2025年の春、証券会社のインターネット取引で、他人の口座に入り込んで株を勝手に売り買いする被害が急に増えました。金融庁のまとめでは、2025年4月の1か月だけで不正アクセスが5,490件あり、そのうち3,033件で実際に取引まで行われています。2026年8月には講談社が、社員のメールアカウントに不正にログインされ、最大3,812件の連絡先を盗まれたと公表しました。
こうした話が続くと、ログインのときに届く確認コードをで受け取るのとメールで受け取るのと、どちらが安全なのかが気になってきます。会社として従業員に何を使わせるか、自社のサービスや社内ツールのログインに何を採用するかにも関わってくる問いです。米国の政府機関の基準と、日本の警察庁・金融庁・金融機関の資料を読み比べると、選ぶべき方式は1つに絞れました。
会社で選ぶなら、SMS認証はやめるのが答えです。ただし、乗り換え先はメールにしません。SMSは電話番号を他人に奪われると破られ、メールは受信箱のパスワードが漏れると、どの端末からでも開かれてしまいます。米国国立標準技術研究所（NIST）の基準も、SMSを「制限付き」の方式に、メールを二段階認証の受け取り先には使ってはならない方式に分けています。偽サイトに確認コードを入力させられたら防げない点は、どちらも同じです。乗り換え先はパスキー（指紋や顔、端末の暗証番号でログインし、偽サイトでは使えない仕組み）にしてください。メールを使い続けるなら、受信箱そのものをパスキーやセキュリティキー（USB などで挿す小さな鍵の機器）で守ることが前提になります。
この記事の要約
SMSとメールは、それぞれ違うものを確かめている
SMSに届くコードが確かめているのは、その電話番号のが入った電話を、いま手元に持っていることです。メールに届くコードが確かめているのは、その受信箱を開けることです。どちらの方式も、ログインしようとしている人が本人かどうかを直接確かめてはいません。
SMSの場合、電話番号は携帯会社の契約で SIM に結びついています。誰かが本人になりすまして SIM を再発行させると、番号ごとその人の電話に移り、確認コードもそちらに届きます。このとき本人の電話は急に圏外になるので、異変には気づきやすいほうです。
メールの場合、受信箱はパスワードさえ分かれば、ほかの制限をかけていない限り、パソコンでもスマートフォンでも、社外のどこからでも開けます。受信箱そのものに二段階認証を付けていなければ、パスワードが漏れた時点で、そこに届く確認コードも他人に読まれます。SIM の乗っ取りと違って、他人が受信箱に入っていても自分の画面はいつもどおり動くので、気づくのが遅れがちです。
SMS の強さは携帯会社の本人確認の厳しさで、メールの強さは受信箱へのログイン方法で決まります。会社が自分で固められるのは、メールの側です。
SMSは、電話番号を奪われると破られる
SMSの弱点は、電話番号そのものが他人の手に渡ることです。日本でも2022年に被害が増え、いったん収まったあと、2026年に入って金融機関の注意喚起がまた続いています。
他人になりすまして SIM を再発行させる手口はと呼ばれます。警察庁のキャッシュレス社会の安全・安心の確保に向けた検討会報告書（2024年3月）によると、インターネットバンキングの不正送金のうち SIM スワップによるものは、2022年7月から12月の半年間で63件ありました。警察庁は2022年9月、総務省と組んで、大手の携帯会社に店頭での SIM 再発行の本人確認を厳しくするよう求めています。その結果、2023年1月以降は激減し、2023年5月以降は確認されていない、と報告書は記しています。
携帯会社が本人確認を厳しくしたことで、被害ははっきり減りました。それでも2026年には、楽天証券が4月6日に、イオン銀行が10月5日に、SIM スワップへの注意を呼びかけています。楽天証券の案内は、乗っ取った電話番号やメールアドレスを使って、複数の金融サービスで不正なログインや申し込みが行われる例を挙げています。兆候として両社が挙げるのは、スマートフォンが突然圏外になって通話も SMS もできなくなる、メールやネットバンキングにログインできなくなる、身に覚えのない SIM 再発行の通知が届く、といったことです。
米国では、通信会社への侵入をきっかけに SMS が問題になりました。（米国のサイバーセキュリティ・社会基盤安全保障庁）は2024年12月18日の携帯電話の通信に関する指針で、中国政府とつながりのある攻撃者が通信会社の設備に侵入していたことを明らかにしました。そのうえで、SMS を二段階認証の2つ目の手段に使わないよう求めています。SMS は暗号化されていないので、通信会社の網に入り込んだ攻撃者には読まれてしまう、というのが理由です。主な読み手は政府高官や政治家ですが、指針はすべての読み手に当てはまると前置きしています。
