MicrosoftがSMS認証コードを廃止、パスキーへの移行を強制
Microsoftアカウントにログインするとき、スマホに届く6桁のコードを入力する。その習慣が、まもなく終わる。
Microsoftアカウントにログインするとき、スマホに届く6桁のコードを入力する。その習慣が、まもなく終わる。
SMS認証が消える
Microsoftが、個人向けMicrosoftアカウントのSMS認証コードを廃止する方針を明らかにした。二要素認証とアカウント復旧の両方で、テキストメッセージによるコード送信を段階的に終了する。
MicrosoftはSMSベースの認証が今や詐欺の主要な発生源になっていると公式に述べている。
代わりに使えるのは、パスキー、Microsoft Authenticator（認証アプリ）、確認済みのバックアップ用メールアドレスの3つだ。今後、個人アカウントの利用者全員に対して「顔、指紋、またはPINでより速くサインインしましょう」という画面が表示され、パスキーの設定とバックアップメールの登録を促される。
つまり、SMSコードという「最後の砦」がなくなる。
なぜSMSは危険になったのか
SMS認証が廃止される理由は明確だ。テキストメッセージは暗号化されないまま携帯電話ネットワーク上を流れており、傍受される危険が常にある。
さらに深刻なのがSIMスワップ攻撃だ。攻撃者が携帯キャリアをだまして、ターゲットの電話番号を別のSIMカードに移してしまう手口で、成功すれば二要素認証のコードがすべて攻撃者のもとに届く。アカウント乗っ取りの常套手段になっている。
パスキーは端末の生体認証（顔認証・指紋）やPINを使って本人確認を行う仕組みで、秘密鍵がデバイスの外に出ない。リモートからのフィッシング攻撃がほぼ不可能になる。
Microsoftはこの弱点を根拠に、認証の未来はパスワードレスにあると主張している。パスキーはFIDO Allianceの業界標準に基づいており、Apple・Googleも同じ規格を採用済みだ。デバイスを紛失しても、確認済みメールと同期パスキーがあればアカウントを復旧できる、とMicrosoftは説明している。
| SMS認証 | パスキー | |
|---|---|---|
| フィッシング 耐性 |
なし コードを騙し取れる |
あり 秘密鍵が端末外に 出ない |
| SIMスワップ 攻撃 |
脆弱 番号を奪われると コードも奪われる |
無関係 電話番号に 依存しない |
| 通信の 暗号化 |
なし 平文で送信される |
あり 公開鍵暗号方式 |
| 端末紛失時 | 番号を停止すると 認証不能 |
同期パスキー＋ 確認済みメールで 復旧可能 |
| VM・特殊 環境 |
どこでも利用可能 | 生体認証ハードが ないとエラーの 場合あり |
正論の裏にある落とし穴
セキュリティの観点では、SMS廃止は正しい判断だと思う。SIMスワップのリスクを放置し続ける方が危険だ。
ただ、「正しいこと」と「全員にとって便利なこと」は違う。
たとえば仮想マシン（VM）を日常的に使う人にとって、パスキーの体験は快適とは言いがたい。VMには生体認証のハードウェアがない。セキュリティキーも手元にないことが多い。PINでのパスキーログインはエラーが出やすいと、元記事の著者自身が指摘している。
SMSコードは、こうしたエッジケースにおける万能のフォールバックだった。6桁のコードを入力するだけで、どんな環境でもログインできた。
パスワードとSMSコードは、何十億という人が無意識に行っている動作だ。深く染みついた習慣を変えるには、代替手段があらゆる場面で完璧に動く必要がある。現時点で、パスキーがそこに達しているかは疑問が残る。
どう備えるか
廃止のタイムラインは公表されていないが、Microsoftはプロンプト表示の準備を進めている。備えは3つだ。
パスキーを設定する。Windows Helloの顔認証・指紋認証・PINを使ってMicrosoftアカウントにパスキーを登録しておく。Windowsの「設定」→「アカウント」→「パスキー」から管理できる。
Microsoft Authenticatorを入れる。スマホにインストールし、アカウントと紐づけておけば、SMS不要でログインできる。
バックアップ用メールアドレスを登録する。電話番号を変えたり端末を紛失したりしても、確認済みメールがあれば復旧手段が確保される。
SMSに頼っている人は、廃止が始まる前にこの3つを済ませておきたい。プロンプトが出てから慌てるより、今のうちに動いた方がスムーズだ。
セキュリティと利便性の間で
SMS認証は時代遅れになった。パスキーの方が安全なのは間違いない。
ただ、Microsoftがここで問われているのは技術の正しさではない。移行体験の質だ。VMやレガシー環境でログインに詰まる人が続出すれば、正しい判断も正しく受け入れられない。
6桁のコードが消えた後、パスキーはあらゆる環境で本当に動くのか。その証明はまだ終わっていない。
参照元：
Microsoft公式サポートドキュメント - Microsoft to stop sending SMS codes for personal accounts
関連記事
- Microsoft、パスキー全面移行へ パスワードと決別
- Windows 11に性能向上と共有オーディオが追加
- HPのBIOS更新でBitLocker回復ループ、対処法は
- セキュアブート期限切れを放置したPCはどうなるか
- BitLockerをUSBで解錠、YellowKey公開
- パスワードの48%が1分以内に解読される時代
- Windows 11、白フラッシュとメモリリークが消える
- Microsoft DefenderがDigiCertルート証明書をマルウェア誤検知、世界中のWindowsで警告
- Windows 11、古いドライバー切り捨てへ。KB5083631の本丸
- Windows Update刷新、月1再起動とスキップ機能
