ンドネシアでSMS OTPを確実に送信するには、各携帯通信事業者の配信ルートにおいて、現地でSMSマスキングとして知られる登録済みの英数字送信元ID、インドネシア語で機能するテンプレート、そして規制当局が番号詐欺と積極的に戦っている市場向けに構築された認証フローが必要です。2026年1月以降、通信情報デジタル省（Komdigi）の2026年第7号規制により、新しいSIM登録には人口データに基づいた顔認証チェックが義務付けられ、プリペイド番号は通信事業者ごとに1つの身分証明書につき3件までに制限されています。
本ガイドでは、送信元IDの登録、新しいSIMルールがOTPリスクに与える影響、加入者データを管理するデータ保護法、および認証ユーザーあたりのコストをどのように抑制するかについて説明します。最終更新日：2026年9月26日
主なポイント
- A2Pトラフィック用の送信元ID（SMSマスキング）は、通信事業者の配信ルートを通じて登録されます。5〜10営業日ほどかかります。
- 2026年1月19日に署名されたKomdigiの2026年第7号規制により、携帯電話加入者の登録にはNIK（国民識別番号）と顔認証による検証が必要となります。
- 通信事業者は、IoT、テスト、および特定の組織に対する狭い例外を除き、1つの身分証明書につき通信事業者ごとに3件を超えるプリペイド番号を登録することはできません。
- 加入者は、犯罪に悪用された番号を省庁の苦情ポータルを通じて報告できます。通信事業者は、悪用が証明された番号を停止しなければなりません。
- メッセージングスタック内の個人データは、2022年法律第27号（UU PDP）によって管理されており、その2年間の調整期間は2024年10月に終了しました。
- 最もコストの低いOTPは、初回で到達するものです。登録済みの送信者名、短いテンプレート、およびフォールバックチャネルの活用により、再試行を削減できます。
インドネシアでSMSの送信元ID（マスキング）を登録するにはどうすればよいですか？
インドネシアでは、ブランド名を表示する英数字の送信者は、通常、数字のロングナンバーとは対照的に「マスキング」送信者と呼ばれます。A2Pトラフィックの場合、送信者名はメッセージごとに自由に選択するのではなく、通信事業者の配信ルート（BroadNetのネットワークにおけるTelkomsel、Indosat Ooredoo Hutchison、XL Axiata、Smartfren（2025年4月にXLSMARTとして合併））を通じて登録されます。具体的な手順は以下の通りです：
- ブランドを明確に識別できる送信者名を選択し、当社の送信元IDバリデーターで確認してください。
- 活用事例（OTP、トランザクション通知、またはプロモーション）を説明してください。通信事業者がその名称の使用目的を審査するためです。
- ブランドと組織を結びつける企業書類を提出してください。必要書類の正確なリストは通信事業者によって異なるため、オンボーディング時にご確認ください。
- 到達する必要があるすべての通信事業者に対して、同じ名前を申請してください。あるネットワークで承認された名前が、他のネットワークに引き継がれることはありません。
- インドネシアの対応国・地域ページに記載されている通り、5〜10営業日を見込み、リリース前に各通信事業者でのテストを行ってください。
INFO、OTP、VERIFYといった汎用的な名前は推奨しません。これらはブランドとの紐付けができず、詐欺業者が模倣する典型的な名称であり、お客様が認証コードを信頼することを困難にします。送信者タイプの全体像については、送信元IDとはおよび送信元IDのなりすましをご参照ください。
Komdigi 2026年第7号規則によって何が変わるのでしょうか？
携帯電話ネットワークを介した電気通信サービス利用者の登録に関する、通信・デジタル事務大臣による2026年第7号規則は、2021年の電気通信規則における登録条項に代わるものです。本規則は2026年1月19日にジャカルタで署名され、公布と同時に施行されます。その目的は、SIM登録のための有効な人口データ確保、および携帯電話加入者に対する本人確認（KYC）原則の適用です。
| 規則 | 適用対象 | 施行日 | 出典 |
|---|---|---|---|
| NIKおよび生体認証データ（顔認証）による登録の検証 | 携帯通信事業者および新規加入者 | 公布時、2026年1月 | Permen Komdigi 7/2026 |
| 通信事業者のアプリまたはウェブサイト経由のセルフ登録では、認証コードを用いて番号を証明する必要があります。この認証コードは、SMS、電子メール、またはUSSDによって送信されるOTPとなる場合があります。 | プリペイドのセルフ登録 | 公布後 | 第7条 |
| 1つの身分証明書につき、1つの通信事業者あたり3番号までのプリペイド番号（例外：M2M/IoT、テスト、特定の組織 — 通信事業者の窓口を通じて） | 携帯通信事業者 | 公布時 | 第14条 |
| 犯罪に悪用された番号は、省のポータルサイトを通じて報告できます。通信事業者は、悪用が証明された番号を無効化しなければなりません | 加入者および通信事業者 | 公布時 | 第17条 |
| 通信事業者は加入者データに関して少なくともISO 27001認証を保持しなければならない | 携帯通信事業者 | 公布時 | 第13条(5) |
