026年の主要な基準において、SMSワンタイムパスワードは禁止されているのではなく、制限されています。NIST SP 800-63B-4（2025年7月）では、プロバイダーが代替手段を提供し、リスクを説明する場合に限り、SMSおよび音声コードをAAL2で引き続き許可される「制限付き」認証要素として分類していますが、AAL3では許可されていません。PSD2の下では、欧州銀行監督局（EBA）はSMS OTPを所有要素として認めています。PCI DSS 4.0.1では、SMSの名称には触れずに、リプレイ耐性があり、バイパス不可能なMFAを要求しています。インドのRBIは、2026年4月1日からSMS OTPを明示的に維持しました。実際の制限はより限定的です。シンガポール、香港、マレーシア、UAE、フィリピンの銀行は、ログインや高リスクな取引を、アプリまたはデバイスに紐付けられた認証へと移行させました。以下の各要件は、その情報源へのリンクとなっています。
「報告」と記されている場合を除き、2026年10月22日時点で公式テキストに基づき確認済みです。本ページは製品およびセキュリティチーム向けのルールをまとめたものであり、法的助言ではありません。
ルールの概要
| 基準または規制当局 | SMS OTPのステータス | 主な要件 | 日付 |
|---|---|---|---|
| NIST SP 800-63B-4 (US) | 制限あり。AAL2では許可されていますが、AAL3では許可されていません | 代替手段を提示し、ユーザーにリスクを伝え、評価を行ってください。コードは1回限り使用可能、少なくとも6桁、有効期限は10分間です。 | 2025年7月 |
| CISAガイダンス (US) | 標的型攻撃の対象となる可能性が高いユーザーに対しては、推奨していません | 幹部職員をフィッシング耐性のあるFIDOへ移行する | 2024年12月18日 |
| PSD2 SCAに関するRTS (EU) | 占有要素として認められる | 単回使用コード、金額および支払人とのダイナミックリンキング、複製防止 | 2019年9月14日より適用 |
| PSD3 / PSR (EU) | SMSに特化したルールは見つかりませんでした | 未施行 | 2026年10月現在、保留中 |
| PCI DSS 4.0.1 | 名称未定 | CDEへのすべてのアクセスに対するMFA。リプレイ耐性を備え、バイパス不可、2つの認証要素が必要 | 2025年3月31日より義務化 |
| MAS（シンガポール） | 銀行ログインにおいて段階的に廃止 | デジタルトークンを持つ顧客は、SMS OTPを使用せずにログイン可能 | 2024年7月より |
| HKMA（香港） | デフォルトでデバイスを紐付け | ログインおよび高リスク取引は紐付け済みデバイスで行う。アプリがない場合はSMSを使用 | 2025年（Q3–Q4目標） |
| 香港のSFC（ブローカー、仮想資産） | ログインやデバイスの紐付けには使用不可 | パスキーまたは紐付け済みデバイス | 2027年7月8日まで |
| BNM（マレーシア） | 移行が必要です | より安全な認証への移行 | 2022年9月26日発表 |
| CBUAE（UAE）（報告済み） | 銀行のOTP向けに段階的に廃止 | アプリ内認証への移行 | 2025年7月25日 – 2026年3月31日 |
| RBI（インド） | 許可 | 2つの要素、1つはダイナミック。SMS OTPは廃止されません | 2026年4月1日から |
| BSP通達1213（フィリピン） | 大規模機関向けに制限 | 高リスクの場合は生体認証、行動認証、またはパスワードレス。SMS内にリンクは含めない | 2026年6月までのコンプライアンス対応 |
NIST SP 800-63B-4：制限対象（禁止ではない）
NISTは、800-63-3に代わる最終的なSP 800-63B-4を2025年7月に公開しました。これにより、公衆電話網を介して送信されるワンタイムコード（SMSまたは音声）は、**制限対象の認証器**（セクション3.2.9）として扱われます。これを使用するプロバイダーは、制限対象ではない代替手段を少なくとも1つ提供し、ユーザーに対してリスクに関する適切な通知を行い、リスクアセスメントにおいてそれらを考慮し、移行計画を保持しなければなりません。もしリライイング・パーティ（信頼する当事者）がリスクを許容できないと判断した場合は、それを使用してはなりません。
