「SMSで届いた認証コードを入力した後、偽サイトだったことに気づいた」
「ワンタイムパスワードまで入力してしまった」
「本物のSMSが届いたから大丈夫だと思っていた」
このような状況では、かなり焦ると思います。
特に、
ID・パスワード
↓
SMS認証コード（OTP）
まで入力してしまった場合は、通常のフィッシングよりも緊急度が高くなります。
なぜなら、攻撃者があなたから盗んだID・パスワードをその場で正規サイトへ入力し、ログインや決済を進めている可能性があるからです。
この攻撃は「リアルタイムフィッシング」と呼ばれます。
IPA（情報処理推進機構）も、偽サイトへ入力されたID・パスワードとワンタイムパスワードを攻撃者がその場で悪用し、多要素認証を突破して不正ログインする手口について注意を呼びかけています。
この記事では、
- SMS認証コードを入力してしまった場合にまずやること
- OTPを盗まれると何が起きるのか
- 本物のSMSが届くのになぜ騙されるのか
- 銀行・クレジットカードの場合の対応
- パスワード変更だけでは不十分な理由
- SMS認証・OTPだけに依存することのリスク
について解説します。
まず確認｜どこまで入力しましたか？
対応は、フィッシングサイトでどこまで操作したかによって変わります。
| 入力・操作したもの | 主なリスク | 緊急度 |
|---|---|---|
| リンクを開いただけ | 偽サイトへのアクセス | 低〜中 |
| ID・パスワード | アカウントへの不正ログイン | 高 |
| SMS認証コード・OTP | MFA突破・不正ログイン | 非常に高 |
| カード情報＋OTP | 不正決済 | 非常に高 |
| 銀行情報＋OTP | 不正送金 | 非常に高 |
| 不審なアプリもインストール | 認証情報窃取など | 非常に高 |
OTPまで入力した場合は、「まだ被害が出ていないから大丈夫」と判断せず、正規サービスから速やかに状況を確認してください。
SMS認証コードを入力してしまったら、まず何をする？
1．フィッシングサイトを閉じる
それ以上、
- OTP
- 暗証番号
- カード番号
- 個人情報
- 新しく届いた認証コード
などを入力しないでください。
「認証コードが間違っています。もう一度入力してください」
などと表示されても、追加のコードを入力してはいけません。
2．メール・SMSのリンクではなく正規アプリを開く
次に重要なのが、フィッシングメール・SMSとは別の経路からサービスへアクセスすることです。
例えば、
- 公式アプリを直接起動する
- ブックマークした公式サイトを開く
- 自分で公式サイトを検索して確認する
といった方法を利用します。
IPAも、本物か判断できないメール・SMSについては、本文中のURLや電話番号を利用せず、公式サイトや公式アプリから確認することを推奨しています。
3．ログイン履歴・利用履歴を確認する
正規サービスを開いたら、
- ログイン履歴
- セキュリティアクティビティ
- ログイン中の端末
- 利用履歴
- 決済履歴
- 送金履歴
などを確認します。
特に、
身に覚えのないログイン
知らない端末
登録情報の変更
身に覚えのない決済・送金
がないか確認してください。
4．パスワードを変更する
フィッシングサイトへID・パスワードも入力した場合は、正規サイトからパスワードを変更します。
同じパスワードを他サービスでも利用している場合は、それらも変更してください。
盗まれたID・パスワードが別サービスへのパスワードリスト攻撃に使われる可能性があるためです。
IPAも、フィッシングサイトへID・パスワードを入力した場合は速やかに変更し、他サービスでも同じパスワードを利用している場合はそちらも変更するよう案内しています。
5．不審な端末・セッションをログアウトする
ここも重要です。
攻撃者がOTPを使ってすでにログインしていた場合、パスワード変更だけではなく、既存のログイン状態も確認する必要があります。
サービスに、
- すべての端末からログアウト
- セッションを終了
- デバイスを削除
などの機能があれば、不審なものを解除します。
6．MFAの設定が変更されていないか確認する
攻撃者がアカウントへ侵入した後、
自分が再びログインできるようにする
ためにセキュリティ設定を変更するケースも考えられます。
確認したいのは、
- MFAの電話番号
- 認証アプリ
- 登録メールアドレス
- 復旧用メールアドレス
- 信頼済み端末
- パスキー
などです。
フィッシング対策協議会も、攻撃者がログイン成功後にMFAを無効化したり、OTPの送信先などの設定を変更したりする可能性を指摘しています。
なぜ「本物のSMS」が届いたのにフィッシングなの？
ここが今回の記事で最も重要なポイントです。
例えば、あなたが銀行を装ったフィッシングサイトを開いたとします。
そこで、
ID
＋
パスワード
を入力します。
攻撃者は、その情報をリアルタイムで受け取ります。
そして攻撃者自身が本物の銀行サイトへあなたのID・パスワードを入力します。
すると銀行は、
本人確認が必要です
と判断して、あなたのスマートフォンへ本物のSMS認証コードを送ります。
つまり、このSMSは本物です。
