近年、多くのアプリやサービスにおいて、不正アクセスやなりすましなどを防ぐためのセキュリティ対策として、ユーザー認証が導入されています。その認証の手段として一般的なのが、携帯電話宛に届くSMSに記載された認証コードを利用する「SMS認証」です。

この記事では、SMS認証の概要、利用される理由、仕組みやメリット・デメリットとあわせて、導入方法や注意点などを解説します。

SMS認証とは？

SMS（ショートメッセージサービス）は、携帯電話番号を利用してメッセージをやり取りするサービスです。一般的なメールでは、メールアドレスを利用してインターネット経由でメッセージをやり取りしますが、SMSでは電話番号を利用する点が違いです。

SMSについては、「SMSとは？メールとの違い・メリットや送信方法、企業の活用例を紹介」の記事でも詳しく解説していますので、ぜひご覧ください。

SMS認証では、このSMSを利用してアプリやシステムにログインする際に認証コード（ワンタイムパスワード）を受け取ります。ID/パスワードと併せて認証コードを利用することで、仮にパスワードなどを知られてしまっても、実際に携帯電話・スマートフォンを保有していないユーザーはログインできない認証方法です。

そのため、不正アクセスやなりすましなどの対策ができるとして注目されています。

SMS認証の利用が広がっている理由

現在、IDとパスワードのみの組み合わせによる認証方式は安全性が低いとされています。安易なパスワードを設定していると、機械的に組み合わせを試行して突破することも可能であり、技術の進歩によって試行時間も短くなっています。

また、近年では一人で多くのアプリやサービスを利用する機会が増え、管理すべきID/パスワードが非常に多くなりました。パスワードを使い回すケースも多く見られ、一度パスワードを知られてしまうと芋づる式に多くのサービスで不正アクセスなどのリスクが増えています。

パスワードは認証の3要素でいうところの「知識要素」に該当し、ほかの「所有要素」「生体要素」と組み合わせることが重要です。近年、耳にすることが多い「二要素認証」は、これら3要素のうち、異なる2つの要素を組み合わせることで実現します。なお、要素の違いを意識せず2回の認証を行う認証は、「二段階認証」といいます。

SMS認証は「所有要素」に該当する認証です。認証コードは携帯電話番号宛に送付されるものであり、電話番号はSIMカードに紐付けられているため、実際に携帯電話を保有する人にしか知り得ない情報です。

電話番号はメールアドレスと違い簡単に作成・変更ができるものではないため、セキュリティ面でも安心して利用できます。そのため、オンラインショッピングやネットバンキングなどでも利用されています。近年では、様々な要素のオンライン化が進んでおり、二要素認証の必要性も高まっていることからSMS認証の利用も広がっています。

SMS認証の仕組み

SMS認証はユーザー側と企業側（サービス提供側）で仕組みが異なります。それぞれの認証の仕組みを流れで簡単に解説します。 

ユーザー側

ユーザーがSMS認証を利用する際の仕組み・流れは次のとおりです。

1.  ログイン画面でID/パスワードを入力
2. 電話番号を入力して送信（事前に紐づけている場合あり）
3. SMSにて認証コードが届く
4. ログイン画面（認証画面）で認証コードを入力
5. 認証完了

多くの場合、ログインID/パスワードと併せて利用されます。最初のログインID登録時に電話番号をあわせて登録しておき、2回目以降のログインの際にはログイン時に自動的にSMSが届く場合が多いでしょう。

企業側

企業側（サービス提供側）では、主に次のような仕組み・流れでSMS認証が行われます。

1. ユーザーからSMS認証の要求を受ける
2. API経由でSMS送信サービスに要求
3. SMS送信サービスからユーザーに認証コードを送信
4. API経由でSMS送信サービスから結果を受信
5. 認証完了

API（Application Programming Interface）とは、特定のサービスや機能の一部を共有するための仕組みです。上記の仕組みでSMS認証を行うには、法人向けのSMS送信サービスを利用し、API連携をしてSMS送信機能を共有する必要があります。

