。どの番号で、どのSMSを送るかのご相談は、打ち合わせやお問い合わせでお受けしています。

次に確かめること

• 自社のSMSのうち、ログインの認証コード・お知らせ・本人確認・予備手段・予約や督促の連絡が、それぞれ月に何通あるか
• 出金や出金先口座の変更など、取り消しにくい操作をSMSの認証コードだけで確かめていないか
• お知らせのSMSに、押さないと用が済まないリンクが入っていないか

あわせて読みたい記事

SMS認証とメール認証の違い本人確認・認証SMS認証とは本人確認・認証

情報の確認日：2026-11-09