リアルタイムフィッシングの流れ
攻撃の流れを整理すると、こうなります。
① フィッシングメール・SMSが届く
↓
② 偽サイトへアクセス
↓
③ ID・パスワードを入力
↓
④ 攻撃者が正規サイトへID・パスワードを入力
↓
⑤ 正規サービスがあなたへ本物のOTPを送信
↓
⑥ 偽サイトに「認証コードを入力してください」と表示
↓
⑦ あなたが本物のOTPを偽サイトへ入力
↓
⑧ 攻撃者が正規サイトへOTPを入力
↓
⑨ MFAを突破
このため、
「本物のSMSが届いた＝いま開いているWebサイトも本物」
とは限りません。
IPAも、リアルタイムフィッシングでは偽サイトへ入力されたID・パスワード・OTPを攻撃者がその場で悪用し、多要素認証を突破すると説明しています。
OTPは「1回しか使えない」のになぜ盗む意味がある？
「ワンタイムパスワードは一度しか使えないから、盗まれても大丈夫では？」
と思うかもしれません。
しかしリアルタイムフィッシングでは、攻撃者は後で使うためにOTPを保存しているわけではありません。
ユーザーが入力した瞬間に利用します。
例えば、
13:01:10 OTP発行
↓
13:01:30 ユーザーが偽サイトへ入力
↓
13:01:31 攻撃者が正規サイトへ入力
ということが可能です。
OTPが数分しか有効でなくても、その時間内に使用されれば意味があります。
「認証コードが違います」と表示された場合も注意
偽サイト側が、
認証コードが間違っています
新しいコードを入力してください
などと表示するケースも考えられます。
これは、攻撃者が別の操作を行って新しいOTPを必要としている可能性もあります。
何度もOTPが届く場合でも、追加のコードを入力しないでください。
SMSに「○○のための認証コード」と書いてあったら確認する
最近の認証メッセージでは、
ログイン用認証コード
振込用認証コード
パスワード変更用認証コード
など、何のための認証なのかが表示される場合があります。
ここは必ず確認してください。
例えば、自分はログインしているだけなのに、
「送金のための認証コード」
が届いた場合は明らかに不自然です。
フィッシング対策協議会の2026年度版ガイドラインでも、OTPが何の操作に使われるのかをメッセージに含めることで、利用者が意図しない処理に気づけるようにする対策が示されています。
クレジットカードのOTPを入力してしまった場合
カード番号などを入力した後、
3Dセキュアの認証コード
まで入力してしまった場合は特に注意してください。
攻撃者がカード情報と本人認証情報の両方を取得している可能性があります。
この場合は、
- カード利用履歴を確認
- カード会社の公式アプリを確認
- 不審な利用がないか確認
- 正規窓口へ連絡
- 必要に応じてカード停止・再発行
などを行います。
フィッシングサイトへクレジットカード情報を入力した場合について、IPAも速やかにカード会社へ相談するよう案内しています。
ネット銀行のOTPを入力してしまった場合
銀行の場合はさらに緊急度が高くなります。
OTPが、
- ログイン
- 振込
- 振込先登録
- 登録情報変更
などに使用される場合があるためです。
フィッシング対策協議会の「フィッシングレポート2026」でも、攻撃者が電話で担当者を誘導しながら、アカウント情報とOTPをリアルタイムに盗み、法人口座から不正送金する手口が紹介されています。
銀行を装ったフィッシングでOTPまで入力した場合は、正規の銀行窓口へ速やかに相談してください。
SNSやGoogleなどのOTPを入力した場合
金銭被害が直接発生しないサービスでも油断できません。
例えば、
- Apple
- Microsoft
- Amazon
などのアカウントを奪われると、
メール
写真
クラウドデータ
連絡先
保存された決済情報
SNSのフォロワー
などが攻撃者に悪用される可能性があります。
特にメールアカウントを奪われると、他サービスのパスワード再設定にも悪用される可能性があるため注意が必要です。
OTPを入力してしまったらMFAは意味がない？
ここは誤解しないことが重要です。
MFA自体が無意味なのではありません。
ID・パスワードだけの場合と比較すれば、追加認証を要求することには大きな意味があります。
フィッシング対策協議会も、SMS認証やOTPなどの多要素認証は、不正ログイン等を阻止するために有効だと案内しています。
問題は、
「OTPを使っている＝すべてのフィッシングに耐えられる」
とは限らないことです。
SMS認証・OTPにも限界がある
従来は、
ID・パスワード
＋
OTP
を要求すれば、パスワードを盗まれても安全性を高められると考えられてきました。
しかしリアルタイムフィッシングでは、OTPそのものをユーザーからリアルタイムで盗みます。
フィッシング対策協議会の2026年度版ガイドラインでも、単にOTPを利用するだけではフィッシング耐性があるとはいえなくなっていると明記されています。
SIMスワップにも注意
SMS認証には別のリスクもあります。
その一つがSIMスワップです。
攻撃者が携帯電話番号を不正に乗っ取ると、SMSで送信される認証コードを攻撃者側が受け取れる可能性があります。
そのため、
