ワンタイムパスワードとは？仕組み・生成方法の種類・セキュリティ強度・機種変更時の注意点を図解で解説

ワンタイムパスワードとは──「使い捨て」のパスワード

固定パスワードの弱点

通常のパスワード（固定パスワード）は、一度設定すると変更するまで同じ文字列を使い続ける。もし固定パスワードが漏洩した場合、第三者はその文字列を使っていつでもログインできてしまう。パスワードの漏洩経路はフィッシング詐欺、データベースへの不正アクセス、キーロガー（入力を記録するマルウェア）など多岐にわたり、完全に防ぐことは困難だ。

OTP（One-Time Password）の仕組み

ワンタイムパスワード（OTP: One-Time Password）は、1回の認証にしか使えない一時的なパスワードだ。生成から30秒〜60秒が経過すると自動的に無効になる。仮に通信途中で盗まれたとしても、使われる前に期限切れになるため、固定パスワードのように繰り返し悪用されるリスクがない。

ネット銀行では主に「他行宛の振込」「口座情報の変更」「振込限度額の変更」など、金銭に直結する重要な操作時にOTPの入力が求められる。ログインだけでなく「取引認証」としてOTPを使うことで、不正な操作を二重に防ぐ構造になっている。

TOTP方式とHOTP方式

OTPの生成アルゴリズムは大きく2つに分類される。TOTP（Time-based One-Time Password）は現在の時刻を基に数字を生成する方式で、30秒ごとに新しいパスワードが生まれる。銀行側とトークン側の時計が同期していることが前提だ。ネット銀行で最も一般的な方式がこのTOTPだ。

HOTP（HMAC-based One-Time Password）はカウンター値を基にパスワードを生成する方式で、ボタンを押すたびに新しいパスワードが生成される。ハードウェアトークンの一部で採用されている。どちらの方式も「秘密鍵」と「変動する値（時刻またはカウンター）」を組み合わせてパスワードを算出する点は共通だ。

OTPの生成方法4種──ハードウェアトークン・アプリ・SMS・メール

①ハードウェアトークン（物理端末）

銀行から配布される小型の専用端末だ。キーホルダー型やカード型があり、ボタンを押すとOTPが液晶画面に表示される。スマホが不要なためデジタル機器に不慣れな層にも利用しやすい。OTPの生成は端末内部で完結するため、通信経路上で盗まれるリスクがない。

デメリットとしては、紛失・故障のリスク、電池切れ（一般的に5〜7年程度で交換が必要）、常に持ち歩く必要がある点が挙げられる。紛失した場合の再発行には手続きと時間を要する。

②ソフトウェアトークン（スマホアプリ）

銀行の専用アプリやGoogle Authenticator等の汎用認証アプリでOTPを生成する方式だ。スマホさえあれば追加端末は不要。現在最も普及している方式であり、ネット銀行の多くがこの方式を標準採用している。

アプリ内で秘密鍵と現在時刻を基にOTPが自動生成されるため、SMSやメールのように外部に送信される工程がない。通信経路上での傍受リスクがゼロという点が、セキュリティ上の最大の利点だ。デメリットはスマホの紛失・故障時にOTPが生成できなくなる点と、機種変更時にトークンの引き継ぎ手続きが必要な点だ。

③SMS送信

登録した携帯電話番号にショートメッセージでOTPが送信される方式だ。専用アプリのインストールが不要で、携帯電話番号さえあれば利用できる手軽さがある。

ただし、セキュリティ面では他の方式に劣る。SIMスワップ詐欺──攻撃者が携帯電話会社に成りすまして被害者のSIMカードを再発行し、SMSを不正に受信する手口──によりOTPが盗まれるリスクがある。また、SS7と呼ばれる通信プロトコルの脆弱性を悪用したSMSの傍受も技術的には可能とされている。NIST（米国国立標準技術研究所）は2016年の時点でSMS認証を「非推奨」としている。

④メール送信

登録したメールアドレスにOTPが送信される方式だ。メールアカウント自体がフィッシングやパスワード漏洩によって乗っ取られた場合、OTPも同時に盗まれる。メールの送信経路はSMSと同様に傍受リスクがあり、セキュリティ強度は4方式の中で最も低い。可能であれば他の方式への切り替えが望ましい。

各方式のセキュリティ強度比較

4つの生成方法を「セキュリティ強度」「主なリスク」「推奨度」で比較する。最大の差は「OTPが端末内部で生成されるか、外部経由で送信されるか」という点にある。

アプリ方式とハードウェアトークンは、OTPが端末内部で生成される。外部への送信工程がないため、通信経路上で盗まれるリスクがゼロだ。一方、SMSとメールは「送信する」という工程が必要なため、その送信経路上で傍受される可能性がある。

銀行がどの方式を採用しているかは銀行によって異なる。複数方式を選択できる銀行もある。選択肢がある場合は、可能な限りアプリ方式を選択すべきだ。SMS方式しか提供されていない場合でも、OTPを無効にするよりは有効にしておくほうがはるかに安全だ。

機種変更時のトークン引き継ぎ──最も多いトラブル

なぜ機種変更時にトラブルが起きるのか

アプリ方式のOTPは、登録されたスマホ端末内の秘密鍵を基にパスワードを生成する。この秘密鍵はスマホを買い替えても自動的には引き継がれない。機種変更後に旧端末のOTPアプリは使えなくなり、新端末にはOTPが未登録の状態だ。

