なぜSMS認証は弱いと言われるのか - Qiita

はじめに 海外で現地のSIMに差し替えた初日、銀行アプリにログインしようとして「SMSで確認コードを送信しました」の画面で止まりました。日本の番号のSIMは机の上。コードは日本の番号に飛んでいく。届くわけがない。結局その旅の間、銀行には一度も入れませんでした。 一方で、同じ旅の間も認証アプリの6桁は普通に出ていました。機内モードでも出る。電波が無くても出る。SMSは届かないのに、なぜこっちは動くのか。そもそもこの6桁、どこから来ているのか。 気になって仕様（RFC 6238）を読み、Pythonで書いてみたら20行足らずで、スマホのGoogle Authenticatorと同じ数字が出ました。この記事はその過程と、「SMSと認証アプリは何が違って、どちらも何に負けるのか」の整理です。 執筆時点は2026年9月です。NIST SP 800-63B は第4版に改訂されていますが、SMS等の電話

[umaemong]

AIが誤解を招きかねないコメしてるので勝手に補足しておくと、『パスキーが*常に*最強』なわけではなくフィッシングに強いということね。

[kirarapoo]

偽サイトに認証コード打ち込んでしまったら終わりやもんね

[hogetax]

“忙しい人向けの結論”唐突にパスキー出てきてワロタ。最後まで読むとイイよ^^

[hkdn]

パスキーに頼りすぎるとスマートフォン失くした時に詰む。まぁ両建てで。

[dollarss]

どのサービスもセキュリティの基本のき、CIAのA（アベイラビリティ）を疎かにし過ぎです。使えないなら意味がないんだよう。電話番号認証を禁止する法令を制定してくれよデジ庁あたりでさ

[aktkro]

AIによる文章生成をうまく管理できてないことだけよくわかった

[maniwani]

“忙しい人向けの結論です。”←忙しくはないが助かるw

[andalusia]

ヨシ完全にわかった！ E-Mailでワンタイムパスワード送る実装にするわ！（もっと悪い）

[osakana110]

“SIMスワップ。 攻撃者があなたになりすまして携帯ショップでSIMを再発行させると、あなたの番号は攻撃者のスマホで生きます。以後、あなた宛のSMSは全部攻撃者に届く”標的型攻撃のハッカーって意外と生身使うからな

[bml]

Windows11で急にパスキー生成しますか？って言われても困る。

[TakayukiN627]

制限付きになっている理由は、電話網に固有のものです。番号という経路が本人以外に移りうること、番号の再発行や移転が本人確認の弱い窓口で起きうること、事業者網の上で傍受されうること。

[harumomo2006]

認証アプリは登録時の情報を共有しておけばその端末がなくても同じ計算をすれば突破できるので仕事上やむを得ず他人のアカウントにログインしなければならない場合に便利という情報はあるがまだ試していない

[nilab]

「気になって仕様（RFC 6238）を読み、Pythonで書いてみたら20行足らずで、スマホのGoogle Authenticatorと同じ数字が出ました。この記事はその過程と、「SMSと認証アプリは何が違って、どちらも何に負けるのか」の整理です」

[rinto-soumu]

SMS認証は社内だと「とりあえず安全」の扱いになりがちで、代替を説明するときの材料がほしかった。ちょうどいい

[tettekete37564]

私が書いたサーバーサイドのTOTP認証は当時の社内トップ()プログラマー()のひと声で前後10分許容する仕様になっている。セキュリティ仕様に違反していことを誰も聞き入れてもらえなかった。高卒に難しい様だった

[yuri2020exploit]

パスキーでスマホ紛失が怖いって人すぐ出るけど、Yubikeyとかのハードウェアトークンでも作っておいて、家にYubikey置いておけばいいんだよ。合鍵と同じ

[zkq]

パスキー対応のサイトも増えてきているが、パスワードと両建てになっていて意味がない。パスワード完全消去はやっぱり不安なのか、Googleは行ったり来たりできるようになっている。

[irimodi]

面白い

[pixmap]

海外のローミングもできない地域でJALのSMS認証で詰みかけた経験がある。日本に国際電話かけてメール認証にしてもらったが、オペレーターはSMS認証の方が安全ですと主張。安全を気にするならTOTPに対応してくれ。

[natsuvien]

AI生成文章で日本語が壊滅していた

[megumin1]

AI Slop

[nguyen-oi]

パスキーが最強なのは分かったけど全サービスが対応するまでの過渡期が一番しんどいんだよな