SMSが自分のスマートフォンへ届くこと
だけを本人確認の絶対的な根拠として扱うことにも限界があります。
パスキーがフィッシングに強い理由
そこで注目されているのがパスキーです。
フィッシング対策協議会の2026年度版ガイドラインでは、リアルタイムフィッシングなどへの対策として、フィッシング耐性を持つ多要素認証の導入を求めており、その例としてパスキーを挙げています。
パスキーでは、認証に使う秘密情報が正規のドメインと結び付けられています。
そのため、
偽サイトに認証情報を入力して攻撃者へ渡す
という従来型フィッシングが成立しにくい仕組みになっています。
FIDO Allianceも、パスキーを消費者向けに実用的なフィッシング耐性を持つ認証手段として位置づけています。
企業側は「OTPを導入したから安全」で終わらせない
ここからは、金融・決済・会員アプリを提供する企業側の視点です。
今回のリアルタイムフィッシングが示しているのは、
認証情報を増やすだけでは、フィッシングを完全には防げない
ということです。
パスワードを盗む攻撃に対してOTPを追加すれば防御力は上がります。
しかし攻撃者は次に、
パスワード＋OTP
の両方を盗もうとします。
「認証に成功した＝本人」とは限らない
例えば攻撃者が、
正しいID
＋
正しいパスワード
＋
正しいOTP
を持っていた場合、認証システムから見れば正しい情報がすべて揃っています。
だからこそ、
認証情報だけを見る
のではなく、
- いつもの端末なのか
- 新しい端末ではないか
- 正規アプリなのか
- 実行環境に異常はないか
- 通常と異なる操作ではないか
- 不自然な取引ではないか
といった情報を組み合わせる必要があります。
Device Binding（端末認証）を組み合わせる
その一つが**Device Binding（端末認証）**です。
例えば、
正しいID
＋
正しいパスワード
＋
正しいOTP
が揃っていても、
これまで一度も利用されたことのない端末
から高リスクな操作が行われているなら、追加確認を行う余地があります。
つまり、
ユーザーが知っている情報
だけでなく、
ユーザーが普段使っている端末
も信頼判断に利用する考え方です。
ログイン後の操作も監視する
さらに重要なのが、ログイン後です。
例えば、
新しい端末からログイン
↓
MFA設定変更
↓
電話番号変更
↓
振込先追加
↓
高額送金
という操作が短時間で発生した場合、認証そのものは成功していても異常な行動として評価できます。
そのため企業側では、
認証
↓
端末
↓
アプリ・実行環境
↓
セッション
↓
重要操作
↓
取引
までを一連のリスクとして評価することが重要です。
「ユーザーがOTPを入力しないこと」だけに依存しない
もちろん利用者への注意喚起も重要です。
しかし、
OTPは誰にも教えないでください
と表示するだけで、すべてのリアルタイムフィッシングを防ぐことは困難です。
フィッシング対策協議会も、どれほど利用者が注意していてもフィッシングサイトを閲覧するリスクをゼロにはできないとしており、被害が発生した場合でも悪用を最小限に抑える対策を事業者側へ求めています。
まとめ｜OTPまで入力した場合は「すでに使われた可能性」を考える
SMS認証コードやワンタイムパスワードをフィッシングサイトへ入力してしまった場合、
「使い捨てだから大丈夫」
とは考えないでください。
リアルタイムフィッシングでは、攻撃者がそのOTPを入力された直後に利用する可能性があります。
まず、
- フィッシングサイトを閉じる
- 公式アプリ・公式サイトを直接開く
- ログイン・利用・取引履歴を確認する
- パスワードを変更する
- 不審な端末・セッションをログアウトする
- 登録情報・MFA設定を確認する
- カード・銀行の場合は正規窓口へ相談する
という対応を行いましょう。
そして最も覚えておきたいのが、
本物のSMSが届いたから、いま見ているWebサイトも本物とは限らない
ということです。
リアルタイムフィッシングでは、攻撃者自身が正規サイトへアクセスしているため、利用者のスマートフォンへ本物の認証コードが届く場合があります。
企業側でも、単純にOTPを追加するだけでなく、フィッシング耐性のある認証、Device Binding、アプリ・端末環境の確認、リスクベース認証、取引監視などを組み合わせた多層防御が重要になっています。
関連記事
- フィッシングでパスワードを入力してしまったら？今すぐ確認すべきこと
- 「普段と異なる環境からログインされました」は本物？不審なログイン通知の確認方法
- フィッシング詐欺とは？手口と企業・利用者が知っておきたい対策
- MFAとは？多要素認証の意味と導入時の注意点
- Device Binding（端末認証）とは？金融アプリで注目される理由
- パスワードリスト攻撃とは？スマホアプリが狙われる理由
- JCBを装う迷惑メール・SMSは本物？クリックしてしまった場合の対処法
- 楽天カードを装う迷惑メール・SMSは本物？
- イオンカードを装う迷惑メール・SMSは本物？
「SMS認証コードを入力してしまったら？OTPを盗まれた場合のリスクと対処法」への1件のフィードバック
コメントは受け付けていません。