認証アプリ vs SMS認証：どちらが二段階認証として安全か？
アプリ型とSMS型の二段階認証の違いを解説。暗号資産プラットフォームのアカウントを守るために、なぜ認証アプリがSIMスワップ詐欺に強く、SMSより優れているのか。
二段階認証（2FA）は、パスワードを知っただけではアカウントに入れないようにする、もう一段階の防御層です。考え方はシンプルです。パスワードを知っているだけでは不十分で、「自分だけが持っているもの」——たいていはスマートフォン——を持っていることも証明する必要があります。しかし、2FAの方式がすべて同じ強度というわけではありません。よくある疑問はこうです。「Google Authenticatorのような認証アプリを使うべきか、それともSMSで届くコードに頼ってよいのか？」
この記事では、その違いをわかりやすく説明し、Paperinoのアカウントをはじめ、大切な資産を扱うあらゆるプラットフォームで認証アプリの利用を強くおすすめする理由をお伝えします。
それぞれの仕組み
SMS認証： ログイン時に、プラットフォームが通信キャリアの回線を通じて数字のコードをあなたの電話番号に送信します。届いたコードをコピーして入力すれば本人確認は完了です。この方式は、コードが届くために通信キャリアの回線に依存します。
認証アプリ（TOTP）： Google AuthenticatorやAuthy、Microsoft Authenticatorのようなアプリは、端末内で30秒ごとに新しいコードを生成します。このコードはどんな通信網も経由せず、誰かから送られてくるものでもありません——初回設定時（QRコードのスキャン）に一度だけ共有された「秘密鍵」をもとに、端末内でローカルに計算されます。この根本的な違いこそが、認証アプリの方がセキュリティ面で優れている理由です。
SMS認証の最大の弱点：SIMスワップ詐欺
SMS認証における最も危険な脆弱性はSIMスワップ詐欺です。簡単に言うと、攻撃者があなたになりすましたり、カスタマーサポート担当者を巧みに操作したり、漏えいした個人情報を悪用したりして、通信キャリアを騙し、あなたの電話番号を自分の持つ新しいSIMカードに移させてしまう手口です。これに成功すると、認証コードを含むすべてのSMSが攻撃者に届くようになり、あなたの電話番号は実質的に相手の手に渡ってしまいます。
SMS認証のリスクはこれだけではありません。
- メッセージの傍受・転送： 古い通信網の脆弱性を突いて行われることがあります。
- フィッシング： 偽のログインページがコードの入力を求め、気づかないまま自分でコードを渡してしまう。
- 通信環境への依存： 圏外にいたり、別のSIMカードで海外にいたりすると、そもそもコードが届きません。
- マルウェア： スマートフォンに潜み、SMSの内容を読み取る不正なアプリ。
SIMスワップ詐欺は決して机上の空論ではありません。暗号資産のアカウントを乗っ取る手口として、実際に最も多く使われている方法のひとつです。メールアカウントや金融関連のアカウントがSMSコードだけで守られているなら、思っている以上に危険にさらされています。重要なアカウントは、できるだけ早く認証アプリでの保護に切り替えましょう。
なぜ認証アプリの方が優れているのか
コードはインターネットにも通信回線にもつながずに端末内だけで生成されるため、電話番号を盗んだ攻撃者は何も手に入れられません。コードはそもそもあなたの電話番号とは無関係で、端末内に保存された秘密鍵に紐づいているからです。機内モードにしていても、アプリは正しいコードを生成し続けます。傍受できる通信回線もなければ、転送できるメッセージも存在しないのです。
これにより、認証アプリは一般的な攻撃の大半に対してはるかに強い耐性を持ちながら、コードをコピー&ペーストするだけというシンプルさは変わりません。
早わかり比較表
| 比較項目 | 認証アプリ | SMS認証 |
|---|---|---|
| SIMスワップへの耐性 | 高い（電話番号と無関係） | 非常に弱い |
| 通信回線の必要性 | 不要（オフラインでも動作） | 常に必要 |
| 傍受のされやすさ | 極めて困難 | 通信網の脆弱性経由で可能 |
| 設定の手軽さ | 簡単（QRコードを一度スキャン） | 非常に簡単 |
| 端末紛失時 | 秘密鍵のバックアップが必要 | キャリアで番号を再発行できる |
| コスト | 完全無料 | 通常無料 |
| 総合的なおすすめ度 | 推奨される選択肢 | あくまで代替手段 |
認証アプリを設定する手順
- 信頼できるアプリをダウンロードする：Google Authenticator、Authy、Microsoft Authenticatorなど。
- アカウントのセキュリティ設定から、「認証アプリ」による二段階認証を有効にする。
- 画面に表示されるQRコードをアプリでスキャンする。
- 表示された6桁のコードを入力し、連携を確定する。
- バックアップ用のリカバリーコードを保存する：スマートフォンとは別の安全な場所（紙のメモや信頼できるパスワードマネージャーなど）に保管しましょう。
特に5番目が重要です。リカバリーコードや秘密鍵の控えは、必ず安全な場所に保管してください。バックアップがない状態でスマートフォンを紛失すると、アカウントへのアクセスを取り戻すのが非常に困難になる場合があります。Authyのようなアプリは暗号化されたクラウドバックアップに対応しており、新しい端末への移行がスムーズです。
アカウントを守るための鉄則
- 認証コードは誰にも教えないこと。 どれほど公式らしく見える依頼でも例外はありません。本物のサポート担当者がコードを尋ねることは絶対にありません。
- アカウントごとに強力で使い回さないパスワードを設定しましょう。2FAはあくまで追加の防御層であり、強いパスワードの代わりにはなりません。
- フィッシングリンクに注意し、コードを入力する前には必ずサイトのURLを確認してください。
- 可能であれば、まずメールアカウントの2FAを有効にしましょう。メールは他のアカウントを復旧するための鍵になることが多いためです。
まとめ
どちらの方式も、パスワードだけに頼るよりはるかに安全です。しかし選ぶとしたら——そしてお金に関わることでは、その選択がとても重要です——認証アプリの方が圧倒的に安全で強力な選択肢です。SIMスワップ詐欺やメッセージの傍受といった脅威の影響を受けないからです。SMS認証は、他に選択肢がないときだけの予備手段にとどめ、最初の防御ラインにはしないようにしましょう。
Paperinoでは、すべてのユーザーに対して、資産を守るために認証アプリでの二段階認証の有効化を推奨しています。設定にかかる時間はわずか数分ですが、取り返しのつかない損失を防げるかもしれません。
この記事は一般的なセキュリティ啓発を目的としたものであり、金融または法律に関する助言ではありません。資産の安全を守る最終的な責任はご自身にあります。端末やパスワード、リカバリーコードの管理を徹底し、ログイン情報や認証コードを誰とも共有しないようにしてください。
関連記事
幸運は勇者に味方する。勇気を持って渡ろう — 報酬は本物だ。