事前に引き継ぎ手続きをしないまま旧端末を手放すと、新しいスマホでOTPが生成できず、ネットバンキングにログインすらできなくなる。これがOTP関連で最も多く報告されているトラブルだ。

機種変更前にやるべきこと

機種変更が決まったら、最優先で銀行の公式サイトを確認し「トークン引き継ぎ手順」を把握すること。多くの銀行では「旧端末でOTPの利用解除 → 新端末でOTPの再登録」という2ステップが必要だ。銀行によっては「引き継ぎ用のワンタイムコード」を発行する仕組みがある。

複数の銀行口座でOTPを使っている場合、すべての銀行で個別に引き継ぎ手続きが必要だ。1つでも忘れるとその銀行へのログインが困難になるため、利用中の全銀行をリストアップした上で作業することが重要だ。

もし引き継ぎを忘れた場合

旧端末が手元になく引き継ぎができない場合は、銀行のコールセンターに連絡してトークンのリセットを依頼する。本人確認書類の提出や書面での手続きが必要になる場合があり、復旧に数日〜1週間程度かかることもある。

「OTPがないとログインできない → OTPの再発行にはログインが必要」というデッドロック状態に陥るケースもある。この場合は電話や書面での本人確認を経てOTPをリセットしてもらう以外に方法はない。機種変更時のトラブルは「事前準備」だけで完全に防げる。手間を惜しまず、必ず旧端末が使える状態のうちに引き継ぎ手続きを完了させること。

OTPの限界──突破される攻撃手法を知っておく

リアルタイムフィッシング

偽の銀行サイト（フィッシングサイト）に利用者を誘導し、IDとパスワードとOTPを入力させる攻撃手法だ。攻撃者は利用者が入力したOTPを「リアルタイムで」本物の銀行サイトに入力してログインする。OTPの有効期間（30〜60秒）内に攻撃者側の操作が完結するため、OTPが使い捨てであっても突破される。

防御策は「銀行のURLを必ず自分でブックマークから開く」ことだ。メールやSMSに記載されたリンクは、どれだけ本物らしく見えても決してクリックしない。URLの見た目だけでは偽サイトを判別できないケースも多い。

中間者攻撃（MITM：Man-in-the-Middle）

利用者と銀行の通信経路の間に攻撃者が介入し、通信内容をリアルタイムで傍受・改ざんする攻撃手法だ。利用者は正規のサイトにアクセスしているつもりでも、実際には攻撃者が通信を中継しており、OTPを含む認証情報がすべて攻撃者に渡る。

フリーWi-Fiなど安全性が確認できないネットワーク環境では中間者攻撃のリスクが高まる。ネットバンキングを利用する際は、自宅のWi-Fiやモバイル回線（4G/5G）など、信頼できるネットワーク環境を使用すべきだ。

SIMスワップ詐欺（SMS方式の場合）

攻撃者が携帯電話会社に成りすまして被害者のSIMカードを再発行し、被害者宛のSMSを不正に受信する手口だ。被害者の携帯電話が突然圏外になった場合は、SIMスワップの可能性を疑うべきだ。直ちに携帯電話会社と銀行に連絡すること。

自分を守るための基本原則

OTPの限界を知った上で、以下の基本原則を徹底すること。フィッシングメール・SMSのリンクは決してクリックしない。銀行のURLは必ず自分でブックマークから開く。フリーWi-Fiでネットバンキングを利用しない。不審なアクセス通知を受けたら直ちに銀行に連絡する。銀行が提供する生体認証やFIDO2/パスキーなど、フィッシング耐性の高い認証方式を併用する。二段階認証の仕組みについては二段階認証の解説ページで詳しく解説している。

【プロの視点】OTPは「最低限の防御ライン」であって「万能の盾」ではない

OTPの導入は、ネットバンキングのセキュリティを大きく向上させた。固定パスワードだけの時代と比べれば、不正アクセスのリスクは格段に下がった。OTPが1つあるだけで、パスワード漏洩による被害の大部分を防ぐことができる。

しかし「OTPがあるから安全」と過信するのは危険だ。リアルタイムフィッシングやSIMスワップなど、OTPの存在を前提とした攻撃手法が年々進化している。セキュリティの世界では「攻撃側は常に防御側の上を行く」のが現実だ。

OTPは「最低限の防御ライン」として必ず有効にすべきだ。その上で、銀行が提供するスマホ認証（プッシュ通知型の認証）や生体認証を併用することでセキュリティを多層化する。1つの防御手段に依存するのではなく、複数の防御層を重ねる「多層防御」の考え方が、現代のネットバンキングにおけるセキュリティの基本戦略だ。

何より重要なのは「自分のセキュリティ設定を把握しておくこと」だ。OTPが有効になっているか、どの方式を使っているか、機種変更時の引き継ぎ手順は何か──この3つを確認するだけで、セキュリティレベルは大きく変わる。不正送金の予防策全般については不正送金対策ガイドで、セキュリティの基礎知識についてはセキュリティ入門で解説している。不正送金被害に遭った場合の法的保護については預金者保護法の解説ページで解説している。

次に読むべきページ

ワンタイムパスワードの仕組みと限界を理解したら、次はセキュリティをさらに強化する知識を深めていく。

• 二段階認証とは？── 二要素認証との違い・認証の3要素・FIDO2/パスキーの仕組みを理解する
• 預金者保護法とは？── 不正払戻しの補償条件と被害時の対応手順を確認する
• ネット銀行の不正送金対策── フィッシング詐欺や不正送金の予防策を確認する
• ネット銀行のセキュリティ── セキュリティ全般の基礎知識を学ぶ