SMS認証の代替案を徹底比較｜それでもSMS認証が現実解であり続ける理由

2026年7月28日

URLをコピーしました！

パスキーや認証アプリといった新しい認証方式が話題になり、「自社サービスもSMS認証から乗り換えるべきか」と検討する事業者が増えています。たしかにSMS認証にはコストやセキュリティ面で指摘される点があり、代替技術にも魅力的な数字が並びます。しかし、実際に置き換えようとすると、どの代替案にも「現実の壁」が立ちはだかります。

この記事では、開発者・サービス運営者の視点で主要な代替技術を比較したうえで、なぜ多くのサービスでSMS認証が依然として現実的な選択肢であり続けるのか、そして抱える課題をどう対策していくかを整理します。

まず押さえたい：SMS認証に指摘される課題

議論の前提として、SMS認証に向けられる代表的な指摘を確認しておきます。1通ごとに送信料がかかること、ボットがOTP送信を大量に発火させて課金を膨らませるAIT（SMSポンピング）と呼ばれる不正、配信遅延や入力ミスによる離脱、そしてSIMスワップやフィッシングへの耐性です。

これらは事実であり、無視すべきではありません。AITの規模は深刻で、通信セキュリティ企業EneaとMobilesquaredの共同レポート（2024年）によれば、2023年にAITがブランドに与えた被害は約11.6億ドルに上り、国際A2P SMSの約4.8%が不正トラフィックだったと報告されています。

個社レベルでも、X（旧Twitter）が年間6,000万ドル規模の被害を受けていたとイーロン・マスク氏が2022年に言及するなど、無視できない規模に育っています。

だからこそ代替案が注目されているわけですが、ここで冷静に考えたいのは、「課題があること」と「方式ごと乗り換えるべきこと」は同じではない、という点です。課題の多くは運用で抑え込める一方、乗り換えには別の代償が伴います。まずは代替案の実像を、導入時の制約とともに見ていきましょう。

代替技術と、その「現実の壁」

代表的な代替案を、事業者が導入したときに直面する制約とあわせて見ていきます。

認証アプリ（TOTP）

30秒ごとに使い捨てコードを生成するアプリ方式で、送信料もAITリスクもありません。ただし、ユーザーに専用アプリを入れてもらう必要があり、初回登録のハードルが上がります。機種変更時の移行でつまずくユーザーも一定数おり、サポート問い合わせの新たな火種になりがちです。日常的にアプリを使いこなす層には有効でも、不特定多数の一般ユーザー全員に広げるには摩擦が残ります。

プッシュ通知認証

自社アプリへ通知を送ってタップで承認させる方式は、UXが軽い反面、そもそも自社アプリを入れているユーザーにしか使えません。Web中心のサービスや、アプリ未導入の新規・ゲストユーザーには届かないため、結局フォールバックが必要になります。

パスキー（WebAuthn／FIDO2）

フィッシングに強く、最有力の代替案とされています。実際、FIDO AllianceやGoogle for Developersが公開するメルカリの事例では、パスキーのログイン成功率が82.5%とSMS OTPの67.7%を上回り、ログイン所要時間も17秒から4.4秒（約3.9倍高速）へ改善したと報告されています。

旅行検索のKAYAKもサインイン時間を約50%短縮したとされ、効果は本物です。ただし事業者が見落としがちなのが「登録率（エンロール率）」の壁です。効果が及ぶのはパスキーを設定したユーザーだけで、登録率が15%なら恩恵もトラフィックの15%に留まります。

さらにOS・ブラウザ間で挙動が完全にはそろっておらず、機種変更や端末紛失時の復旧フローも別途設計が必要です。つまりパスキーを入れても、登録できない・していないユーザー向けに別の手段を必ず併設することになります。

ハードウェアセキュリティキー

物理キーは堅牢ですが、配布コストと紛失対応の負担が大きく、一般消費者向けの大規模サービスには現実的ではありません。高権限の管理者など、限定的な用途向けの選択肢です。

