OTPとは？ワンタイムパスワード認証の基礎知識

OTPとは、One-Time Password（ワンタイムパスワード）の略で、1回限り、または短時間だけ有効な使い捨ての認証コードです。ログイン、登録済みの電話番号やメールアドレスの確認、取引承認、パスワード再設定などの場面で使われます。

OTPは、固定パスワードに加えて使われることが多く、パスワードが漏えいした場合でも第三者による不正ログインを防ぎやすくなります。そのため、OTPは二要素認証（2FA）や多要素認証（MFA）の一部として広く利用されています。

OTPとは？ワンタイムパスワードの意味

先に結論

OTPとは、ログインや取引承認などで一度だけ使う認証コードです。SMS・メール・音声通話で受け取る方式と、認証アプリやトークンで生成・表示する方式があり、使用後または方式ごとに定められた条件で無効になります。

OTPは固定パスワードと異なり、一度の認証にだけ使えるよう設計され、使用後または方式ごとに定められた条件で無効になります。固定パスワードが漏えいした場合のように、同じコードが繰り返し悪用されにくい点が特徴です。

OTPとは何の略？

OTPは、英語のOne-Time Passwordの略です。日本語では「ワンタイムパスワード」と呼ばれ、直訳すると「一度だけ使えるパスワード」という意味になります。

OTPコードとは？

OTPコードとは、ログイン認証、登録済みの連絡先の確認、取引承認などに使われる一時的な数字・文字列です。多くの場合は6桁前後の数字で構成され、SMSやメールで送られるほか、認証アプリやトークンに表示されます。

たとえば、オンラインサービスにログインするときに「認証コードを入力してください」と表示され、スマートフォンに届いた数字を入力するケースがあります。この数字がOTPコードです。

OTP認証とは？

OTP認証とは、登録済みの電話番号やメールアドレスを利用できること、または認証アプリやトークンを所持していることを、一時的なコードで確認する認証方式です。OTPだけで、氏名や住所、実在性まで確認する身元確認が完了するわけではありません。

固定パスワードに加えてOTPを求めることで、パスワードが漏えいした場合でも、第三者がすぐにログインできないようにする役割があります。

OTPの仕組み

OTPの仕組みは、SMSやメールなどの配信型と、認証アプリやトークンでコードを生成する方式に分けて考えると分かりやすくなります。配信型では、サーバーが生成したコードをSMS、メール、音声通話などでユーザーに送ります。

TOTPやHOTPでは、認証アプリやトークンと認証サーバーが、あらかじめ共有した情報と時刻またはカウンター値を使って、それぞれコードを計算します。SMSやメールなど、配信型OTPの一般的な流れは次のとおりです。

• 1

  認証操作を開始する

  ユーザーがログイン、取引承認、登録済みの連絡先の確認などの操作を行います。
• 2

  OTPコードを生成する

  システムが一時的なOTPコードを生成します。
• 3

  ユーザーにOTPを送る

  SMS、メール、音声通話などを通じて、ユーザーにOTPを送ります。
• 4

  OTPを入力する

  ユーザーが受け取ったOTPを入力します。
• 5

  OTPを検証する

  システムが入力されたOTPを検証し、正しければ認証を完了します。

SMSやメールで配信するOTPやTOTPには、通常、有効期限が設定されます。一方、HOTPは時刻ではなくカウンター値に基づくため、コードが無効になる条件は実装によって異なります。いずれの方式でも、検証済みのコードを再利用できないように制御する必要があります。期限切れと再送信の扱いは、次のとおりです。

OTPの有効期限切れとは？

OTPの有効期限切れとは、SMSやメールで配信されたコード、またはTOTPで表示されたコードが、設定された時間を過ぎて無効になった状態です。期限が切れた場合、そのコードでは認証できません。配信型OTPでは新しいコードを発行し、TOTPでは認証アプリに表示された最新のコードを入力します。

配信型OTPの再送信とは？

配信型OTPの再送信とは、認証コードが届かない場合や有効期限が切れた場合に、新しいOTPを再度送ることです。ただし、短時間に何度も再送できる設計にすると、不正利用や過剰送信につながる可能性があるため、再送間隔や回数制限を設けることが重要です。

OTPの受け取り・生成方法

OTPには、SMS・メール・音声通話でコードを受け取る方式と、認証アプリやハードウェアトークンでコードを生成・表示する方式があります。それぞれ利用シーンやユーザー環境に向き不向きがあります。