- **保証レベル：** アウトオブバンド（OOB）コードは、パスワードまたは生体認証と組み合わせることでAAL2では許可されますが、フィッシング耐性のある暗号認証器を必要とするAAL3では許可されません。AAL2の検証者は、少なくとも1つのフィッシング耐性のあるオプションを提供する必要があります。
- **コードのルール：** 承認された乱数生成器による少なくとも6桁の数字とし、一度のみ受け付け、有効期限は10分以内とします。100回連続で試行に失敗した場合はロックしてください。
- **リスクシグナル：** コードを送信する前に、検証者はデバイスの変更、SIMの変更、および番号ポータビリティをチェックすべきです（これは「shall（義務）」ではなく「should（推奨）」です）。
- **Eメール**は、アウトオブバンド認証器として使用してはなりません。
SIMの変更およびポータビリティのチェックについては、Number VerifyおよびSIMスワップAPIとSIMスワップ詐欺対策を参照してください。
CISA: 高度にターゲット化された人々を対象
CISAのモバイル通信ベストプラクティスガイダンス（2024年12月18日付）では、「認証の第2要素としてSMSを使用しないでください」と述べています。これは、SMSが暗号化されておらず、「フィッシング耐性がなく、そのため高度にターゲット化された個人のアカウントに対する強力な認証にはなり得ない」ためです。その対象は政府高官や政治家であり、フィッシング耐性のある唯一の方法としてFIDOを推奨しています。これはガイダンスであり、消費者向けサービスに対する規則ではありません。
EU: PSD2はOTP認証SMSを認めています。PSD3はまだ法制化されていません。
2019年9月14日から適用されている強力な顧客認証に関する規制技術基準（委任規則 (EU) 2018/389）は、決済に使用されるあらゆるワンタイムコードの基準を定めています：
- **第4条：** 認証コードは一度しか受け入れられず、偽造することはできません。ブロックされるまでに、最大5回までの連続した試行失敗が許容されます。ログイン後、最大5分間の無操作状態が許容されます。
- **第5条（ダイナミック・リンキング）:** 支払者には金額と受取人が表示され、コードはそれらに固有のものである必要があります。いかなる変更もコードを無効にします。
- **第7条：** 所持要素には、不正使用および複製に対する対策が必要です。
- **第9条：** 各要素は独立していなければなりません。電話のような多目的デバイスにおいては、分離されたセキュアな実行環境と改ざん検知が求められます。
EBAは、Q&A 2018_4039において、複製に対して保護されている場合、SMS OTPは所有要素になり得ると確認しています。また、2019年6月の見解では、SMSを介したOTPを有効な所有要素として挙げています。PSD3と決済サービス規則は2025年11月に政治的合意に達しましたが、2026年10月22日現在、最終的な採択と公布を待っている状態です。合意されたテキストの中に、SMS OTPを対象とした規定は見当たりませんでした。
PCI DSS 4.0.1: SMSについての言及なし
PCI DSS 4.0.1では、カード保持者データ環境へのすべてのアクセスに対して多要素認証を要求しており（要件8.4.2）、MFAの動作方法を規定しています（8.5.1）。具体的には、リプレイ攻撃への耐性、文書化された期間限定の例外なしにはバイパス不能であること、少なくとも2つの異なる要素タイプを使用すること、およびすべての要素の成功が必須であることが求められます。これらは両方とも2025年3月31日に義務化されました。本規格はSMSを禁止していません（報告された文言であり、規格自体はライセンス制限があります）。PCI SSCのMFA情報補足資料では、SMSに関するNISTの以前の警告についてのみ言及しています。
アジア太平洋地域の規制当局
