2段階認証の電話番号認証は安全なのか？仕組みと乗っ取りリスク、より安全な認証方法を解説

2段階認証では、パスワードに加えて電話番号によるSMS認証や音声認証を利用するケースがあります。パスワードだけの場合より安全性は高まりますが、「電話番号認証は絶対に安全なのか」「電話機の情報が偽装されることはないのか」と疑問を持つ人も少なくありません。

この記事では、電話番号を使った2段階認証の仕組み、考えられる攻撃方法、完全な安全ではない理由、さらに安全性を高めるための認証方法について詳しく解説します。

電話番号を使った2段階認証の仕組み

電話番号による2段階認証では、サービスにログインする際にパスワード入力後、登録した電話番号へSMSや音声通話で確認コードが送信されます。

利用者は届いたコードを入力することで、正しい電話番号を所有している本人であることを確認します。つまり、パスワードを知っているだけではログインできない仕組みです。

例えば、第三者がパスワードを盗んだとしても、本人のスマートフォンに届く認証コードを取得できなければ、不正ログインを防ぐことができます。

結論として、電話番号を使った2段階認証は非常に有効なセキュリティ対策ですが、絶対に破られない方法ではありません。

電話番号認証は「スマートフォンを持っている本人である可能性」を確認する仕組みであり、電話回線や通信会社の仕組みそのものが攻撃対象になる可能性があります。

そのため、パスワードのみの認証と比べれば大幅に安全性は向上しますが、リスクが完全になくなるわけではありません。

電話番号そのものが簡単に偽装され、通常の利用者のスマートフォンへ届くSMS認証を自由に取得されるということは一般的ではありません。

しかし、攻撃者が電話会社の手続きや人間の心理的な隙を利用して、電話番号を乗っ取る手法は存在します。

代表的な例として「SIMスワップ攻撃」があります。これは攻撃者が本人になりすまして携帯電話会社へ連絡し、SIMカードを再発行させることで、同じ電話番号を別のSIMで利用できる状態にする攻撃です。

例えば、攻撃者が個人情報を集めて携帯会社のサポート担当者をだますことに成功すると、被害者の電話番号宛てのSMS認証コードを受け取れる可能性があります。

電話番号認証にはSIMスワップ以外にも、いくつか注意すべきリスクがあります。

SMSは通信経路上で完全な暗号化が保証されているわけではなく、国際的な通信網の弱点を利用した攻撃が理論上存在します。

また、フィッシング詐欺によって利用者自身が認証コードを入力してしまうケースもあります。

例えば「あなたのアカウントで不審なログインがありました。確認コードを入力してください」という偽サイトへ誘導され、入力したコードを攻撃者がリアルタイムで利用する手口があります。

セキュリティをさらに高めたい場合は、SMS認証よりも認証アプリやセキュリティキーを利用する方法がおすすめです。

認証アプリでは、スマートフォン内で一定時間ごとに変化するワンタイムパスワードを生成します。電話番号や通信会社に依存しないため、SIMスワップ攻撃への耐性があります。

さらに高い安全性が必要な場合は、物理的なセキュリティキーを利用する方法があります。これはUSBやNFCなどを利用した専用デバイスで、フィッシングサイトでは認証できない仕組みを採用しています。