| 通信事業者は6か月以内にセルフ登録を導入するものとする。それ以前に登録された番号は引き続き有効である | 携帯通信事業者および既存の加入者 | 2026年中盤への移行 | 第32条 |
| 個人データは、同意を主な根拠として適法に処理される。管理者には遵守のための2年間の猶予が与えられた | インドネシアの加入者データを保有するすべての事業者 | 2022年10月17日制定 | UU No. 27 of 2022 (PDP)第74条 |
生体認証によるSIM登録は、OTPにとって何を意味するのでしょうか？
SMS OTPは、ある人物が電話番号を管理していることを証明します。その弱点は、その番号がいかに容易に入手されたり乗っ取られたりするかという点に常にありました。例えば、他人の身元で登録されたSIMや、詐欺キャンペーンのために大量に購入された新しいSIMなどが挙げられます。顔認証による検証、通信事業者ごとの1つの身元につき3番号までの制限、および悪用された番号を無効化するための正式な手続きにより、これらのリスクは軽減されます。
ただし、これによりSMSのOTPのリスクが完全になくなるわけではありません。SIMスワップやソーシャルエンジニアリングは、登録ではなく個人を標的にします。OTPメッセージは短く明確にし（「このコードを共有しないでください」）、コードをセッションに紐付け、再送試行回数を制限し、価値の高いアクションにはSMSのみに依存しないシグナルを組み合わせるようにしてください。詳細については、当社のOTPベストプラクティスおよびSIMスワップ対策に関する記事をご参照ください。
KomdigiはSMS詐欺に対してどのような対策を講じていますか？
規制当局によるこれまでの最も明確な手段は、2026年制定の規則第7号そのものです。これには、本人確認済みの登録、使い捨て番号の削減、そして加入者が省の苦情ポータルを通じて報告した場合、犯罪に使用されたことが証明された番号を通信事業者が停止させる義務が含まれています。送信者にとっての影響は実務的なものです。通信事業者は、未登録の、あるいは汎用的または類似した送信元IDを精査する十分な理由があるため、クリーンで登録済みのブランド名を使用することは、単なるコンプライアンスの問題ではなく、到達率の一部となります。
インドネシアへのOTPが高価な理由と、そのコストを削減する方法は？
単一のSMSの価格は、コストの一部に過ぎません。実際に支払うのは、認証済みユーザーあたりのコストです。つまり、各メッセージの価格に、1回のログインを成功させるために必要なメッセージ数を掛け合わせたものです。配信されなかった認証コード、再送、そして諦めてしまったユーザーのすべてがコストを押し上げます。そのため、最大の節約は通常、メッセージ単価を削ることではなく、配信と設計から生まれます。
| 施策 | 重要性 | 対策 |
|---|---|---|
| 登録済み送信元名 | 未登録または汎用的な送信元は、フィルタリングされたり不信感を持たれたりする可能性が高くなります | すべての通信事業者において、活用事例ごとに1つのブランド名を登録してください |
| テンプレートの長さとエンコーディング | 非GSM文字を使用するとUCS-2が強制され、セグメント数が2倍になる可能性があります | OTPは短く保ってください。GSM-7 / Unicode checkerで確認できます |
| 再送ポリシー | 過度な再送は、コストの増大と不正リスクへの露出を招きます | 最初の再送前には待機時間を設け、セッションごとの試行回数に上限を設定してください |
| チャネル構成 | WhatsAppをお持ちのユーザーはそこで認証可能です。SMSが失敗する場合、音声OTPが役立ちます | SMSへの自動フォールバックを備えたユーザーごとの配信ルート |
| 測定 | お支払いいただくのはメッセージ単位ではなく、認証済みユーザーあたりのコストです | OTPコスト見積もりでシミュレーションしてください |
現在のメッセージあたりの料金は、インドネシアSMS料金ページおよびWhatsApp料金ページに記載されています。MyOTPがルーティング、フォールバック、不正チェックを1つのAPIで処理するため、ボリュームの一部を別のチャネルに移行しても、ログインフローを再構築する必要はありません。
インドネシアでは、WhatsApp認証はSMS OTPよりも安価ですか？
一部の、WhatsAppを所有するユーザーにのみ適用されます。認証テンプレートの料金は、市場ごとにMetaによって設定され、時間の経過とともに変動するため、昨年の数値ではなく最新の料金表を比較してください。より大きなメリットは通常、コンバージョン率にあります。ユーザーがすでに開いているアプリに届く認証コードは、より迅速に入力される傾向があります。すべてのユーザーが認証に使用するスマートフォンにWhatsAppをインストールしているとは限らないため、汎用的なフォールバックとしてSMSを維持してください。
UU PDPはSMSデータにどのような要件を課していますか？
個人データ保護法（UU PDP）第27号（2022年制定）は、2022年10月17日に制定され、管理者には調整のための2年間の猶予が与えられました。この法律は、メッセージングスタックにおける電話番号、氏名、メッセージログの収集および処理方法を規定しています。同意が主要な法的根拠となり、データ主体は自身のデータに対して権利を有し、データの移転や漏洩への対応に関する規則も定められています。認証に必要なデータのみを保持し、メッセージログの保存期間を設定し、プロバイダーとの契約が代理での処理をカバーしていることを確認してください。