それでもSMS認証が選ばれ続ける理由

代替案の壁を踏まえると、SMS認証が持つ強みが改めて際立ちます。

圧倒的な網羅性：
- 電話番号さえあれば、スマホでもガラケーでも、アプリ未導入でも、初回・ゲストユーザーでも使えます。「相手がパスキーもログイン済みメールも持っていない」状況で確実に届く手段は、依然としてSMSです。
導入のハードルがない：
- ユーザー側にアプリ導入も事前設定も不要。登録率という概念がそもそも存在せず、全ユーザーに即座に行き渡ります。
誰もが使い方を知っている：
- 届いた番号を入れるだけ、という体験は広く浸透しており、操作の説明やサポートコストが最小限で済みます。
新規登録・本人確認との相性：
- アカウントをまだ持たないユーザーの初回登録やアカウント復旧では、SMSが最も確実な到達手段として今も中心的な役割を担います。

パスキーや認証アプリが優れているのは事実ですが、それらが効果を発揮するのは「リピーターが設定を済ませた後」が中心です。

サービスの入口、つまり最も離脱が痛い新規ユーザーの取り込みでは、誰にでも届くSMSの強みが効いてきます。新規登録の段階で「まずアプリを入れてください」「パスキーを作ってください」と求めるほど、入口での離脱は増えがちです。

だからこそ、土台は網羅性の高いSMSで受け止め、定着したユーザーから順に新しい方式へ誘導していく、という順序が理にかなっています。

課題は「やめる」より「対策する」で解ける

SMS認証の弱点とされる点の多くは、運用上の対策で十分にコントロールできます。

最大の懸念であるAIT（不正課金）は、レート制限・地域制限・不正検知（リスクスコアリング）を組み合わせることで、被害が膨らむ前に大半をブロックできます。

具体的には、同一IPや短時間での連続リクエストに上限を設ける、サービスを提供していない国番号あての送信を止める、送信前にリクエストをリスクスコアで評価して怪しいものを弾く、といった手立てです。

送信量の急増、連番の電話番号、認証成功率の異常な低下といった兆候を監視ダッシュボードで早期に捉え、信頼できる送信事業者（直接接続や評価の高いアグリゲーター）を選ぶことも、被害の入り口を狭めるうえで有効です。

コスト面でも打ち手はあります。不正な送信を遮断するだけで請求は大きく下がりますし、本当に必要な場面に限ってOTPを発火させる設計（たとえば既存セッションがある間は再認証を求めない）にすれば、正規ユーザーへの送信回数自体も減らせます。配信が安定し単価を抑えやすい他チャネルのOTPを一部フローで併用する、という選択肢も残されています。

セキュリティ面では、リスクの高い操作のときだけ追加認証を求める「ステップアップ認証」と組み合わせれば、日常のログインは軽く保ちながら、重要な操作だけ防御を厚くできます。SMSのフィッシング耐性の弱さが気になる重要操作については、その局面だけパスキーを求める、といった使い分けも現実的です。

言い換えれば、SMS認証の課題は「方式を捨てる」のではなく「正しく運用する」ことで解消に向かう性質のものです。

まとめ：SMSを軸に、代替案は“補完”として活かす

代替技術はどれも有用ですが、網羅性・導入の手軽さ・初回ユーザーへの到達という点で、SMS認証を完全に置き換えられるものはまだありません。現実的な最適解は、SMS認証をサービスの土台として維持しつつ、不正検知やレート制限でコストとリスクを抑え、リピーターにはパスキーなどを“補完”として上乗せしていく多層構成です。

「乗り換えるか否か」ではなく、「SMSを正しく運用しながら、必要な層に新しい方式を足していく」。これが、コストと離脱とセキュリティのバランスを取りながらサービスを伸ばす、もっとも堅実なアプローチと言えるでしょう。まずは自社のSMS送信量とAITの兆候を可視化し、対策の余地から見直してみてください。