携帯番号を公開している事業主の盲点。私が「SMS認証」の運用を見直した理由。

二段階認証を使っていますか。スマートフォンをお持ちの方であれば、金融機関のアプリやGoogleアカウントのログインなどで当然にお使いのことと思います。

現状、ログインIDとパスワードだけでは、セキュリティ上大変危険な状態です。

例えば「パスワードリスト攻撃」というものがあります。他サイトから流出したIDとパスワードを使い、複数のサービスで次々と不正ログインを試みる攻撃手法です。同じパスワードを複数のサイトで使い回している場合、一つの情報流出がきっかけであらゆるアカウントが乗っ取られる危険があります。

流出しなければ安全、というわけでもありません。英数字のみ8桁のパスワードは、現代の計算能力ではものの数分で解析され得ると言われています。こうしたリスクへの対策として、二段階認証が導入されているのです。

電話番号を公開していると、SMS認証が弱点になる

行政書士である私は、仕事用の電話番号を、名刺にもホームページにも当然公開しています。

もし誰かが私のGoogleアカウントのパスワードを入手したとします。ログインを試みると二段階認証が表示される。そこで犯人が使う手口が「SIMスワップ攻撃」です。

犯人は私に成りすまして携帯会社にSIMの再発行を申し出ます。携帯会社がそれを信じてSIMを再発行してしまえば、私の電話番号が犯人の端末に移ります。

認証コードは犯人の手元に届き、Googleアカウントは乗っ取られ、保存されていたスプレッドシートの個人情報が抜かれてしまう——想像するだけで恐ろしい事態です。

実際には携帯会社による本人確認があるでしょうから、簡単に突破できるとは思えません。それでも、海外では実際に発生している攻撃でもあります。何かが起こる前に運用を見直してみてはいかがでしょうか。

より安全な認証方法とは

現在、SMS認証より安全とされているのは以下の2つです。

• 認証アプリ（Google Authenticator など）

• パスキー（指紋などの生体認証）

いずれも電話番号に依存しません。特にパスキーは、端末内に秘密鍵を持ち外部に送信しない仕組みのため、SMS認証よりはるかに安全性が高いとされています。

パスキーを設定しても、パスワードは依然として重要

もっとも、パスキーを設定していても、従来のパスワードが必要になる場面があります。

• 別のPCからログインする場合

• 端末を紛失した場合

• 新しいスマートフォンへの移行初期

パスワード管理は依然として重要です。なお私自身、アカウントを確認したところパスキーに移行していてパスワードが分からなくなっていた、という経験があります。ご自身のアカウント状況を今一度確認されることをお勧めします。

認証アプリ（Google Authenticator）とは

Google Authenticator は無料で取得できる認証アプリです。

一定時間ごとに変化するワンタイムパスワードを生成し、一度認証に使うと無効になります。コードはあなたの端末のアプリ内で生成されインターネット通信を必要としません。

つまり、

・端末を利用できるあなたにしか認証コードは届きません。言い換えるなら、SIMを不正取得し電話番号が一致していても、端末が違えば認証コードは届きません。

・仮に第三者に盗み見されても、その人が入力を試みるときには意味のないコードになります。

・インターネットを介しませんので、ハッキングの隙も与えません。

ここで何かを不安に思われた方は鋭いです💡
機種変更の時にどうなるかが心配ですよね。

ご安心を。正しく引き継ぎできれば新しい端末にもアプリは持ち越せます。アプリ内の『アカウントをエクスポート』機能から移行可能です。

私の現在のセキュリティ設定

現在の私のGoogleアカウントのセキュリティはこの4層構成です。

• パスキー（スマートフォンの指紋認証）

• 認証アプリ（Google Authenticator）

• SMS認証

• バックアップコードの取得

万一情報漏えいが起これば守秘義務や安全管理義務の問題にも発展しかねませんので、ここはしっかりと対応しています。

現状はSMS認証の優先度を低く設定しています。しかし、さらなる万全さを求めるならそもそもSMSを認証から外すという手段もあります。ただそれは、いざというときの復旧手段が減るという意味で、利便性とのトレードオフでもあります。この点、どうするかは悩み中です。

バックアップをお忘れなく

セキュリティを強化するほど利便性は下がります。

SMS認証でも認証アプリでも、機種変更の際に引き継ぎができずログインできなくなる事態を耳にします。最近私が聞いた中で青ざめたケースは、SMS認証を利用されている方が機種変更によってネット金融機関のアプリを認証できなくなったケースです。入出金もできなければ取引明細を見ることもできない。バックアップコードさえあれば復元できたでしょうが、それもない場合は該当機関へ直接問い合わせするほかありません。

そんな面倒が起こらないよう、バックアップコード（緊急用の予備パスワード）は必ず取得しましょう。スマートフォンでスクリーンショットを撮ったから大丈夫、ではありません。そのスマートフォンが壊れてしまったら元も子もないからです。複数の保存先を用意したり、紙での保存もお忘れなく。

セキュリティは「強度」ではなく「設計」

強い認証方式を一つ入れれば安全、というわけではありません。SMS認証を残したままパスキーを追加しても、SMSが迂回路になっていれば意味がない。複数の手段を設定していても、スマートフォン一台を失ったら全部使えなくなるなら、それも設計上の穴です。

「なんとなく安全」から「設計として安全」へ——今回の見直しで、私自身もその一歩を踏み出しました。

電話番号を公開している士業の皆さま、あなたのGoogleアカウントは本当に突破不能でしょうか。この機会に、ご自身のセキュリティ設計を見直してみてください。