SMS認証のメリット

SMS認証はユーザー・企業の双方にメリットがあります。それぞれの立場から、SMS認証を利用することのメリットを解説します。

ユーザーが利用する3つのメリット

ユーザーがSMS認証を利用するメリットとしては、主に次の3点が挙げられます。

• セキュリティの強化
• 認証用端末をすでに持っている場合がほとんど
• 認証の手間がかからない

SMS認証を利用する最大のメリットは、セキュリティの強化です。スマートフォンなどに認証コードが直接届くため、端末を紛失したり盗まれたりしない限り、不正ログインされる心配がありません。また、今やほとんどの人が携帯電話（スマートフォン）を持っており、SMS認証のために別途端末を用意する必要もないでしょう。

スマートフォンを利用したSMS認証は広く普及しており、iPhoneであればSMSで届いた認証コードがキーボード上に自動表示されるなど、認証の手間がかからない仕組みになっている点もメリットとして挙げられます。

企業が利用する3つのメリット

企業がSMS認証を利用するメリットとしては、主に次の3点が挙げられます。

• システム導入が比較的容易
• 運用コストが安価
• 大量アカウントの作成防止

不正アクセスを防止するためのセキュリティ対策はほかにも考えられますが、SMS認証の場合は、多くのユーザーが持つ端末で基本機能として備えられているSMSを利用します。そのため、新しいシステムの構築や大きな変更を必要とせず、導入が比較的容易である点がメリットとして挙げられます。

また、SMS認証の仕組み自体はAPI連携で利用できるため、自社で別途サーバーなどを追加で管理・運用する必要がありません。よって、ほかの不正アクセス対策と比べて運用にかかる手間やコストが少なくなります。

さらに、同一人物によって大量のアカウントが作成されると管理が難しくなり、不正利用のリスクも生じることから、アカウントの複数作成は制限することが望ましいといえます。メールアドレスを利用した認証の場合、同一人物が異なる複数のアドレスを容易に用意できますが、SMSは電話番号を利用することから複数のアカウントを作成することが難しく、大量アカウントの作成防止に効果があります。

SMS認証のデメリット

多くのメリットをもたらすSMS認証ですが、利用する際には以下に挙げるデメリットについても理解しておく必要があります。

• SMS受信拒否設定のユーザーは利用できない
• 契約状況によってSMSの利用可否が変わる
• デバイスの紛失でログインできなくなる

当たり前ですが、SMSが利用できない状況ではSMS認証は利用できません。例えば、SMS受信拒否設定をしている場合には、当然SMS認証はできなくなります。また、電話回線を利用できないデータ通信専用SIMを挿入しているスマートフォンの場合、電話回線を利用する音声通話やSMSの機能が使えないため、別途SMS機能のオプションをつけていないとSMS認証ができません。キャリアや契約状況によっても変わってくるため、事前にSMSに関連する設定や契約状況を確認することをおすすめします。

また、デバイスの紛失・盗難によってログインできなくなる可能性も考えられます。機種変更などによって電話番号が変わった際も同様です。

SMS認証の活用事例

SMS認証は様々な業界・業種で活用されています。ここでは、代表的なSMS認証の活用例として、各種業界やサービスごとに活用事例を紹介します。

金融機関・決済サービスにおける本人確認

SMS認証は本人確認の確実性が高いため、金融機関や決済サービスにおける本人確認でも利用されるケースが多いです。例えば、金融機関や証券会社では口座開設の際にSMS認証を利用するケースは多く、送金時にも利用することで、より確実な本人確認を実現して安全性を高めています。また、チケット販売サイトなどでは、ログイン時にSMS認証を利用することで、同一人物がチケットを買い占めて高額転売する行為の対策を行っているケースもあります。

オンラインゲームにおけるチート行為・乗っ取りの対策

オンラインゲームのユーザー登録の際にSMS認証を利用することで、チート（不正行為）を抑止する活用事例もあります。オンラインゲームの多くはメールアドレスを使ってユーザー登録ができますが、同一人物が複数のアカウントを作成してチート行為をする事例も少なくありません。しかし、SMS認証を利用することで複数アカウントの作成を抑止し、チート行為そのものを抑止する対策が取られるケースが多くなりました。また、アカウント単位で高額課金するユーザーも多く、アカウントを乗っ取られることで金銭的な被害にあうことも考えられますが、SMS認証はその対策としても有効です。

SNS、会員制アプリ、社内共有サイトなどのログイン認証

多くの人が気軽に情報発信でき、多くの企業もSNSを利用する昨今では、アカウントのなりすましや乗っ取りは注意すべき脅威の一つです。また、テレワークの普及によってインターネットを介して社内共有サイトなどを利用するケースも増えており、今まで以上にログイン時の認証には注意が必要になりました。その際に、手軽に本人確認を確実にできる手段として、SMS認証が導入されるシーンが増えてきています。

