メールアドレスか電話番号を入力し6桁のコードが送信されてログインする仕組みは「最悪のパスワードシステム」なので今すぐ改修が必要 [朝一から閉店までφ★]

2025年08月12日 08時00分 セキュリティ

メールアドレスか電話番号を入力し6桁のコードが送信されてログインする仕組みは「最悪のパスワードシステム」なので今すぐ改修が必要という指摘


アプリやサービスのログイン時に、メールアドレスや電話番号を入力して、メールやショートメッセージで届いたワンタイムパスワードを入力することで認証するプロセスはよくあります。
このようなログインプロセスは、アカウントのセキュリティの観点で非常に危険であると、エンジニアのダニエル・ファン氏が指摘しています。

We replaced passwords with something worse | Blog - Daniel Huang
https://blog.danielh.cc/blog/passwords

ログイン画面のパスワード入力だけではなく、メールアドレスや電話番号に届いた認証コードの両方でログインする「2要素認証」は強力なセキュリティとして重宝されています。
しかし、セキュリティ企業のDouble Octopusによると、「2段階認証はパスワードだけよりもマシ」程度のもので、ハッカーにとってはほとんど無意味だと考えられるそうです。

https://gigazine.net/news/20250812-login-code/

続き

フィッシング詐欺に引っ掛かる馬鹿限定の話しだろ

2で終わってた

>ダニエル・ファン氏が指摘
だれだよ

予め登録されたメールアドレスや電話番号にコードを送信するというのはよくあるけどコードを送信するからメールアドレスや電話番号を入れろってのはあるのか？

>ハッカーはまず、Minecraftの無料アイテムを提供するなどとうたうDiscordサーバーに招待します。

は？ｗ

>>2
それは特殊詐欺にかかる奴は、認知症かかった老人か、境界知能みたいな連中だから
何も対策せんでいい、注意喚起もしないでいい、こういった問題提起の記事も書かんでいい、
というぐらいの馬鹿限定の話だな

>>5
だよな

そんなバカは騙されとけ定期

>>9
馬鹿は詐欺グループの片棒担ぎしてるお前な
それともその当人たちかね？

はぁ？
この路上で薬物売ってるレベルの例えを出して
危ない！言うのは
ちとさすがに知性無さ過ぎでは

それは詐欺グループのような人間の言い分であって、現実に犯罪は起きてるわけで
その前提ある限り、片棒担ぎは変わらないんだがね。大体どうしろと？
何もするなと言うならお前は詐欺グループの片棒担ぎは明白であり、犯罪的ですらあるんだが？

それよか、FANZAの広告とそこに出てくるブサイク女どもと、その他のエロサイトの汚らしい絵をどうにかしろよ!

人工知能は初期の頃はクレジットカード番号まで教えてくれた
昔の仕様のまま介される人工知能もきっと存在するだろう

>>5
outlookとか毎回コード送るメアド入れろってなってた気がする

なんだか悪き方向へ誘導するニュースにも見えるな

>>5
そっちは見かけないな。海外ならあるんかな？
元々登録されてるからSIMカードのデータ抜かれてコピーされない限りは大丈夫そうだけどな。
メアドだと、メールのログインパスワード引っこ抜かれたら好き放題されるけど。

セキュリティの話は単純化できないのよね
リアルタイムで侵入されるフィッシングには無力だが、認証漏れアカウントには有効
SMS認証が破られやすいのはアメリカ特有の事情なので、日本ではそこまで脆弱ではない
中華スマホにバックドアが仕込まれていればどのみちアウト