- **シンガポール：** MASとシンガポール銀行協会は2024年7月9日、デジタルトークンを保有する顧客に対し、主要なリテール銀行がログイン用のOTPを3か月以内に段階的に廃止することを発表しました（MASのリリース）。物理トークンを保有する顧客は影響を受けません。
- **香港（銀行）:** HKMAの2025年4月14日付の回覧により、ログインおよび高リスク取引において、SMS OTPに代わり、バインド済みデバイスがデフォルトとなります。2025年第3四半期および第4四半期に目標が設定されています。アプリを保有していない顧客、またはオプトインした顧客については、引き続きSMS OTPが可能です（HKMAの回覧）。
- **香港（ブローカーおよび仮想資産プラットフォーム）:** SFCの2026年7月9日付の回覧26EC35により、2027年7月8日までに、顧客のログインおよびデバイスバインディングにおいて、パスキーまたはバインド済みデバイスを優先するため、OTPが禁止されます。
- **マレーシア：** マレーシア中央銀行は、金融機関に対し、SMS OTPからより安全な認証への移行を要求すると2022年9月26日に発表しました（BNM）。
- **インド：** RBIの「デジタル決済取引のための認証メカニズムに関する指針、2025年」では、2026年4月1日から、1つの動的要素を含む二要素認証が義務付けられます。RBIは、この枠組みについて「SMSに基づくOTPの中止を求めるものではない」と述べています (RBI)。
- **フィリピン：** 2025年5月に署名されたBSP通達1213では、大規模な金融機関におけるSMS OTPのような傍受可能な認証が制限されます。高リスクの取引には生体認証、行動認証、またはパスワードレス方式が必要となり、SMSにおけるリンクやQRコードの使用も禁止されます。コンプライアンス対応の期限は2026年6月までです (BSP)。
湾岸諸国
UAEでは、中央銀行の通知によると、2025年7月25日から2026年3月31日の間に、銀行は顧客の認証手段をSMSやメールによるOTPからアプリ内認証へと移行させました。公開されているCBUAEの本文は確認できていません。UAEの非銀行系送信者は、依然としてSMS OTPを広く利用しています。銀行による禁止後のSMS OTPおよびA2Pのメッセージング規制タイムラインをご参照ください。
よくある誤解
- **「NISTがSMSを禁止した。」** いいえ。SMSは制限付きの認証手段であり、条件付きでAAL2において許可されており、AAL3においてのみ除外されます。
- **「PSD2はSMS OTPを禁じている。」** いいえ。EBAはそれを所持要素として受け入れています。厳格な要件は、ダイナミックリンキング（動的紐付け）および複製に対する保護です。
- **「PCI DSS 4.0はSMS MFAを禁止している。」** いいえ。リプレイ耐性があり、バイパス不可能なMFAが求められていますが、SMSについては明記されていません。
- **「CISAは、全員にSMSの使用を停止するよう指示した」**。これは誇張です。このガイダンスは、政府や政治関係者などの特定の個人を対象としています。
- **「PSD3はすでに法律である」**。2026年10月22日時点では、まだ法律ではありません。
- **「インドはSMSのOTPを段階的に廃止している」**。いいえ。RBIは、その廃止を明示的に求めていません。
- **「シンガポールはSMSのOTPを禁止した」**。より正確には、デジタルトークンを持つ顧客向けの銀行ログインが対象です。
これらの基準を満たすOTP認証SMSのためのチェックリスト
- 暗号学的に安全な乱数生成器から少なくとも6桁のコードを生成すること。各コードは一度のみ受け付け、10分以内に失効させること（決済の場合は5分が一般的です）。
- 試行回数の制限：5回連続で失敗した場合、PSD2がブロックされます。NISTでは、ロックアウトまでに最大100回まで許可されます。
- EUでの決済については、メッセージ内に金額と受取人を表示し、コードをそれらに紐付けること（ダイナミックリンキング）。
- リスクの高いセッションに認証コードを送信する前に、SIMの変更および番号ポータビリティのシグナルを確認してください。
