ワンタイムパスワード

仕組みと類似用語の違い

使い方・読み方と注意点

30秒有効の認証アプリコードを攻撃者へ伝えると、その30秒内に利用される可能性があります。『一回限り』は本人だけが使えることを保証しません。

コードや承認依頼を第三者へ伝えず、URL・要求内容を確認します。金融機関が電話で尋ねるという誘導を疑い、SIM交換、端末紛失、時刻ずれ、バックアップ・復旧方法も管理します。

パスキーとの違いは「使い捨て」より「渡す相手」

ワンタイムパスワードは、有効なコードを入力できる相手が認証を進められる仕組みです。例えば、偽の証券会社サイトにID・パスワードと現在のコードを入力すると、攻撃者がすぐ本物のサイトへ転送してログインするおそれがあります。これがリアルタイムフィッシングです。コードの有効時間が短くても、その時間内の悪用は防ぎ切れません。

パスキーは、公開鍵と秘密鍵の組で本人を認証する方式です。サービス側は公開鍵で認証を確認し、利用者は端末の指紋・顔認証やPINなどで鍵の使用を許可します。生体情報や端末のPINを、銀行・証券会社へパスワードとして送る方式ではありません。

ブラウザーやOSが登録先のサイト・アプリとの結び付きを確認するため、見た目を似せた別の偽サイトへ、使える認証情報を入力させる攻撃に強いことが特徴です。端末上の生体認証だけを指す名前でも、数字のコードを長くしたものでもありません。

「情報漏洩」のニュースでは、漏れた情報を分ける

別のサービスから流出したID・パスワードを使ってログインを試す攻撃には、パスワードの使い回しを避け、追加の認証を設定する対策が役立ちます。一方、利用者自身が偽サイトに認証コードも渡す場合は、ワンタイムパスワードを追加しただけでは十分ではありません。

パスキーのサービス側に保存された公開鍵だけが漏れても、それだけで本人として認証することはできません。ただし、会社のデータベースや委託先から住所・氏名・取引情報などが漏れる問題まで、利用者の認証方式を変えることで解決するわけではありません。口座への不正ログイン対策と、企業側のデータ管理を分けて考えます。

ニュースでは件数の大きさだけでなく、対象サービス、漏洩した項目、発表時点で確認された影響、利用者に求められる対応を公式発表で確かめます。口座の通知・取引履歴も確認し、身に覚えのないログインや取引があれば、通知内のリンクを使わず公式窓口へ連絡します。

切り替え・機種変更の前に確認すること

利用する金融サービスが対応している認証方式を、公式アプリや登録済みブックマークから確認します。パスキー登録を促すメールやSMSも偽装され得るため、そこから登録を始めず、公式の入口を自分で開きます。

パスキーには、暗号化して複数端末へ同期する方式と、一つの端末・セキュリティキーに固定する方式があります。機種変更前に、保存先、同期の有無、別の認証手段、端末紛失時の復旧手続きを確認します。同期に使うアカウントにも多要素認証を設定するなど、厳重な管理が必要です。

例えば、端末に固定した鍵だけで口座へログインしているなら、古い端末を初期化する前に、新しい端末で利用できる手段を用意し、金融機関の案内に従って確認します。OTPの認証アプリやSMSでも、移行方法・登録電話番号を確認してから変更します。復旧用コードも認証情報なので、第三者に渡さず保管してください。

ワンタイムパスワードについてよくある疑問

使い捨てのコードなら、偽サイトに入力しても安全ですか？

安全とはいえません。攻撃者がコードをすぐ本物のサイトへ転送すると、有効時間内に悪用されるおそれがあります。金融機関の公式アプリや登録済みブックマークから確認し、コードを第三者に渡さないでください。

パスキーにすれば、情報漏洩はすべて防げますか？

登録先に結び付いた認証でフィッシングに強く、サービス側の公開鍵だけでは本人になりすませません。ただし、企業が保有する個人情報全体の漏洩や、端末・復旧手続きへの攻撃まで防ぐものではありません。

機種変更すると、認証できなくなりますか？

保存先や同期の有無によって異なります。OTPアプリの移行、SMSの登録番号、パスキーが端末固定か同期型か、代替手段と復旧手続きを事前に確認し、新しい端末で利用できることを確かめてから古い端末を初期化します。