二段階認証では、ログイン時に6桁程度のワンタイムコードを入力します。SMSは通信事業者経由で端末に届き、認証アプリは端末内で時間に基づいてコードを生成します。見た目は似ていますが、コードの届け方と攻撃者に狙われやすい弱点が異なります。
IPAも不正ログイン増加を受け、パスワード変更と多要素認証の利用を案内しています。サービスが両方に対応しているなら、可能な範囲でSMSから認証アプリへ移行する選択が取られやすくなります。
SMS認証の弱点
SIM交換や番号移行の手続きを悪用され、SMSを別端末で受信される事例が報告されています。電話番号は本人確認にも使われるため、SMSだけに依存した重要アカウントはリスクが残ります。
認証アプリの特徴
インターネットがなくてもコードを表示できる端末があれば、ログインに使えます。端末紛失時は、バックアップ用のリカバリーコードや、予備端末への移行設定が必要です。アプリごとにクラウドバックアップの有無が異なるため、設定画面の説明を確認してください。
メールやSMSのフィッシングとの関係
「認証コードを教えてください」と誘導するフィッシングは、メール・SMSのリンク確認と同様、コード自体を第三者へ渡さない運用が必要です。公式サポートがコードを口頭で尋ねることは通常ありません。