音声OTP認証とは？SMSが届かない時に使える電話認証コードの仕組み

音声OTP認証とは、ユーザーの電話番号宛てに自動音声通話を発信し、通話内でワンタイムパスワード（OTP）を読み上げる、電話番号を使ったOTP認証です。ユーザーは電話で聞いた認証コードをWebサイトやアプリに入力し、コードが一致すれば認証が完了します。

SMSを受信できない場合や、固定電話番号にも対応したい場合に、SMS OTPの代替・補完チャネルとして利用されることがあります。なお、音声OTP認証はユーザーの声を分析する声紋認証ではありません。

音声OTP認証とは？

音声OTP認証とは、電話番号を使ったOTP認証の一種です。SMSで認証コードを送る代わりに、システムがユーザーの電話番号へ自動音声通話を発信し、通話内で認証コードを読み上げます。

ユーザーは、電話で聞いた認証コードをログイン画面、会員登録画面、パスワード再設定画面などに入力します。入力されたコードがシステム側で生成されたコードと一致し、有効期限内であれば、コードの検証が完了します。

この仕組みは、「Voice OTP」「Voice call verification」「音声通話によるOTP」「自動音声による認証コード」「電話で受け取る認証コード」などと表現されることがあります。本記事では、表記を音声OTP認証または音声OTPに統一して解説します。

一部のサービスでは、同じ仕組みを「自動音声認証」と案内する場合があります。ただし、「電話認証」は、SMS認証、音声OTP、IVR認証、発信元番号の照合などを含む広い呼称です。IVR認証には、音声案内に従って電話のボタンを操作する方式などもあるため、音声OTPと常に同じ意味ではありません。

音声OTP認証の仕組み

音声OTP認証の基本的な流れは、SMS OTPと似ています。違いは、認証コードをSMSではなく自動音声の電話で届ける点です。

• 1

  ユーザーが電話番号を入力する

  ログイン、会員登録、パスワード再設定などの画面で、ユーザーが電話番号を入力します。
• 2

  システムがOTPコードを生成する

  システム側で、一度だけ使える認証コードを生成します。通常、コードには有効期限があります。
• 3

  自動音声通話を発信する

  入力された電話番号宛てに、システムが自動音声の電話を発信します。
• 4

  通話内で認証コードを読み上げる

  自動音声が認証コードを読み上げます。ユーザーは、電話で聞いたコードを確認します。
• 5

  ユーザーがコードを入力する

  ユーザーは、Webサイトやアプリの入力欄に認証コードを入力します。
• 6

  コードを検証して認証を完了する

  入力されたコードが一致し、有効期限内であれば、認証が完了します。

音声OTPと音声認証・声紋認証の違い

「音声OTP」と「音声認証」は名前が似ていますが、仕組みは異なります。音声OTPは、自動音声通話で認証コードを読み上げ、ユーザーがそのコードを入力して検証するOTP認証です。一方、音声認証や声紋認証は、ユーザーの声に含まれる特徴をもとに本人かどうかを判定する生体認証です。

この記事では、声紋認証ではなく、電話でOTPを届ける音声OTP認証を扱います。「音声認証」という語は声紋認証や話者認識を指す場合があるため、本文では「音声OTP認証」または「音声OTP」に表記を統一します。

音声OTPとSMS OTPの違い

音声OTPとSMS OTPは、どちらも電話番号を使ってワンタイムパスワードを届ける認証方法です。違いは、認証コードの届け方にあります。SMS OTPはテキストメッセージでコードを届けるのに対し、音声OTPは自動音声の電話でコードを読み上げます。

SMS OTPの基本的な仕組みは、SMS認証やOTP（ワンタイムパスワード）の記事でも詳しく解説しています。

SMS OTPは、端末や回線の状態、受信設定、電話番号や国番号の入力ミス、携帯キャリアや国際SMSの制限などにより届かない場合があります。ログイン、決済、パスワード再設定など、すぐに認証を完了する必要がある場面では、SMS不達時に音声OTPへ切り替えられる導線を用意するとよいでしょう。

音声OTPが向いている利用シーン

音声OTPは、ログイン、会員登録、パスワード再設定、アカウント復旧などで、SMSが届かない場合にも認証経路を残しておきたいときに候補になります。固定電話番号を使うユーザーがいる場合も、自動音声通話で認証コードを伝えられます。