- 少なくとも1つのより強力な代替手段（アプリプッシュ、パスキー、FIDO）を提示し、SMSをフォールバックおよびリカバリチャネルとして維持してください。
- OTPのトラフィックはトランザクション用途に限定してください。認証コードのメッセージにリンクや特典を含めないことで、マーケティングの送信禁止時間帯やリンクブロックの対象外にすることができます。
- SMSファイアウォールによって保護された、監視済みの通信事業者との直接接続ルート経由で送信することで、認証コードの傍受、遅延、またはSMSパンピングを防ぎます。
BroadNetのOTP APIは、マルチチャネルのフォールバックを備えた1,000以上の通信事業者との直接接続を通じてコードを配信します。詳細は、マルチチャネルでのOTP認証、SMS OTPからパスキーへ、および通信事業者向けのSMSファイアウォールとSS7保護をご覧ください。
よくある質問
2026年でもOTP認証SMSは引き続き許可されますか？
はい、ほとんどの規格において許可されます。NIST SP 800-63B-4は制限付きではあるもののAAL2では許可されており、PSD2は所有要素として受け入れています。また、PCI DSSはこれを禁止しておらず、インドのRBIもこれを維持しました。シンガポールのMAS、香港のHKMA、フィリピンのBSPを含む一部の規制当局は、銀行へのログインやリスクの高い取引をより強力な方法へと移行させています。
NISTはSMSの二要素認証を禁止しましたか？
いいえ。NISTのSP 800-63B-4（2025年7月）では、SMSおよび音声コードを制限付き認証器として分類しています。プロバイダーは、制限のない代替手段を提供し、リスクを説明した上で評価を行わなければなりません。SMSはAAL2では許可されていますが、フィッシング耐性のある認証器が求められるAAL3では許可されていません。
OTP認証SMSはPSD2に準拠していますか？
準拠可能です。EBAのQ&A 2018_4039では、複製に対して保護されている場合に限り、SMSのOTPを所持要素として認めています。また、決済においては、強固な顧客認証に関するRTS第5条に基づき、コードを金額および受取人と動的に紐付ける必要があります。
PCI DSS 4.0では、MFAにSMSを使用できますか？
PCI DSS 4.0.1では、SMSを特定したり禁止したりはしていません。2025年3月31日から義務化される要件8.4.2および8.5.1では、カード保持者データ環境へのすべてのアクセスに対して、リプレイ攻撃に耐性があり、バイパス不能で、少なくとも2つの異なる要素タイプを使用するMFAを要求しています。
SMSのOTPの有効期限はどのくらいにすべきですか？
NISTのSP 800-63B-4では10分以内とし、各コードは一度しか使用できません。多くの決済フローでは、PSD2の無操作制限に従い、5分以内としています。
銀行業務において、どの国がSMS OTPを制限していますか？
シンガポール（銀行ログイン、デジタルトークンを利用する顧客向け、2024年から）、香港（2025年までに銀行ログインおよび高リスク取引においてデフォルトでデバイスを紐付け、2027年7月までにブローカーに適用）、マレーシア（2022年から移行が必要）、UAE（報告によれば、2026年3月までに銀行のOTPがアプリ内へ移行）、フィリピン（2026年6月までに大手金融機関での高リスク取引に適用）。
PSD3は施行されていますか？
2026年10月22日時点では施行されていません。PSD3と決済サービス規則（Payment Services Regulation）は2025年11月に政治的合意に達しており、現在は最終的な採択および官報での公示を待っている状態です。
SMSでOTP認証SMSを送信する最も安全な方法は何ですか？
数分以内に期限が切れる少なくとも6桁のランダムな数字からなる使い捨てコードを使用し、試行回数を制限してください。また、リスクのあるセッションに対してSIMスワップやポータビリティのシグナルを確認し、メッセージにはリンクを含めないようにします。さらに、より強力な認証方法を併用した上で、SMSファイアウォールによって保護された通信事業者との直接接続ルートを通じて配信してください。