全体としては穴はあるけどだいぶ有効だな
完全無欠なセキュリティは存在しないから程度判断になる

物理的トークンにすればいいだろ
これはまだ突破された事がない

具体的に何が問題なの？
そして何をすれば良いの？

>>6
それな
サイト側が悪用するならセキュリティなんてどれもザルだろうに

>>20
サイト側がパスキーを使うようにすればいい
俺達にできることはないもない

メールアドレスは
常に漏らしているからなw
だから釣られない事がもっとも大事

パスワードよりマシなら最悪ではないだろ

二要素認証はリアルタイムフィッシングには無力ということ
ちゃんとURL見ろよという以外ない

フィッシングサイトに誘導した後の話なら、2段階認証がどうとか関係ないだろ…

二段階認証とか迷惑でしかない
端末何台も持ってると面倒くさい

>>2
最近はそうでなくなってるみたい
ブラウザーの拡張機能にキーロガー仕組まれて
やられたケースとか聞く

ブラウザーに気にせずどんどん拡張機能いれるやつは要注意だな

銀行、クレジット、通販をするブラウザーは１つに決めて拡張機能は全て削除する必要がある

>>27
パスキーがあるやん　あれ二段階認証せんやろ
PIN聞いてくることはあるけど

Microsoftのサービスの一部の認証とかかな。
登録済みのメールアドレスとかを改めて入力させるのは、どんな効果を期待してるのかマジで意味がわからんからやめてほしいわ。
登録済みのところに送るだけでいいじゃない。

公開鍵認証(いわゆるパスキー)ならフィッシング耐性あるから2FAなんて投げ捨てろという話だ

>>22
ありがとう　だよね

2段階認証も12ケタパスも余裕で破られてるんだが？
認識が時代遅れ

このファンてやつが怪しいような？一概にいえんだろ
今流行っている証券会社のアレに脆弱なのは確かだが

誤魔化しが効かない生体認証が最強なのよ

>>35
顔認証　破られまくっとるから、色んな角度から取らせるようにしとるんだろ
指紋とか、虹彩もそう　他人に漏れたら　コピーされておしまい

って、コナン君がやってたｗ

釣った魚を見せてほしいと近づき
魚をスマホで撮影しSNSにアップして
自分で釣ったと偽る
フィッシング詐欺が多発しております
注意してください

SMS認証が気休めというのは、IT世界では共通認識になってきているけどね、メールの添付ファイルを自動圧縮する PPAP 同様、技術の進歩とともに陳腐化するのは世の常

送信元やメアドを簡単に偽装出来るのがまずダメよね

>>1
で何にすればいいの？

>>1
>ハッカーはまず、Minecraftの無料アイテムを提供するなどとうたうDiscordサーバーに招待します。

招待されたところにノコノコ行くから悪いんだろw
ただのフィッシング詐欺じゃんw

パスキーは勘弁してほしい
複数端末で扱うとログインするのにわけわからん

>>4
ダニエル・ファンさんだぞ
お前知らないのかよ
俺も知らないけど

>>37
マジか。気をつけよう
昨日見たマグロももしかしたら

パスキーは数字の4桁の入力だけとか指紋認証だけでとか一見シンプルになってるように見えるけど内部は複雑だからな
パスキーを紛失した時の為にコードを保存してくださいとか結局パスワードようにどこかに保存しないといけないし
それに現状ではIDとパスワードでアカウント作ったうえで追加でパスキーだからセキュリティ的にはなんも変わってない

google workspace用に携帯貸与されてない人のために1個の携帯番号で認証したら、
その番号使いすぎゴラァで
再認証待機期間　半年の刑にされた私が通りますよ。

公式のリンク以外信用するなと言いたいが
PCと違ってスマホだとブラウザもメールもメッセージアプリも
リンク先のアドレスが分かりづらいからな
PCだとマウスカーソル重ねるだけでリンク先偽装でも表示されたりするけど

うちはチンコ認証使っているけど、登録時に勃起させた状態で登録しちゃったから、毎回勃起させるのが面倒くさい

旧帝国陸軍の めくり暗号（ワンタイムパスワード）でいいんだよ。
国が全国民に「ワンタイムパスワード発生器」を配ればいい。　
マイナカード発行の時にそうしとけばよかった。
むかしJNB銀行が口座契約者に無料で送付してた。
　
あれをすべての銀行口座、ネット証券、ポイ活サイト、…本人確認する全てのサイトで共通して使えるようにする。
ワンタイムパス発生器の液晶画面に、一定時間でランダムで発生する数桁の数字。

