SMS認証は危険なのか？2要素認証における安全性とメール・RCSとの違いを解説

Webサービスのログイン時などで利用される2要素認証では、SMSで確認コードを受け取る方式が広く使われています。一方で「SMSは暗号化されていないため危険なのではないか」「メールやRCSの方が安全なのではないか」と疑問を持つ人も少なくありません。

この記事では、SMS認証の仕組みやセキュリティ上の弱点、実際のリスク、メール認証やRCSとの違いについて分かりやすく解説します。

SMS認証とはどのような仕組みなのか

SMS認証とは、携帯電話番号宛に一時的な確認コードを送信し、そのコードを入力することで本人確認を行う方法です。パスワードだけでは不十分な場合に、追加の認証要素として利用されます。

例えば、IDとパスワードが第三者に知られてしまった場合でも、本人のスマートフォンに届いたSMSコードを入力できなければログインできないため、不正アクセス対策として一定の効果があります。

多くのオンラインサービスでSMS認証が採用されている理由は、ほとんどの利用者が携帯電話番号を持っており、新しいアプリを入れなくても利用できる手軽さがあるためです。

SMS認証には、他の認証方式と比較するといくつかの弱点があります。その代表的なものが、SIMスワップ攻撃や電話番号乗っ取りのリスクです。

SIMスワップ攻撃とは、攻撃者が携帯電話会社などをだまして被害者の電話番号を別のSIMカードへ移し、SMSを受信できるようにする手口です。この場合、正規利用者ではなく攻撃者の端末に認証コードが届いてしまいます。

また、SMS自体は通信経路上で高度な暗号化を前提として作られた仕組みではありません。そのため、非常に高度な攻撃環境では傍受リスクが指摘されています。

SMS認証は弱点があるものの、すぐに安全性がない認証方式というわけではありません。パスワード単独よりも大幅に安全性を高める効果があります。

例えば、一般的なサービスへの不正ログイン対策としてSMS認証を設定している場合、攻撃者はパスワードだけでなく携帯電話番号へのアクセスも必要になります。そのため、多くの不正アクセスを防ぐことができます。

重要なのは、SMS認証を使うか使わないかではなく、利用するサービスの重要度に応じて適切な認証方式を選ぶことです。

メール認証も2要素認証で利用されますが、安全性はメールアカウントの管理状態に大きく左右されます。

メールアカウント自体が乗っ取られている場合、認証コードも攻撃者に確認される可能性があります。そのため、メール認証を利用する場合はメールサービス側にも強力なパスワードや2段階認証を設定することが重要です。

SMSとメールのどちらが絶対的に安全というわけではなく、それぞれ異なるリスクがあります。携帯電話番号の管理が強固であればSMSが有効な場合もあります。

RCSはSMSの後継ともいえるメッセージ規格で、インターネット通信を利用した高機能なメッセージサービスです。暗号化機能を備えたサービスもありますが、認証用途としてSMSより必ず安全になるとは限りません。

認証コードを送る仕組みでは、通信方式だけではなく、端末の安全性、アカウント管理、サービス提供側の設計など複数の要素が影響します。

そのため、単純に「SMSよりRCSだから安全」と判断することはできません。認証方式全体の仕組みを見る必要があります。

現在、多くのセキュリティ専門家が推奨しているのは、認証アプリやセキュリティキーを利用した方式です。

認証アプリでは、スマートフォン内部で時間によって変化する確認コードを生成するため、SMSのように電話番号を狙った攻撃の影響を受けにくくなります。

さらに重要なアカウントでは、物理的なセキュリティキーを利用するFIDO方式などを使うことで、フィッシング攻撃にも強い認証環境を作ることができます。

SMS認証を使う場合は、携帯電話会社のアカウント管理を強化することが大切です。契約者情報や暗証番号を適切に管理し、不審なSIM再発行などに注意しましょう。

また、重要なサービスではSMSだけに頼らず、可能であれば認証アプリやセキュリティキーなど、より強力な認証方法へ変更すると安心です。

例えば、ネット銀行や仮想通貨サービスなど金銭に関わるアカウントでは、SMS認証だけではなく追加のセキュリティ対策を検討することが推奨されます。

SMS認証は、暗号化やSIMスワップ攻撃などの弱点があるため、最も強力な2要素認証方式とは言えません。しかし、パスワードだけの認証と比べると安全性を大きく向上させる効果があります。

メール認証やRCSもそれぞれ特徴やリスクがあり、単純にSMSより安全とは判断できません。重要なのは、利用するサービスの重要度に応じて適切な認証方式を選択することです。

高い安全性が必要なアカウントでは認証アプリやセキュリティキーを利用し、SMS認証は利便性と安全性のバランスを考えながら活用することが大切です。