固定電話を使うユーザーへの認証コード通知

固定電話番号では通常SMSを受信できないため、SMS OTPだけでは認証コードを届けられない場合があります。このような場面では、自動音声通話で認証コードを読み上げる音声OTPが代替手段になります。

ただし、固定電話は本人専用とは限りません。家族、同僚、受付担当者など本人以外が電話に出る可能性があり、留守番電話に認証コードが残る場合もあります。そのため、固定電話向けの音声OTPは「その番号に到達できることの確認」として位置づけます。重要な手続きでは、メール、ログイン状態、登録情報などの追加確認と組み合わせる必要があります。

音声OTPを優先しないほうがよいケース

音声OTPは補完チャネルとして利用できますが、すべての認証で最初から使う必要はありません。電話に出る必要があるため、会議中、移動中、勤務中、夜間などはユーザーの負担になりやすい場合があります。また、国際通話や大量発信では、SMSやメールよりコストが高くなることもあります。

• 本人確認を必要としないメルマガ登録や低リスクな会員登録
• 勤務中や移動中など、ユーザーが電話に出にくい場面で認証が発生するサービス
• 夜間や早朝に認証が発生しやすいサービス
• コストを最小化したい大量認証フロー
• SMS、メール、アプリ内認証だけで十分な低リスク操作

音声OTPを導入する前に確認すべきポイント

音声OTPを運用する際は、電話でコードを届ける設定だけでなく、認証フロー全体を確認します。有効期限、再送制限、不正リクエスト対策、ユーザーが電話を受けられない場合の切り替え方法を事前に決めておきましょう。

認証フローを設計する際は、IPAが案内する多要素認証の考え方も参考にしながら、音声OTPを単独で使うのか、パスワードなど別の認証要素と組み合わせるのかを整理します。

有効期限と再送制限

OTPコードには短い有効期限を設定し、一度使ったコードは再利用できないようにします。また、入力試行回数、再送回数、同じ電話番号や同じIPアドレスからの連続リクエストにも上限を設けることで、不正利用や誤操作を抑えやすくなります。

不正発信やコスト悪用への対策

音声OTPは通話を発信するため、不正な大量リクエストや高額通話先への悪用を防ぐ設計が必要です。国・地域ごとの制限、レート制限、番号検証、異常検知、コスト上限の監視などを組み合わせて対策します。

海外向けに音声OTPを使う場合は、国際通話コストや不正リクエストの急増にも注意が必要です。まずSMSやメールなどの低コストチャネルを使い、必要に応じて音声OTPへ切り替えると、不要な通話発信を抑えやすくなります。

また、電話番号、認証ログ、IPアドレス、端末情報の保存範囲と閲覧権限を決め、異常な送信リクエストを追跡できるようにします。

電話回線を使った認証の技術的な注意点については、米国政府機関向けのデジタル認証ガイドラインであるNIST SP 800-63Bも補足資料になります。同ガイドラインでは、SMSや音声通話を電話網を使った帯域外認証として扱い、別の認証手段を用意することや、電話番号の変更・移転などのリスクを確認するよう求めています。日本企業に対する法的義務や日本国内の強制基準ではありませんが、認証フローを設計する際の技術的な参考になります。

ユーザー体験

音声OTPでは、ユーザーが電話に出て、読み上げられたコードを聞き取り、画面に入力する必要があります。そのため、読み上げ速度、コードの繰り返し、発信者番号の表示、通話に出られなかった場合の再送導線が重要です。

• 「音声通話でコードを受け取る」など、ユーザーが選択できる導線を用意する
• SMSが届かない場合に、音声OTP、メールOTP、WhatsApp OTPなどへ切り替えられるようにする
• 深夜・早朝の自動音声通話や、短時間での過度な再送を避ける

SMS・メール・WhatsAppとの組み合わせ

音声OTPは単独の認証チャネルとして固定するのではなく、SMS OTP、メールOTP、WhatsApp OTPと使い分けます。例えば、SMS OTPを第一チャネルとして使い、SMSが届かない場合に音声OTPやメールOTPへ切り替えられるように設計します。