SMS認証システム導入の流れ

自社のシステムやサービスにSMS認証を導入する際の流れを簡単に紹介します。

【SMS送信サービスの選定・契約の流れ】

1. 自社システムとSMS送信サービスの連携機能の実装
2. 運用テスト、本番稼働

はじめに、実際にSMS認証の核となる機能を提供するSMS送信サービスを選定します。自社システム・サービスとのAPI連携に対応しているか、遅延対策ができているかなどを基準に選定して契約しましょう。より詳しくは次の章で解説します。

その後、契約したSMS送信サービスの仕様に従い、自社システムとSMS送信サービスでAPI連携するための機能の開発・実装を行います。多くはSMS送信サービス側で仕様書やサンプルコードなどが提供されているため、それらをもとに開発・実装を進めましょう。

連携機能の実装ができたら、運用テストを行い本番稼働となります。ユーザーにとってログイン時にSMSによる認証コードが「届かない」「遅い」という状況は非常にストレスになるため、テストではスムーズに連携できているかをしっかりと確認しましょう。

‍

SMS認証システム導入の際の注意点

SMS認証システム（SMS送信サービス）を導入する際には、次の点に注意が必要です。

• 自社システム、サービスとのAPI連携ができるかどうか
• 国内キャリアに直接接続のサービスかどうか
• サービスが対応しているキャリアの種類
• 遅延対策の有無
• 送信料をコストに含めること

それぞれ詳しく見ていきましょう。

自社システム、サービスとのAPI連携ができるかどうか

自社のシステムやサービスとSMS送信サービスはAPI連携が必須です。SMS送信サービスごとにAPI連携の仕様は異なるため、必ず自社のシステム・サービスと連携が可能か確認しましょう。

国内キャリアに直接接続のサービスかどうか

SMS認証を利用する際には「ユーザーにSMSが届かない」という事態を避けることが重要です。そのためには、「国内キャリアに直接接続」「対応キャリア」「遅延対策」の3つがポイントになってきます。SMSの回線には国内回線網と国際回線網の2種類が存在しますが、国際回線網を利用するとスパムメッセージ扱いになり、ユーザーに届かない確率が高まります。そのため、国内回線網を利用して国内のキャリアと直接接続しているサービス（国内直収）を選ぶようにしましょう。

サービスが対応しているキャリアの種類

SMS送信サービスごとに、対応しているキャリアも異なります。近年では4大キャリア以外のキャリアや、格安SIMなどを利用するユーザーも増えていることから、多くのキャリアに対応しているサービスを選択することがおすすめです。

遅延対策の有無

遅延対策の有無も確認したほうが良いポイントです。遅延対策としてAPI経由の認証用SMSを優先して送信するサービスもあるため、検討時に確認すると良いでしょう。

送信料をコストに含めること

最後に忘れてはならない点が、SMSは送信料がかかるという点です。電子メールは何通送ってもコストが発生しませんが、SMSの場合は異なるため、初期費用に加えて運用コストとして含めた上でSMS送信サービスを導入する必要があります。

「Rakuten CPaaS SMS API」を使ってSMS認証を利用しよう！

クラウドサービスやSNS、金融機関、社内システムに至るまで、様々な場面で認証が求められますが、IDとパスワードのみによる認証ではセキュリティに限界がきています。より強固で手軽に実施できるセキュリティ対策としてSMS認証は注目されており、今後の本人認証においてはなくてはならない存在となるでしょう。

特に、企業システムやサービスを提供している場合には、安全性を高めるため・ユーザーに安心して利用してもらうために、SMS認証を導入するべきといえます。SMS認証はAPI連携を活用することで、既存のシステム・サービスを大きく改変することなく導入できます。この機会に、SMS認証を導入してみてはいかがでしょうか。

「Rakuten CPaaS SMS API」は、携帯電話やスマートフォンに、SMS（ショートメッセージサービス）を一括/個別に送信し、企業と顧客のコミュニケーションに使われる法人向けサービスです。国内キャリアと直接接続で、シンプルで使いやすいダッシュボードとAPIを業界最安級の価格でご提供いたします。SMS認証の導入をご検討の際は、ぜひお気軽にお問い合わせください。