短文メッセージの確認番号が弱い理由

番号を移されると、届くはずの確認番号がそのまま相手に渡ります。

何もないよりは安全です

確認番号を短文メッセージで受け取る方法は、パスワードだけの状態より確実に安全です。

ただし、いくつかの弱点があり、狙われる方ほどその影響を受けます。

三つの弱点

  • 電話番号が別の端末に移されると、確認番号もそのまま相手に届きます。
  • 偽の画面に確認番号を入力させる手口では、番号そのものが渡されます。
  • 端末を見られている場合、通知の画面に番号が表示されます。

切り替え先

  1. 物理的な鍵を使う方法。偽の画面では動かないため、最も強い選択です。
  2. 端末に保存する形の認証。番号を移されても影響を受けません。
  3. 確認用のアプリ。番号を移されても影響を受けません。

不正アクセス被害対応の場面では、まず金融のアカウントとメールから切り替えてください。

控えの扱い

切り替えのときに表示される回復用の符号は、印刷して安全な場所に保管してください。

端末の中だけに置くと、端末を失ったときに入れなくなります。

出典

  1. Cybersecurity & Infrastructure Security Agency (CISA), Implementing Phishing-Resistant MFA (fact sheet). https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
  2. Cybersecurity & Infrastructure Security Agency (CISA), Turn On Multifactor Authentication (Secure Our World). https://www.cisa.gov/secure-our-world/turn-mfa
  3. National Institute of Standards and Technology (NIST), SP 800-63B Rev. 4 — Digital Identity Guidelines: Authentication. https://pages.nist.gov/800-63-4/sp800-63b.html
  4. FIDO Alliance, Passkeys — passwordless sign-in. https://fidoalliance.org/passkeys/

保有する資格

GIAC

お問い合わせください

各分野の提携先にご利用いただいています

DAS Health
Exhibit A Cyber
Ally Security
KIRO Group
Black Mirage
Kalles Group
Gridware
CQR
Archstone Security
Cyvergence
Sentinel Cyber
Cloud Underground
Seron Security
Hexen
Koru Risk Management
DAS Health
Exhibit A Cyber
Ally Security
KIRO Group
Black Mirage
Kalles Group
Gridware
CQR
Archstone Security
Cyvergence
Sentinel Cyber
Cloud Underground
Seron Security
Hexen
Koru Risk Management