はじめに
シリーズ「自分を守るセキュリティ」第2回は、ログインのときに届く「6桁の数字」、ワンタイムパスワードです。全体像は第1回の記事で1枚の図にまとめています。
ワンタイムパスワードとは
1回だけ使える、使い捨ての数字です。有効期限は数十秒〜数分と短く、一度使えば無効になります。パスワードが盗まれても、この数字がなければログインできません。
SMS・メール・認証アプリの違い
| 種類 | よい点 | 気をつける点 |
|---|---|---|
| SMS （電話番号あて） | 設定が簡単 | 電波がないと届かない。電話番号を変えるときは要注意 |
| メール | スマホがなくても受け取れる | メール自体が乗っ取られると意味がない。迷惑メールに紛れやすい |
| 認証アプリ | 電波がなくても使え、より安全 | 機種変更のとき引き継ぎが必要 |
選べるなら「認証アプリ ＞ SMS ＞ メール」の順がおすすめです。とはいえ、どれも設定しないよりずっと安全です。
使い方
- いつも通りIDとパスワードを入れる
- 「確認コードを入力」画面が出る
- SMS・メール・アプリで6桁の数字を確認して入力する
認証アプリは「Google Authenticator」や「Microsoft Authenticator」が代表的です。最初に、サービスの設定画面に出るQRコードをアプリで読み取れば準備完了。あとはアプリを開くと30秒ごとに新しい数字が表示されます。
いちばん大事な注意点：コードは誰にも教えない
ワンタイムパスワードは、本来「自分がログインしようとしているとき」にだけ届くものです。操作していないのに届いたら、誰かがあなたのパスワードでログインを試みているサインです。
- 電話やメッセージで「届いた番号を教えて」と頼まれても、絶対に教えない（銀行や携帯会社、LINEの運営が聞くことはありません）
- 身に覚えのないコードが届いたら、入力せずにパスワードを変更する
- メールやSMSのリンクから開いた画面には、コードを入力しない
「リアルタイムフィッシング」に注意
偽サイトに入力されたパスワードとワンタイムパスワードを、犯人がその場で本物のサイトに入力して悪用する手口です。警察庁のまとめでは、2025年のネットバンキング不正送金の被害額は約104億円と過去最悪で、その約9割がフィッシングによるものでした。銀行やカード会社のサイトは、メールのリンクではなく、ブックマークや公式アプリから開きましょう。
機種変更の前に確認を
認証アプリの「鍵」はスマホの中にだけ入っています。古いスマホを初期化する前に、新しいスマホへ引き継ぐか、各サービスの「バックアップコード」を紙に控えておきましょう。SMSを使っている場合も、電話番号を変える前に登録の変更が必要です。
おまけ：私のちょっとした失敗談
実は私のスマホには「Google Authenticator」と「Microsoft Authenticator」の2種類の認証アプリが入っています。どちらも名前に「Authenticator（オーセンティケーター）」と付いていて似ているため、ログインのときに違う方のアプリを開いてしまい「あれ、このサービスが見つからない…」と慌てたことが何度もあります。
認証アプリを2つ以上使う場合は、次のような工夫をしておくと安心です。
- アイコンの色や形で見分けられるよう、どちらがどのアプリか覚えておく
- どのサービスをどちらのアプリに登録したか、メモしておく
- 特に理由がなければ、新しく登録するときはなるべく1つのアプリにまとめる
まとめ
- どの方法でも、設定しないよりずっと安全
- 選べるなら認証アプリがおすすめ
- コードは誰にも教えない、リンクから開いた画面に入れない
シリーズの次回以降では、偽サイトにだまされても守ってくれる「パスキー」も取り上げます。認証アプリの設定や機種変更の引き継ぎに不安がある方は、鎌倉出張パソコン教室までお気軽にご相談ください。