• SMS OTP

  携帯電話番号宛てにOTPを送信する方法です。アプリを追加でインストールする必要がなく、ログイン認証や電話番号確認で広く利用されています。

• メールOTP

  登録済みのメールアドレスにOTPを送信する方法です。アカウント登録、パスワード再設定、メールアドレス確認などで使われます。

• 認証アプリ

  Google Authenticatorなどの認証アプリでOTPを生成する方法です。一定時間ごとにコードが切り替わるため、2FAやMFAの手段として利用されています。

• ハードウェアトークン

  専用の物理デバイスにOTPを表示する方法です。認証端末を企業側で配布・管理したい社内システムや金融サービスなどで利用されることがあります。

• 音声通話

  電話でOTPを読み上げる方法です。SMSが届きにくい場合や、別チャネルでの認証が必要な場合に使われることがあります。

どの方式が適しているかは、サービスの目的やユーザー環境によって異なります。ログインや会員登録時の連絡先確認では、追加アプリが不要なSMSやメールが使われることがあります。一方、継続的なログイン認証や社内システムでは、認証アプリやハードウェアトークンも候補になります。

OTPとSMS認証・2FA/MFAの違い

OTP、SMS認証、2FA、MFAは似た場面で使われますが、意味はそれぞれ異なります。

つまり、OTPは認証コードそのもの、SMS認証はOTPを届ける方法、2FA/MFAは認証全体の仕組みを指します。

2FA/MFAでは、知識情報・所持情報・生体情報など、異なる種類の認証要素を組み合わせます。同じ種類の要素を二段階で確認するだけでは、2FA/MFAとは限りません。多要素認証の考え方については、NISCのインターネットの安全・安心ハンドブックでも、パスワードが盗まれた場合の対策として紹介されています。

2FAとMFAの違いを詳しく知りたい場合は、2FA・MFAの違いもあわせてご覧ください。

OTPの種類：TOTP・HOTP

認証アプリやトークンでコードを生成する方式では、TOTP（時間ベース型OTP）とHOTP（カウンターベース型OTP）が代表的です。

TOTPはRFC 6238、HOTPはRFC 4226として仕様が公開されており、認証アプリやトークンで使われる代表的なOTP方式です。

• TOTP

  TOTPは、現在時刻をもとに生成されるOTPです。一定時間ごとにコードが変わるため、認証アプリなどでよく使われます。

• HOTP

  HOTPは、カウンター値をもとに生成されるOTPです。イベントや認証回数に応じてコードが変わる方式です。

詳しく知りたい場合は、OTP・HOTP・TOTPの違いもあわせてご覧ください。

OTPが使われる主な場面

OTPは、ログイン保護、登録済みの連絡先の確認、取引承認、アカウント復旧など、幅広い場面で利用されています。

• ログイン認証

  オンラインサービス、ECサイト、SNS、社内システムなどへのログイン時に、追加の利用者認証としてOTPが使われます。

• 銀行取引・決済確認

  送金、振込、オンライン決済、高額取引などの承認時に、取引を行う利用者の追加認証としてOTPが使われます。インターネットバンキングの不正送金対策としても、警視庁のインターネットバンキング不正送金被害の防止対策で、ワンタイムパスワード等の利用が案内されています。

• パスワード再設定

  固定パスワードを忘れた場合や、アカウント復旧を行う場合に、登録済みの電話番号やメールアドレスへOTPを送信し、その連絡先を利用できることを確認します。

• 会員登録時の電話番号・メールアドレス確認

  新規登録時に、ユーザーが入力した電話番号やメールアドレスを利用できることを確認するためにOTPが使われます。

• リモートアクセス

  VPN、リモートデスクトップ、社内システムなどにアクセスする際、追加の認証要素としてOTPが利用されます。

OTPのメリットと注意点

OTPは、固定パスワードだけに依存する認証よりも不正ログイン対策を強化しやすい方法です。ただし、IPAの情報セキュリティ10大脅威の解説でも触れられているように、フィッシングサイトへの入力や、端末・メールアカウント自体の乗っ取りには注意が必要です。

OTPは、盗まれた固定パスワードだけで不正ログインされるリスクや、取得したコードを後から再利用されるリスクを抑える手段です。ただし、人がコードを入力するOTPは、フィッシング耐性を持つ認証方式ではありません。NIST SP 800-63Bでも、OTPはフィッシング耐性のある認証方式とは扱われていません。

