認証アプリと SMS のコード、安全なのはどちら？

結論： 認証アプリのコードは、SMS で届くコードより安全です。電話網を通じて何も送られないので、あなたの電話番号を乗っ取った人がコードを手に入れることはありません。とはいえ、どちらも自分で入力するワンタイムコードであることに変わりはなく、本物そっくりの偽のサインインページならどちらも盗めます。サイトが パスキー や セキュリティキー に対応しているなら、それがどちらよりも強力です。

SMS のコードが弱い理由

SMS は iPhone という端末ではなく、電話 番号 に届きます。番号を握っている人がコードを受け取ります。

• SIM スワップと番号ポータビリティ詐欺。 詐欺師が携帯電話会社を言いくるめて、あなたの番号を自分の SIM や別の通信会社に移させます。FCC によると、詐欺師はそのあと「the victim's private texts and calls」（被害者の個人的なメッセージと通話）を掌握します（FCC）。FBI も、スワップのあとは「calls, texts, and other data are diverted to the criminal's device」（通話、メッセージ、その他のデータが犯罪者のデバイスに転送される）と警告しています（FBI IC3）。
• 米国政府のガイドラインで制限されています。 NIST のデジタルアイデンティティガイドライン（SP 800-63B-4、2025年7月）は、電話網で送られるワンタイムコードを 制限付き の認証手段に分類しています。これを使うサービスは SIM の変更や番号ポータビリティを監視する必要があり、すべての利用者に別の選択肢を提供しなければなりません（NIST）。
• 大手のプロバイダーは SMS から離れつつあります。 Microsoft は、個人用 Microsoft アカウントへのサインインと復旧について「start phasing out SMS」（SMS を段階的に廃止し始める）と述べています（Microsoft）。

認証アプリのコードがよい理由

認証アプリは、一度スキャンした設定キーと現在時刻の2つから、iPhone 上で各コードを生成します。コードがあなたに送られることはないので、次のようになります。

• 電話番号を乗っ取っても、攻撃者は何も得られません。
• 傍受されたり、ロック画面で読まれたりする SMS がありません。
• 電波がまったくなくてもコードを使えます。Google の言葉では「you can still generate codes without an internet connection or mobile service」（インターネット接続やモバイル通信がなくてもコードを生成できる）です（Google）。

FBI は「strong multi-factor authentication methods」（強力な多要素認証の方法）を推奨しており、その中に「standalone authentication applications」（独立した認証アプリ）も含まれています（FBI IC3）。

どちらも防げないこと：フィッシング

どちらのコードも自分で入力するもので、そこが弱点です。偽のサインインページがパスワードと現在のコードを求め、数秒のうちに両方を本物のサイトに渡すことができます。NIST ははっきりと「OTP authentication is not phishing-resistant」（OTP 認証はフィッシング耐性がない）と述べています（NIST、セクション 3.1.4）。

対策：

• コードを入力する前に、毎回アドレスバーを確認する。
• 電話、SMS、メールで連絡してきた相手には、どれほど公式らしく見えてもコードを読み上げない。
• 対応しているなら パスキー や ハードウェアのセキュリティキー を使う。これらは本物のサイトのアドレスに結び付いているため、偽のサイトでは機能しません。NIST は、この種の暗号技術を使ったサインインをフィッシング耐性があるものとしています。

比較表

できれば SMS の予備手段をオフにする

認証アプリを設定したあとも、SMS を予備の手段として残すサイトがあります。SMS の経路が残っていると、あなたの番号を乗っ取った人がそちらを使える可能性があります。アプリとバックアップコードの準備ができたら、サイトで可能な場合は 2FA の選択肢から電話番号を削除してください。

Authenticator App - Novaz の場合

Novaz は iPhone 上で標準的な時間ベースのコードを生成します。設定キーはそのデバイスの iPhone のキーチェーンに保存され、Novaz に送信されることはありません。iCloud にコピーが送られるのは iCloud バックアップ（PRO）をオンにした場合だけで、その場合は iCloud キーチェーン内で Apple によってエンドツーエンドで暗号化されます。暗号化されたバックアップファイル（無料）を保存することもできます。アプリは Face ID またはパスコードでロックできます。ほかの認証アプリと同じく、Novaz のコードにもフィッシング耐性はありません。iPhone をなくして Novaz のバックアップもない場合は、各サイトが発行するバックアップコードがアカウントに戻る手段になるので、いずれにしても保管しておきましょう。詳しくは Novaz Authenticator は安全？をご覧ください。