現実的に利用可能で安全な多要素認証

2025年（令和7年）はオンライン証券口座の乗っ取りが相次ぎ、1万件以上の不正アクセスにより、数千億円規模の不正取引があったと報じられています。
こうした事態を受け、日本証券業協会と証券会社は、ログイン時の多要素認証を必須にしました。
証券各社は多要素認証の導入を急いでいますが、方式によっては、その安全性に差違があります。

多要素認証とは何か

AI生成コンテンツ / AI-generated content

ID、パスワード以外に1つ以上、本人を確認するための手続きを加えることを多要素認証と呼びます。パスワードが悪意をもった第三者に漏れてしまっていても、その次の認証手続きで不正ログインを防止しようという考え方です。

多要素認証を大雑把に分類すると、次の4種類にグルーピングできます。

生体認証
ワンタイムパスワード（OTP）
FIDO （ファイド）（Fast IDentity Online）
その他

ただし、2025年（令和7年）の証券口座乗っ取り事件では、さまざまなフィッシングの手口が用いられ、OTP では防ぐことができなかったことがわかっています。

生体認証

AI生成コンテンツ / AI-generated content

詳しくは「生体認証は万全か」をご覧ください。
スマホでは、指紋認証や顔認証が標準搭載されている機種がよくあります。しかし、スマホが盗まれてしまうと、「生体認証は万全か」で述べたとおり指紋認証は簡単に突破できます。また、顔認証についても、スマホによっては顔写真だけですり抜けられるものがあり、過信は禁物です。

SMSワンタイムパスワード

AI生成コンテンツ / AI-generated content

OTP の一種。あらかじめスマホの電話番号を証券会社に登録しておき、ID＋パスワードでログインすると、スマホにSMSで証券会社からワンタイムコード（4～8桁の数字）が届き、それを入力しないとログインが完了しないという方式です。

しかし、攻撃者が携帯電話会社を騙してSIMを再発行させる SIMスワップや、SMSリンクから偽サイトに誘導するスミッシングなどの攻撃手法があります。また、電話番号は証券口座とセットになってブラックマーケットで販売されているケースがあり、SMSワンタイムパスワードは多要素認証としては弱い方式だとされています。

メールワンタイムパスワード

AI生成コンテンツ / AI-generated content

OTP の一種。あらかじめメールアドレスを証券会社に登録しておき、ID＋パスワードでログインすると、証券会社から電子メールでワンタイムコード（4～8桁の数字や記号）が届き、それを入力しないとログインが完了しないという方式です。

SMSワンタイムパスワードと同じ理由で、メールワンタイムパスワードは多要素認証としては弱い方式だとされています。

電話認証

AI生成コンテンツ / AI-generated content

OTP の一種。あらかじめ電話番号を証券会社に登録しておき、ID＋パスワードでログインすると、電話を掛けることが求められ、自動音声にしたがってログインが完了する方式です。

SMSワンタイムパスワードと同じ理由で、電話番号が漏れている可能性が大きく、電話認証は多要素認証としては弱い方式だとされています。

認証アプリ

AI生成コンテンツ / AI-generated content

OTP の一種。あらかじめ Google Authenticator、Microsoft Authenticator、証券会社独自アプリなどをスマホにインストールしておき、サイトに登録するときに送られてくる QRコードを読み取ると、アプリが、そのサイト専用のワンタイムパスワードを30秒ごとに生成します。

ワンタイムパスワード生成のために通信することはないので、盗聴などの心配はありませんが、初期登録用のQRコードや、スマホ本体を盗まれたときには、なりすましされるリスクがあり、多要素認証としては弱い方式だとされています。

FIDO(ファイド)

AI生成コンテンツ / AI-generated content

Fast IDentity Onlineの略。パスキーと呼ばれることもあります。2026年（令和8年）2月時点で、現実的に利用できる最も安全な多要素認証とされています。

FIDO は、パスワードに代わる安全なログイン方式を作るための認証規格であり、FIDO Alliance という国際団体が策定しています。スマホの場合は顔認証や指紋認証と、PCの場合は PINコードとセットで運用されることが多いです。

まず、サイトにユーザー登録します。すると、ユーザーの利用端末（スマホやPC）が、公開鍵と秘密鍵のペアを作ります。公開鍵はサイト（サーバ）に送られ保存されます。秘密鍵は暗号化され利用端末に保存されます。
次にサイトにログインしようとすると、パスキーでのログインを求められます。スマホなら顔認証や指紋認証で、PCなら PINコードを使って、その端末に保管されている秘密鍵をとりだし、その秘密鍵で鍵をかけたデータをサイト（サーバ）に送ります。サーバ側にある公開鍵で解錠することで、認証が通ります。これは、公開鍵暗号の応用です。秘密鍵を使って鍵をかけたデータは、セットになっている公開鍵を使わないと解錠できません。
秘密鍵は利用端末から外に出ることはなく、また、外に出す手段も用意されていません。このため、攻撃に対して比較的強い認証方式だとされています。

ここで注意していただきたいのは、顔や指紋といった生体情報そのものがサイト側に送られるわけではないという点です。生体認証は、端末の中にしまってある秘密鍵を取り出してよいかどうかを、端末側で確かめるために使われているだけです。生体情報は端末から出ていきません。

パスキーがフィッシング対策として評価されているのは、登録したWebサイトとひも付いているからです。利用者がフィッシングメールに騙され、本物そっくりの偽サイトへ誘導されたとしても、本物のサイト用のパスキーを偽サイトで使うことはできません。パスワードのように、うっかり偽サイトへ入力してログイン情報を盗まれる、という被害の形そのものが成立しなくなります。フィッシングに引っかかってしまっても被害を防げるという点が、他の方式にはない強みです。

こうした理由から、証券会社だけでなく、銀行をはじめとする金融サービスでもパスキーの導入が相次いでいます。2026年（令和8年）2月現在、楽天証券、SBI証券、マネックス証券が FIDO を導入しています。他の証券会社も、FIDO 導入の準備を進めていることをアナウンスしています。利用しているサービスがパスキーに対応しているなら、早めに設定しておくことをお勧めします。

ただし、絶対に破られないという保証はありません。また、秘密鍵が入っているスマホやPCを盗まれたとき、ストレージ（HDDやSSD）を暗号化したり、簡単にログインされないようにしておかないと、なりすましをされる恐れがあります。