管理者権限の変更、高額取引、アカウント復旧など、被害が大きくなりやすい操作では、パスキーやセキュリティキーなども検討する必要があります。法人向けに導入する場合は、セキュリティだけでなく、ユーザーが途中で離脱しないための操作負担、再送ルール、配信安定性もあわせて設計します。

法人向けにOTPを導入するときの確認点

法人向けにOTPを導入する場合は、サービス名や配信チャネルだけでなく、利用場面のリスク、コードの受け取り・生成方法、認証できない場合の対応、不正対策、API連携と運用管理を確認します。

• 利用場面とリスク

  会員登録時の連絡先確認、ログイン、取引承認、アカウント復旧では、認証を突破された場合の影響が異なります。OTPを含む認証で対応する操作と、パスキーやセキュリティキーなど、フィッシング耐性を持つ方式を採用する操作を分けて設計します。

• 受け取り・生成方法

  SMS、メール、音声通話などでコードを受け取る方式か、認証アプリやトークンで生成する方式かを、対象ユーザー、利用地域、端末管理の可否に合わせて選びます。

• 到達性と代替手段

  配信型では、OTPが届かない場合の再送間隔や別チャネルへの切り替えを確認します。認証アプリやトークンを使う場合は、端末の紛失や機種変更に備え、再設定方法や代替認証手段を用意しておきます。

• 不正対策

  SMSポンピング（不正に大量のSMS送信を発生させる攻撃）、短時間の連続送信、認証コードの連続試行、不審な地域からのアクセスなどを検知・制限できるかを確認します。

• API連携と運用管理

  既存のアプリや会員システムに組み込みやすいAPIがあるかを確認します。あわせて、有効期限、桁数、再送ルール、配信ログ、認証結果を管理画面で確認できるかを見ておきましょう。

法人向けの導入例：EngageLab OTP

EngageLab OTPは、SMS、メール、音声通話、WhatsAppなど複数チャネルでのOTP配信に対応した法人向けの認証サービスです。

OTP送信APIとOTP検証APIを利用して、会員登録、ログイン認証、取引承認、パスワード再設定などの認証フローに組み込めます。テンプレート管理では、コードの長さ・種別、有効期間、送信チャネル、フォールバック設定を管理できます。送信履歴では、OTPの送信記録とステータスを確認できます。

APIの詳細は、OTP送信APIとOTP検証APIをご確認ください。

ワンタイムパスワード（OTP）に関するFAQ

• 1

  OTPは多要素認証ですか？

  OTPを使うだけで、必ず多要素認証になるわけではありません。パスワードなどの知識情報と、認証アプリや登録済み端末などの異なる認証要素を組み合わせた場合に、2FA/MFAとして扱われます。同じ種類の確認を二段階で行うだけでは、多要素認証とは限りません。
• 2

  OTPとSMS認証の違いは何ですか？

  OTPは認証コードそのものを指し、SMS認証はそのOTPをSMSで届ける認証方法です。OTPには、SMS・メール・音声通話で受け取る方式と、認証アプリやトークンで生成・表示する方式があります。
• 3

  OTPが届かない場合はどうすればよいですか？

  電話番号やメールアドレスの入力ミス、通信環境、迷惑メール設定、SMS受信制限などを確認します。サービス側で再送信や別チャネルが用意されている場合は、案内に従って新しいOTPを受け取ります。
• 4

  OTPに使用するスマートフォンを紛失した場合は？

  利用しているサービスの案内に従い、アカウント復旧、認証アプリの再設定、電話番号変更、リカバリーコードの利用などを行います。企業がOTPを導入する場合は、端末紛失や機種変更に備えて、代替認証手段とアカウント復旧時の確認手順を用意しておく必要があります。

まとめ

OTPとは、One-Time Passwordの略で、1回限りまたは短時間だけ有効な使い捨ての認証コードです。ログイン、登録済みの連絡先の確認、取引承認、パスワード再設定などで使われ、固定パスワードだけでは防ぎにくい不正ログイン対策に役立ちます。

OTPには、SMS、メール、音声通話で受け取る方法と、認証アプリやトークンで生成・表示する方法があります。また、TOTPやHOTPといった方式があり、2FAやMFAの一部としても利用されています。

法人向けにOTPを導入する場合は、利用場面のリスク、受け取り・生成方法、認証できない場合の代替手段、不正対策、API連携と運用管理を確認します。OTPはフィッシング耐性を持つ認証方式ではないため、被害が大きくなりやすい操作では、パスキーやセキュリティキーなど、フィッシング耐性を持つ認証方式も検討する必要があります。