旧日本陸軍のワンタイムパスワードは大戦中、米軍にも解読されなかった。
一方バカの害務省、日本海軍の暗号は筒漏れで、
日本政府が日米交渉で乙案・甲案をもって交渉に臨んだが、その両案の内容まで米国に解読されてたし。
日本海軍のミッドウェ−作戦をはじめ、ほぼ全ての軍事作戦が米側に解読されてた。
　

これやったわ。記憶と全然違った。
https://k-tai.watch.impress.co.jp/docs/column/stapablog/337588.html
　
これを国が全国民に配ればいい。マイナカードと同じく本人が責任もって管理し、盗まれないようにと国民に注意喚起。
（盗んだ奴は厳罰にする法律作ればいい。盗んだ犯人は男女年齢関係なく「仮釈放なしの懲役20年の刑、且つ被害額の3倍の罰金」とか）
　
ワンタイムパスワードWIKI
https:
//ja.wikipedia.org/wiki/%E3%83%AF%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%83%91%E3%82%B9%E3%83%AF%E3%83%BC%E3%83%89

日本陸軍のワンタイムパッド
https:
//ja.wikipedia.org/wiki/%E3%83%AF%E3%83%B3%E3%82%BF%E3%82%A4%E3%83%A0%E3%83%91%E3%83%83%E3%83%89
開発と採用に、釜賀一夫が貢献している。
第一線部隊で全面採用された結果、「第一線部隊の暗号は弱い」との常識を覆した。
戦後、GHQ尋問官は、この暗号を理論解読することができなかったことを彼に示唆した。

こりゃー、確かにそうだな

しかも、パソコンで偽サイトに引っかかったら、6桁のコードの代わりにスマホで「表示されたQRコードをスキャンするプロセスに置き
換え」ても何のセキュリティ強化にもなんねーのに、googleって馬鹿なの？

どーすりゃ

で何にすれば良いのさ

パスワード生成は1Passwordに任せレバパスワードが何かなんて自分でも分からないし、登録ドメイン以外にパスワードが入力されることもない
そもそもフィッシングサイトにパスワードを手入力する低脳はネット使うのをやめた方がいい

サイトのJavaScriptを入れ替えて入力情報を盗む系はサイト側がパスキーに対応するしかない

>>49
そのワンタイムパスワードはリアルタイムフィッシングに対して無力という話だぞ

PPAPよりはマシやろ

Authenticatorはどうなの？

ウーバーイーツの4桁にはワロタ　アホなの？

フィッシングメールっておれおれ詐欺のデジタル版みたいなものだな
おれおれ詐欺の対策は電話をかけなおせ、フィッシング対策は自分で正しいURLにアクセスする

電話かかってくるのもあるわ

>>57
TOTPは強いよ
ただ最近はキーを共有できるタイプが出てきてるから運用には要注意

>>38
まあメール認証よりは強いけどね

>>51
それ実質パスキー認証だよ
QRコードは処理しやすくしてるだけで
実際は「セキュリティデバイスを持っている」という二要素認証

>>45
何も変わってないことはないよ
秘密情報は外に出さずに認証するんだから
ただ「セキュリティデバイスを持っている」認証なわけで
壊れた時のセイフティネットとか課題は色々大きいのも確か

>>59
だいたいその通りなんだけど、フィッシングはインターネット経由なので
攻撃を仕掛けるコストが桁違いに低いのが問題の本質かな
常に注意し続けることはできないのでまあ避けられんわ

IPv6がもっと普及して固定IPが一般的になれば、
フィッシングでIDパスワード抜かれてもIP接続元制限で守れるけど
実際には管理が難しいな

スマホというPC以上に欠陥の多い代物が覇権なので
どうにもならん

>>66
えっ!?
スマホは記憶領域の分離とかWindowsにはないセキュリティ機能満載ですけど

みんなが最先端と崇めるシンガポールの認証全部これだけど？

そもそも１００％堅牢なセキュリティを国民が持てたとしても
常に覗き見て漏洩させる可能性がある組織がある

おまえらが契約している通信会社だよ

>>5
都度　送信先を入力するタイプはある

>>28
それ、今回の証券会社のフィッシング詐欺に引っ掛かった連中の言い訳だぞ
具体例を示してみたまえ

>>72
いや、そっちじゃない　つい最近の記事だけど　保存なんかしてないし
あったのは確か米国　被害にあったのは電子マネーや
めんどくさいんで、自分で調べてくれ　嘘だと思うのなら勝手に思ってくれ