インドネシアにおけるOTPおよびSMSのコンプライアンス・チェックリスト
- 必要なすべての通信事業者において、ブランド固有の送信元IDを、OTP用とプロモーション用で個別に登録してください。
- OTPテンプレートは、単一のセグメントに収まる短さで、インドネシア語と英語で作成してください。
- OTPまたはトランザクションメッセージにプロモーションコンテンツを追加しないでください。
- 初回リトライ前の待機時間およびセッションごとの上限を設定する再送ポリシーを策定してください。
- フォールバックチャネル（WhatsApp認証または音声OTP）を追加し、認証済みユーザーあたりのコストを測定します。
- UU PDPに基づき、個人データの処理内容（法的根拠、保存期間、処理者契約）を照合します。
- SIMスワップにさらされるリスクの高いフローを検討してください。アカウント復旧や高額送金において、SMSのみに依存しないでください。
BroadNetによるインドネシアのトラフィック処理について
BroadNetは、Telkomsel、Indosat Ooredoo Hutchison、XL Axiata、Smartfren（2025年4月にXLSMARTとして合併）へ直接接続されており、通信事業者ルートを通じた送信元IDの登録をサポートしています。また、インドネシア語と英語を同等にサポートしています。インドネシアの規制ガイドでは、より広範なルールセットについて説明しています。
よくある質問
インドネシアでSMSの送信元ID（マスキング）を登録するにはどうすればよいですか？
携帯通信事業者のルートを通じて行います。ブランド固有の名前を選択し、活用事例を記載し、会社書類を提出した上で、到達したい各通信事業者に対して同じ名前を申請してください。申請から5〜10営業日程度を要するため、リリース前にすべてのネットワークでテストを実施してください。
なぜインドネシアへのOTPは高額なのですか？
支払う金額はメッセージ単位ではなく、認証されたユーザーあたりのコストだからです。配信されなかったコード、再送、およびログインの中断によってコストが増大します。メッセージ単価の交渉よりも、登録済みの送信元ID、短いシングルセグメントのテンプレート、適切な再送ポリシー、およびフォールバックチャネルを活用する方が、通常はより多くのコスト削減につながります。
インドネシアでは、WhatsApp認証はSMS OTPよりも安価ですか？
WhatsAppを所有しているユーザーにとっては安価になる可能性がありますが、Metaは市場ごとに認証価格を設定し、それらを変更するため、現在の料金表を比較してください。すべてのユーザーが認証中の番号でWhatsAppを所有しているとは限らないため、フォールバックとしてSMSを維持してください。
インドネシアでは汎用的な送信元IDは許可されていますか？
通信事業者はブランドと活用事例に基づいて送信元IDを審査するため、INFOやOTPのような汎用的な名前は推奨しません。これらはブランドに関連付けることができず、詐欺師が模倣するものであり、コードに対する顧客の信頼を低下させます。
ブランドや活用事例ごとに送信元IDの登録が必要ですか？
ブランド名はそれぞれ個別に登録し、OTPとプロモーション用のトラフィックは別の登録に分けてください。トラフィックを分離することで、マーケティングキャンペーンによって苦情が発生した場合でも、認証トラフィックを保護できます。また、これは通信事業者が活用事例を審査する方法とも一致しています。
Komdigi規制第7号（2026年）とは何ですか？
これは、2026年1月19日に署名された、携帯電話加入者登録に関する通信・デジタル庁の規制です。NIK（国民識別番号）と顔認証による検証を義務付けており、プリペイド番号の取得は通信事業者ごとに1人あたり3番号までに制限されます。また、犯罪への悪用が判明した番号については、通信事業者がその利用を停止することを義務付けています。
生体認証によるSIM登録は、OTP認証SMSにどのような影響を与えますか？
他人の身分証明書を用いた番号取得や、大量の番号取得を困難にし、電話番号と実在する個人との紐付けを強化します。ただし、SIMスワップやソーシャルエンジニアリングを完全に防ぐものではないため、「情報を共有しない」という警告、セッションバインディング、および再送制限を継続して実施してください。
UU PDPはSMSデータに関してどのような規定を設けていますか？
法律第27号（2022年）は、電話番号などの個人データを処理するための適法な根拠（通常は同意）を求めており、個人に対して自身のデータに関する権利を付与し、データの移転や漏洩に関する規則を定めています。2年間の調整期間は2024年10月に終了したため、本法律は全面的に適用されます。
出典
- Peraturan Menteri Komunikasi dan Digital Nomor 7 Tahun 2026 — JDIH Kemkomdigi — 2026年9月26日閲覧
- 個人データ保護に関する2022年第27号法律 — JDIH Kemkomdigi — 2026年9月26日閲覧
- 通信デジタル省 (Komdigi) — 2026年9月26日閲覧