NIST が2025年7月31日に確定させた本人認証の基準 SP 800-63B の改訂第4版は、電話網を使ってコードを送る方式（SMS や音声通話）を「制限付き」としています。この区分に入っているのは、この方式だけです。SMS でコードを送るサービスの運営者には、ほかの方式も必ず用意すること、コードを送る前に SIM の交換や番号の移転といった兆候を確かめることを求めています。禁止まではしていません。使うなら、ほかの方式と並べて用意することが条件になりました。
メールは、受信箱を開けられると破られる
メールに届くコードは、その受信箱に入れる人なら誰でも読めます。NIST は、メールを二段階認証の受け取り先に使うことを認めていません。
SP 800-63B 改訂第4版の3.1.3.1は「Email SHALL NOT be used for out-of-band authentication」、つまりメールをログインの確認コードの受け取り先に使ってはならない、と定めています。理由として挙げているのは、パスワードだけで受信箱に入れること、途中のメールサーバーで読み取られうること、メールの配達先を偽の宛先に書き換えられうることの3点です。メールアドレスが本物かを確かめるためのコードや、アカウントを取り戻すための復旧コードは、この禁止の対象外です。ただ、後で触れるとおり、アカウントを取り戻す経路は弱い入口になりがちです。
受信箱が乗っ取られた例として、講談社の公表文があります。2026年7月27日、同社の社員が取引先を装ったフィッシングメールのリンクを開き、表示された偽のログイン画面に認証情報を入力しました。7月30日に攻撃者がそのメールアカウントにログインし、連絡先を最大3,812件盗んで、そのうち553件のアドレスへ、本人になりすましたフィッシングメールを送っています。本人は同じ日に異変に気づき、パスワードの変更とログイン中の端末の切断をしました。公表文には、このメールアカウントに二段階認証があったかどうかは書かれていません。
受信箱には、ほかのサービスのパスワード再設定の案内も届きます。受信箱が他人の手に渡れば、そのアドレスで登録しているサービスにも次々と入られるおそれがあります。パスワードや秘密の質問が以前より破られやすくなった事情は、AIに破られやすくなったセキュリティ対策の記事にまとめました。
2025年の証券口座の乗っ取りでは、ID とパスワードがどこから漏れたのかも気になるところです。金融庁が示しているのは、実在する証券会社を装った偽サイトや、パソコンなどに入り込むウイルスで盗まれたということまでです。メールの乗っ取りが経路だったかどうかは、公表された資料からは分かりません。
受信箱をパスキーで守っていれば、SIM スワップにはメールのほうが強い
メールに届くコードの強さは、受信箱の入口の強さ次第です。会社の Google Workspace や Microsoft 365 で、受信箱へのログインにかを必須にしているなら、SIM スワップに対しては、SMS より強くなりえます。
Google Workspace の管理者は、2段階認証プロセスの適用方法を選べます。「テキスト メッセージや音声通話で受け取った確認コード以外」を選べば、SMS と音声通話のコードは使えません。もう一段強いのが「セキュリティ キーのみ」で、セキュリティキーかパスキーでしかログインできなくなる設定です。パスキーとセキュリティキーのフィッシング対策は同じ水準だ、と Google のヘルプは説明しています。Microsoft 365 の管理画面（Microsoft Entra ID）にも、ログインに偽サイトでは通らない認証（フィッシング耐性のある多要素認証）を必須にする設定があります。
反対に、受信箱がパスワードだけで開くなら話は逆です。メールのコードは SMS より弱いことすらあります。受信箱の二段階認証が SMS なら、SIM スワップの弱点もそのまま引き継ぎます。受信箱の守り方ごとに並べると、次の表のとおりです。
| 受信箱の守り方 | メールに届くコードの強さ |
|---|---|
| パスワードだけ | パスワードが漏れた時点で読まれ、SMS より弱いことがある |
| 二段階認証が SMS | SIM スワップの弱点を引き継ぎ、パスワードと電話番号の両方を奪われると破られる |
| 二段階認証が | SIM スワップには強いが、偽のログイン画面に6桁を入力させられると破られる |
| パスキーかセキュリティキーが必須 | 受信箱が偽サイトでは開かなくなり、SMS より強くなりうる |