例に漏れず拡張機能のアップデートチェックの脆弱性を狙ったものだ　最近？流行りのな

>>63
攻撃側の不正アクセスの試みに対して正規ユーザーに送られてきた確認メイルに、正規ユーザーが別の機器でお墨付きを与えたら、攻撃側は
不正アクセスに成功するんで、そんな二要素認証に意味はねーって話だぞ

>>65
IPv6のIPはプライバシー対策として変わることになってるし、IPv4アドレスも地理的場所がほぼ同定できる程度には固定なんで、何の違いもない

だから、お爺ちゃんは寝てろよ

パスワードレスとかGPS認証
1番確実なのはログインできる場所を限定する事よなー
日本以外からのログイン禁止にすりゃかなりセキュリティはあがる
ログインできる地域を限定するとかありよなー

世界中どこからでもログインできる機能なんて必要ない説

>>76
意味なくはないよ
別の機器がセキュアならいいんだから

人間が騙され続けてる仮定ならどんな方法でも無意味
オレオレ詐欺のようなケースでは

>>1
>しかし、セキュリティ企業のDouble Octopusによると、「2段階認証はパスワードだけよりもマシ」程度のもので、ハッカーにとってはほとんど無意味だと考えられるそうです。

パスワードだけよりまし
これがどれほど重要か理解してない専門家なんていない
もっと安全にしようって話はいいんだけど
無意味なんて放言は害悪

余計なこと言うなよｗ
クライアントがみたらまた無料で改修しろとかいいだすやん

なんかうまい方法はないもんかねえ
確実に防げてユーザも簡単ですむような
或いはこういう行為を無くさせたり、実質無意味化するようなのでもいい

自分でコードを他人に教えちゃうバカは守りようがないよ

生体認証が一番簡単

生体認証はネットワーク越しじゃ使えないからそもそも蚊帳の外なんだ

>>83
金融サービスなんかが導入してるFIDO2を普通のサイトも導入すれば良いだけ
ログインできなくなったときの代替案だけ工夫する必要はあるけど

>>5
登録されたメールアドレスや電話番号にコード送る前に、確認のために登録しているメールアドレスや電話番号を入力させるものはあるな
コード送るから送り先入れろってのは新規登録とかで見たことあるような記憶はある

>>1
当該サービスに直接ログインするんじゃなくて、他のサービスにログイン情報教えて間接的にログインするって話？

別サービスに教えてしまったら盗まれるに決まっている
2段階認証とか関係ない

リアルタイムフィッシングでググってくれ

>>40
「まずは、こちらのURLから登録してください」

職場の爺さんは
「〇〇カードからのフィッシングメール来たが、オレは〇〇カード持ってないから見抜けた」
と堂々と言ってのけた

GoogleとかMSのAuthenticatorアプリってどうなの？
企業とかで使ってるところも多いと思うけど。
今自分の使ってるネット証券とかもそれになるのかな？？

>>93
TOTPのauthenticatorはどこの使っても同じだよ
同じプロトコル(RFC 6238)だから

俺はスマホとタブレットの双方で使えてOSSのprotonを勧めるよ
PC上で使うのは勧めないけどね
Win,macOS,Linux版もあるけど
旧OSはトロイの木馬に弱いから鍵盗まれちゃうかも

>>94
googleのもexport/importすれば複数のデバイスで使えるはず

>>86
落としたセキュリティデバイスを守るために重要

>>93
MSのはよそはTOTPだけど
MS アカウント、Entra IDだと別の動き方する
アプリを登録しといてそれに通知

SMSは日本は安全と言うのもいたが
偽造身分証でSIM再発行で乗っ取った例もある

最近、中国からのフィッシング詐欺メールが減ったなー。

一時期は土日に放っておくと50通ぐらい来てたけど。
あれだけ連発してたら誰も引っかからないわな。

>>99
そっちは減ったのか

うちにはまだ来ています

>>99
Gmail無いけどyahooには毎日来るわ

>>101
gmailは集合知で詐欺メールを処分してるからね
完全に削除したりやや正当な可能性を残すものは迷惑メールフォルダに入れたり

投資詐欺業のYahoo!Japanなんか話にならん

>>35
生体認証特有の脆弱性は20年前には注意喚起されてるのに、いまだにこの認識レベルのやつがいるんだから、大衆が偽装メールのフィッシングに引っ掛かるのも無理ないのか…

>>97
そのMSアカウントがTOTPに設定されてないからではなく?