海外ユーザーや訪日客向けには、国・地域のSMS到達状況やWhatsAppの利用状況に応じて、SMS、WhatsApp、音声、メールを組み合わせる方法があります。各チャネルで到達条件、コスト、利用習慣、テンプレート要件が異なるため、自社の対象地域とユーザー層に合わせて、利用順序と切り替え条件を決めます。

EngageLab OTPで音声OTPを活用する方法

EngageLab OTPは、SMS、WhatsApp、音声、メールの各チャネルに対応しています。SMS、WhatsApp、音声を利用する電話番号チャネルでは、メインチャネルと最大2つのフォールバックチャネルを設定し、送信に失敗した場合は指定した順序で自動的に切り替えられます。メールOTPは、SMS・WhatsApp・音声と同一のフォールバック順には設定できないため、別の認証経路として設計します。詳細な機能はOTP製品概要でも確認できます。

既存システムへの連携方法は、開発環境に合わせて選びます。REST APIでは、テンプレートの管理やOTPの送信・検証に加え、送信結果や検証結果をステータスコールバックで受け取れます。ログイン、会員登録、パスワード再設定などの認証フローを、既存システムから直接制御したい場合に適しています。Node.jsまたはPythonを利用している開発チームは、公式SDKを使って、OTPの送信・検証やWebhookの処理を組み込む方法もあります。

EngageLabで音声OTPを送信・検証する流れ

ここでは、EngageLabの管理画面で音声OTPを利用する基本的な流れを紹介します。実際の画面や利用条件は、アカウント設定、利用地域、契約内容によって異なる場合があります。

• 1

  OTPアプリケーションを準備する

  EngageLabアカウントを作成し、コンソールでOTP認証サービスを有効化します。利用目的や対象地域を確認したうえで、音声チャネルを使うOTPアプリケーションを準備します。
  
• 2

  音声OTPテンプレートを確認する

  音声チャネルで使用するデフォルトテンプレートを選び、必要に応じてセキュリティ注意や有効期限の案内を設定します。送信時に使用する言語も確認します。
  
• 3

  音声OTP認証コードを送信する

  SMSをメインチャネル、音声をフォールバックにする場合は、チャネルの順序を設定します。SMSの送信失敗を検知すると、設定した順序に従って音声へ自動的に切り替わります。API連携で送信する場合は、OTP送信APIを確認します。
  
• 4

  認証コードを検証し、送信結果を確認する

  ユーザーが入力したコードを検証し、送信結果、失敗理由、再送状況を確認します。API連携で検証する場合は、OTP検証APIを確認します。
  

音声OTP認証に関するFAQ

音声OTPが届かない場合はどうすればよいですか？

まず、電話番号や国番号の入力ミス、着信拒否設定、圏外、通信障害、国際通話制限などを確認します。電話に出られなかった場合は、一定時間を空けて再送するか、SMS OTP、メールOTP、WhatsApp OTPなど別チャネルへ切り替えられるようにします。

音声OTPは留守番電話に録音されますか？

留守番電話の設定によっては、認証コードを読み上げる通話内容が録音される場合があります。本人以外が再生できる環境ではコードを知られる可能性があるため、有効期限を短くし、重要な手続きでは別の確認方法と組み合わせます。

海外の電話番号でも音声OTPを利用できますか？

海外の電話番号でも利用できる場合があります。対応する国・地域、通話制限、料金、発信元番号の表示、ユーザーが電話を受けられる時間帯を確認してください。音声OTPが必ず届くとは限らないため、SMS、WhatsApp、メールOTPへの切り替えも用意します。

まとめ

音声OTP認証は、自動音声の電話でワンタイムパスワードを読み上げ、ユーザーが入力したコードを検証する、電話番号を使ったOTP認証です。声紋認証のように声の特徴を分析する方式ではありません。SMSが届かない場合や固定電話を使う場合の補助チャネルとして利用できます。

音声OTPを導入する際は、ユーザーが電話に出られる時間帯、通話コスト、不正発信対策、留守番電話への録音などを確認します。EngageLab OTPでは、SMS、WhatsApp、音声のフォールバック順を設定でき、メールOTPも別の認証経路として利用できます。自社の対象地域や利用条件に合うか確認したい場合は、導入前に相談してください。