突然届いた確認コードは、すぐ入力してよい？

問題：ログインした覚えがないのに、「確認コード」や「認証コード」がSMSで届きました。最初にすることとして、安全なのはどれでしょう。

  1. 届いたコードを、メッセージの返信先へ送る
  2. 通知が怖いので、リンクを開いてパスワードを確認する
  3. コードを入力・共有せず、公式アプリや確認済みの公式サイトからアカウントを確認する

答えは Cです。確認コードは、本人確認のために一時的に使う数字などの情報です。心当たりがないときは、コードを他人に伝えたり、通知のリンク先へ入力したりしません。

確認コードは、ログインや変更を確かめるために使う

確認コードとは、パスワードに加えて本人であることを確かめるため、一時的に発行される数字などの情報です。新しいスマートフォンやブラウザーからログインするとき、パスワードを変更するとき、電話番号を確認するときなどに使われます。

自分がログインを始めた直後に届くこともあります。一方で、誰かがあなたのメールアドレスや電話番号を使ってログインを試した、入力先を間違えた、以前の操作が遅れて届いた、といった可能性もあります。コードが届いただけで、不正アクセスが成功したと断定する必要はありません。

Googleは、リクエストした覚えのないコードがSMSで届いた場合、コードを共有せず、無視して削除できると案内しています。Appleも、Apple Accountのパスワードや確認コードを他人に教えないよう案内しています。

最初の対応は「入力しない・伝えない・リンクを開かない」

確認コードが届いた直後は、次の3つを守ります。

サポート担当者や家族を名乗る相手から「届いたコードを教えて」と頼まれても、伝えてはいけません。確認コードは、ログインやパスワード変更を進めるために使われることがあります。

通知にリンクがない場合でも、メッセージの画面から直接ログインしないことが大切です。確認するときは、普段から使っている公式アプリを自分で起動するか、以前から登録している確認済みのブックマークを使います。

自分の操作だったか、まず思い出す

コードが届いた時刻の前後に、次の操作をしていないか確認します。

  1. 新しいスマートフォンやパソコンからログインした
  2. アプリを入れ直した、またはブラウザーを変えた
  3. パスワードの変更や、アカウントの復旧を始めた
  4. 電話番号やメールアドレスを登録・変更した

自分の操作に心当たりがあれば、コードを使う場面とサービス名が一致しているか確認します。心当たりがなければ、次の節の方法で公式のセキュリティ画面を確認します。

確認は通知からではなく、公式アプリや公式サイトから行う

確認コードが届いたサービスの公式アプリを自分で開き、「セキュリティ」「ログイン中の端末」「最近のアクティビティ」などの画面を探します。アプリにその項目がない場合は、以前から登録している公式サイトのブックマークを使います。

確認する情報：ログインした時刻、端末、場所、パスワードや登録情報が変更されていないか。

使わない情報：SMSやメールに書かれたリンク、返信先、相手から指定された電話番号。

Googleでは、アカウントのセキュリティ画面から最近のアクティビティを確認できます。Apple Accountでは、登録されているデバイスを確認し、覚えのないデバイスがないかを調べます。画面の名前や順番は変わることがあるため、サービスの最新の公式案内も確認してください。

通知のリンクやURLを確認する方法は「メールやSMSのURLを確認する方法」、ログイン通知全般の確認手順は「身に覚えのないログイン通知が届いたら」も参照してください。

心当たりがなければ、公式画面からアカウントを守る

公式のセキュリティ画面でログインや変更に心当たりがない場合は、次の順番で対処します。

  1. ログイン履歴や、ログイン中の端末を確認する
  2. 心当たりのない端末やセッションを終了する
  3. 公式画面からパスワードを変更する
  4. 登録メールアドレス、電話番号、復旧用の連絡先を確認する
  5. 利用できる場合は、2段階認証やパスキーを設定する

セッションとは、アカウントにログインしている状態です。「すべての端末からログアウト」「すべてのセッションを終了」などの項目があれば、心当たりのない通知が続くときに利用します。

2段階認証とは、パスワードだけでなく、確認コードや端末の確認を組み合わせる仕組みです。パスキーは、指紋・顔認証・端末のPINなどを使って本人確認する方式です。表示される選択肢はサービスによって異なりますが、使える場合は設定を検討します。

コードを入力・共有してしまった場合は、すぐに公式画面で変更する

もし偽サイトに確認コードやパスワードを入力した場合は、通知のリンクをもう一度使わず、公式アプリや確認済みの公式サイトからパスワードを変更します。その後、ログイン中の端末、登録情報、2段階認証の設定を確認します。

確認コードを誰かに伝えた場合も、同じように公式画面からパスワードを変更し、すべてのセッションを終了します。ログインできない、登録情報を変更されている、身に覚えのない購入や送金がある場合は、サービスの公式窓口とカード会社・銀行へすぐに相談します。

確認コードは保管せず、心当たりがなければ公式画面だけを見る

心当たりのない確認コードは、入力も共有もせず、通知を削除して構いません。ただし、同じサービスから何度も届く、公式画面に見覚えのないログインがある、登録情報が変わっている、といった場合は放置せず、公式画面からパスワード変更と端末確認を行います。

参考にした公式情報

公式情報やサービスの画面は変更されることがあります。実際に被害が疑われる場合は、利用中のサービスの最新の公式案内も確認してください。