表の最後の行まで固めても、気をつけたい点が1つ残ります。メールで届いた確認コードを利用者が偽サイトに打ち込んでしまえば、そのサービスには入られます。NIST がメールを二段階認証の受け取り先として認めていない以上、メールのコードはパスキーに移るまでのつなぎと位置づけてください。
4つの方式を並べると、偽サイトに強いのはパスキーだけ
SMS、メール、認証アプリ、パスキーを、よくある3つの破られ方と導入の手間で比べました。3つの破られ方すべてに強いのはパスキーだけです。
| 方式 | SIM スワップ | 受信箱の乗っ取り | 偽サイトへの入力 | 導入の手間 |
|---|---|---|---|---|
| SMS | 弱い | 影響なし | 弱い | 小さい |
| メール | 条件による | 弱い | 弱い | 小さい |
| 認証アプリ | 強い | 影響なし | 弱い | 中くらい |
| パスキー | 強い | 影響なし | 強い | 中くらい |
メールの「条件による」は、受信箱の二段階認証が SMS なら SIM スワップの弱点を引き継ぐ、という意味です。導入の手間でいえば、SMS とメールは電話番号かアドレスさえあれば済みます。認証アプリには、アプリへの登録と、機種変更のときの移し替えが要ります。一番手がかかるのはパスキーでしょうか。端末ごとに登録し、端末をなくしたときの戻し方も先に決めておかなければなりません。
差がつくのは、偽サイトの列です。パスキー以外がそろって弱いのには理由があります。SP 800-63B 改訂第4版は、利用者がコードを手で入力する方式を、SMS でも認証アプリでもフィッシングに耐性があるとはみなさない、と定めています（3.2.5）。入力したコードが、どのサイトへのログインのためのものかに結びついていないので、偽サイトが受け取ったコードを本物のサイトにそのまま使えてしまうからです。
パスキーは、登録したサイトのドメイン名に鍵が結びついていて、偽サイトでは使えません。NIST はパスキーの仕組みをこの性質の例に挙げていますし、パスキーの規格を作っている業界団体の FIDO Alliance もフィッシングに耐性のある方式として説明しています。CISA の指針も、認証アプリのコードは SMS よりよいがフィッシングには弱いままで、耐性があるのは FIDO の方式（パスキーやセキュリティキー）だけだ、と書いています。
では認証アプリは使えないのかというと、そうでもありません。パスキーに対応していないサービスでは、つなぎとして十分に役立ちます。電話番号に頼らないぶん、SIM スワップの心配が消えるからです。
最後に、アカウントを取り戻す経路にも目を向けてください。パスキーを登録しても、パスワードを忘れたときに SMS やメールだけで入り直せる設定が残っていれば、その経路が一番弱い入口になります。CISA は、認証アプリなどを登録しても SMS の登録は自動では外れず、攻撃者に使われる予備の経路として残ると注意しています。
日本の証券会社は、偽サイトに強い認証を必須にした
日本でいち早く動いたのは証券業界です。2025年の被害を受けて、偽サイトに強い認証を必須にする流れができました。
金融庁の集計（各社の報告にもとづく暫定値）を見ると、証券口座への不正アクセスは2025年1月の144件から、3月に2,321件、4月に5,490件へと跳ね上がりました。3か月で約38倍です。2025年1月から2026年9月までの合計は、不正アクセスが19,252件、そのうち不正な取引まで行われたものが10,642件です。集計表の売却金額と買付金額は不正な売買の総額で、利用者の損失額とは一致しない、と金融庁は注記しています。
金融庁は2025年10月に証券会社向けの監督指針を改正し、フィッシングに耐性のある多要素認証の必須化を、原則として2026年6月末までに求めました。業界団体の日本証券業協会も2025年10月15日にインターネット取引のガイドラインを改正し、ログイン時、出金時、出金先の銀行口座を変えるときなどの重要な操作で、フィッシングに耐性のある多要素認証を実装して最初から有効にしておくよう求めています。例として挙がっているのは、パスキーと、をもとにした認証です。
同じガイドラインは、身に覚えのないログインや出金を、登録済みのメールや SMS に知らせる機能も求めています。SMS やメールは、認証の手段からは外れても、異変を知らせる経路としては使い続けられます。
証券会社の対応のうち、マネックス証券を例に見ます。2025年10月31日にウェブサイトでパスキーによるログインを始め、2025年12月26日にはアプリでも使えるようにしました。2026年6月30日にはログイン時のパスキー認証を必須にしています。同社の案内によれば、それまでのログインでは、メールなどで届くワンタイムパスワード（確認コード）の入力が毎回必要でした。