パスコード導入してもパスワード廃止しないと、引っかかる奴はなくならない

二段階認証が悪いのではなく、二段階認証の再登録方法に悪いものがあると言っているんだろ。
誤解を与えるタイトル。

>>105
極端だな
極論だとこうも言えて不毛だよ

>パスコード導入してパスワード廃止しても、引っかかる奴はなくならない

そもそも論としてWindows11はTMP2必須にしたが
パスキーやTOTPの鍵をTMPに格納したわけではなく
盗もうと思えば盗める状態

2FAはフィッシングという不特定多数相手に成立する低コストな攻撃に弱いから駄目なんだよ
TOTPにしろパスキーにしろ保存してるデバイス自体が何らかの脆弱性で攻撃されたらアウトだが
TOTP使った2FAはフィッシングだけで陥落するから論外

>>107
そう？
デバイス認証とパスキー組み合わせれば難しくないか

>>109
デバイス認証って具体的には何のこと言ってるの
デバイスのロック解除なのか
パスキーみたいなレジデントキー認証を言ってるのか

パスキーはプロトコル上ユーザの誤入力だの悪意の中間者による偽装だの窃取だのが成立しないというのがポイント
デバイス自体が攻撃されて鍵を抜かれるケースに対する強度は保存方法によるからそこは本質ではない

フィッシング詐欺はユーザーが偽サイトに本物のログイン情報を
入力させることで成立するのでワンタイムパスワードは無力です

「フィッシング詐欺に対しては無力です」
と条件もいちいちつけて書きましょう

こないだd払いでデリバリーを頼んだら、SMSに来てメールに来ておまけにクレカ会社の認証でもう一回メールで来たぜよ

証券会社がこれに変わってから鬱陶しくてしょうがない

まあ人間がコードを打ち直すところに問題あるんだよな。せっかく二要素認証でデバイス認証してるんだからボタン押すとかQR読み取りとかで人間がわからんようにやり取りすりゃいいのに。

>>111
パスキーというのはAppleがクラウドで同期させる公開鍵認証資格情報に名付けたのが最初で漏洩問題とは最初から深い関係がある

>>116
自分もQRコード読み取りがないのは不思議
キー入力とカメラ読み取りでセキュリティ上の差はないだろうに

QRコード読み取りアプリからどう認証につなげていくのさ？
連携させないといかんやん？
またひとつセキュリティ対策が増えるやん？

>>119
例えばスマホにauthenticatorがあって
PCのサイトログインにワンタイムパスワードを提供する場合
スマホのautheticatorでQRコードを表示して
PCのHTML5のgetUserMediaを使ってカメラで読み取ればいい
これで人間がキーボード入力する場合とセキュリティ強度はさほど変わらない

こんなログイン方法ある？

ハッカーはまず、Minecraftの無料アイテムを提供するなどとうたうDiscordサーバーに招待します

はい、解散

>>116
その人間がなんらかの方法で例えば生体認証で
この機械例えばスマホを使う権限があると人間の認証をその機械に任せてるからだ
人間を通じないなら人間の責任にできないだろ
人間関係なく勝手にやるようになったら
責任は誰になるというはなしに巻き込まれる
完全自動運転の法的責任問題と同じ
法律がそれを決めてない以上扱う人間に責任を持たせるわけだ

だからGopgle Authenticatorの方がはるかにマシ
パスワードの長さが短くて定期的変更させるする日本の銀行のセキュリティ意識はとことんクソ

メール等のURLをクリックなんて特別な場合以外絶対にやらんけどな
更に飛んだ先で何かを入力もやらん
パスワードマネージャーを使っていると普段とは違うURLならパスワードは入力されないから寧ろ人力入力より安全まである

>>124
三井住友はTOTPだよ
独自アプリだけど

>>126
ちなみに同じスマホ内に
三井住友銀行アプリと三井住友TOTPアプリがあればOTPは自動入力
銀行アプリ起動時にデバイスのセキュリティチェックやってるが詳しいことは知らん

PC版のchromeでAmazonにアクセスすると毎回打たなくちゃならないので凄い面倒くさい。
だから欲しいものを探すときは要求してこないFireFoxでアクセスしている。
ユーザーレビュー位アカウントなしで見せてもいいだろうに。

マイナポータルは之だが

え？

>>43
ガチで笑ったw

>>119
そのためにAuthenticatorアプリがあるじゃん。QRにワンタイムキーを埋め込んで、あらかじめAuthenticator側に登録されてる公開キーと照合すればいい。

間違ってメールアドレス登録されたみたいでPaydyとかいう知らないサービスのお知らせがよく届くんだけど
最初に登録する時点で確認プロセスないってことだろｸｿｽｷﾞ

>>133
アカウントあるの確定してるわけ?

>>133
ドメインでフィルタすれば？

仕方ないから公式とやり取りしたあとは利用メールは来なくなったが
プロモーションメールが届いて脱力

ブックマークが改竄されて不正なアドレスに飛ばされた例が
ないのが不思議だ

TWITCH　KICK　お前らのことか？

この手の話だと
セキュリティシステムは完璧じゃないといけないみたいなスタンスにたつ人が出てきがちだけど
現実社会では完璧なシステムなんて存在しないし
ある程度の範囲で許容しないと何もできないよね
操作方法が難しくて誰も使わなくなったら意味がないわけだし

最悪なんて大袈裟すぎ
それすらない方が最悪

平文の電子メールはインターネットの幾つかのノードをバケツリレー式に経由して届くものでセキュリティの担保が無いことくらいは聞いたことあるけど、実際のところ攻撃者が特定のターゲットを定めて盗聴し、ワンタイムパスワードのログインを不正に突破するのってそう簡単にできるものなの？

なんだ、クローン携帯で受信する方法かと思った

>>141
バケツリレーなんてもうやってないよ
送受ピア組織内なら軽くやってるけどさ
送受関係ない組織でバケツリレーしてたのはUUNETとかJUNET

>>141
まともなところは認証してつぞ

マイナンバーカードみたいな物理トークンをタッチするのが一番分かりやすくて強力
カードを他人に渡さなければ鉄壁だし、覚えるのはカードの暗証番号だけ

ウチの馬鹿会社は「最強のセキュリティーだ!」と自信満々にこの6ケタ認証を導入しました
どうなってもいいから、何も考えないで使ってますｗ
死ねばいいのにとおもいます

>>145
そのトークンをスマホにしたのがFIDO（スマホ認証）で、
暗証番号だけでなく生体認証も使える
いまさら別の物体を配るのはめんどうすぎる

>>147
FIDOはセキュリティドングルでも使ってます

>>38
SMS認証はどちらかというと複垢対策としての側面のほうが大きい
カカオトークとかワクワクメールとかな

>>149
最近スマホを基盤だけにして
その基盤を山程刺すスマホタワーラックが出てる
リモートコントロールして詐欺メッセージ出すのに使われてる

スマホ紛失したり故障したらショートメール死んで認証できずに生活止まる

本物サイトとユーザの中間にあるフィッシングサイトとかシムクローンてやつがあるからだよね
もっとよいのは既にあるのに普及しないのはなんでだろ

フィッシングにには無力って書けよ
最悪のパスワードシステムって
まるで何もしていないのに盗窃できるかのようでびっくりする

ブラウザでやるのは間違いなくそうだね

>>81
電話番号やメールアドレスを詐取される可能性があるからじゃね？

>>5
hotmailがそうだった
リカバリー用のアドレス入力させられる

>>155
可能性があると無意味ってことはないだろ

うーんおかしいな
都合が悪いから使うのをやめてほしい勢力がいるのか？