その後、件数は減っていきました。集計では、2026年7月の不正アクセスは18件、8月は43件、9月は37件で、2025年の春とは桁が違います。時期は、各社がパスキーなどを必須にした時期と重なります。ただ、減った理由は金融庁の資料には書かれていません。
今日できる3つのこと
個人でも会社でも、手を付ける順番は同じです。まず受信箱、次に電話番号、最後に個々のサービスの順で固めます。
- メールの受信箱に、パスキーか、SMS 以外の二段階認証（認証アプリやセキュリティキー）を付ける
- 携帯会社の契約で、暗証番号の設定、オンラインの契約者ページへのログイン方法、SIM 再発行の通知がどうなっているかを確かめる
- よく使うサービスがパスキーに対応しているかを確かめ、登録したら SMS での受け取りを外す
この順番には理由があります。受信箱を最初にするのは、ほかのサービスのパスワード再設定がそこに届くからです。受信箱を固めないまま個々のサービスにパスキーを付けても、再設定の経路から入られる余地が残ります。
2つ目について、CISA の指針は携帯会社の契約に暗証番号と二段階認証を付けるよう勧めています。米国の携帯会社では、番号の移転などの手続きでその暗証番号が確かめられるので、SIM スワップへの備えになる、という理由です。日本の携帯会社で何が確かめられるか、設定の名前や場所はどこかは会社ごとに違うので、契約している会社の案内で確かめてください。
3つ目は、パスキーを登録したあとが肝心です。SMS の登録が残っていると、そこが予備の入口になります。登録を外せないサービスもあるので、その場合は電話番号の守り（2つ目）がそのまま効いてきます。
会社として決めること
会社として決めておきたいのは、従業員のメールアカウントの守り方と、自社のサービスや社内ツールのログインに何を採用するかの2つです。
従業員のメールアカウント
管理者は、会社の Google Workspace や Microsoft 365 で、受信箱へのログインにパスキーかセキュリティキーを必須にします。一度に全員を切り替えるのが難しければ、管理者の権限を持つ人と、振込や請求を扱う経理の担当者から始めてください。この人たちの受信箱が破られると、被害が大きくなりやすいからです。
切り替えの前に、SMS や音声通話のコードでログインしている人を洗い出しておきましょう。ログの監査画面でそうした人を見つける方法は、Google Workspace のヘルプにも載っています。端末をなくした人のための予備の確認コードを誰がどう渡すかも、先に決めておくと切り替えの日に慌てずに済みます。アカウントを発行するときの手順全体は、外部の技術者を迎えるときの準備の記事にまとめています。
自社のサービスや社内ツールのログイン
自社でサービスを作るなら、ログインにはパスキーを用意してください。NIST の基準も、お金や個人情報を扱うような、一定以上の確かさが要るログインでは、フィッシングに耐性のある方式を少なくとも1つ選べるようにしておくことを求めています。SMS を残す場合は、利用者が選べる方式の1つにとどめ、ほかの方式も用意して、SIM 交換などの兆候を確かめてから送る、という NIST の条件に沿わせます。メールに届くコードを二段階認証として使う設計は、新しく作るなら避けてください。
社内ツールは、会社の Google や Microsoft のアカウントでログインする形にすると、受信箱と同じ守りがそのままツールの入口にもかかります。ツールごとに別のパスワードと SMS 認証を作るより、守る入口が1つで済みます。AI に作らせた社内ツールを公開する前の点検項目は社内に公開する前に確かめる7項目の記事で、前任者から引き継いだ WordPress の二段階認証は引き継いだら最初に見る10項目の記事で取り上げています。
手間がかかるのは、既にあるサービスで SMS 認証からパスキーへ移す場合です。ログインの画面に加えて、パスワードを忘れたときの戻し方や、端末をなくしたときの本人確認まで作り直すからです。どこまでを一度に変え、どの経路をいつ閉じるか。そこを先に決めておけば、利用者を締め出さずに移せます。
自社サービスや社内ツールのログインの作り直しをお受けしています
SMS 認証からパスキーへの切り替え、パスワードを忘れたときの戻し方の見直し、会社の Google・Microsoft のアカウントでログインする形への変更まで、はてなベースにご相談ください。既にお使いのサービスでも、利用者を締め出さない移し方から一緒に決めます。