結論： まずアプリチャネルを使用し、SMSをセーフティネットとして保持してください。Telegramの公式Gateway APIを通じたTelegramコードのコストは、配信メッセージ1件につき0.01ドルです。WhatsApp認証メッセージは、配信時のみ、ユーザーの所在国のMetaの料金で課金されます。SMSはアプリの有無にかかわらず、あらゆる携帯電話番号に届くため、他の2つのチャネルが機能しない場合の登録完了のためのフォールバックとなります。これら3つのいずれもフィッシングを完全に防げるわけではないため、レート制限、コードの短い有効期限、番号チェックといったセキュリティ対策はすべて共通です。BroadNet OTPおよび姉妹ブランドのMyOTP.Appは、単一のAPIからこれらのチャネルを通じてコードを送信します。
事実は2026年10月23日時点で、Telegramのゲートウェイドキュメントおよび利用規約、MetaのWhatsApp料金および認証テンプレートドキュメント、NIST SP 800-63B-4、FBIのインターネット犯罪苦情センター（IC3）、GoogleおよびAppleの開発者ドキュメント、ならびにmyotp.appに基づき確認済みです。価格やルールは変更される可能性があるため、契約前に必ずリンク先の情報源を確認してください。
| 質問 | SMS OTP | WhatsApp OTP | Telegram OTP |
|---|---|---|---|
| 認証コードの届き方 | モバイルネットワークからのテキストメッセージとして | WhatsAppアプリ内の認証テンプレートとして | Telegramアプリ内のメッセージとして（必要に応じて認証済みのTelegramチャネルによる署名付き） |
| ユーザーはアプリをインストールする必要がありますか？ | いいえ、すべての携帯電話で利用可能です | はい、その電話番号でのWhatsAppアカウントが必要です | はい、その番号にTelegramアカウントがあること |
| 料金体系 | ネットワークへ送信されたメッセージごとに、対象の国および通信事業者の料金が適用されます | 配信されたメッセージごとに、ユーザーの国のMeta認証レートが適用されます | 配信されたコード1件につき$0.01。これはすべての国で共通です |
| コードの自動入力 | AndroidではSMS Retriever APIに対応。iOSおよびWebではワンタイムコードの自動入力に対応 | コードのコピー、ワンタップ自動入力、ゼロタップボタン | ユーザーがTelegramでコードを読み取る、またはコピーします |
| 設定可能なコードの有効期限 | 自社システムで設定 | 1〜90分 | 30〜3,600秒 |
| 主な不正リスク | SMSパンピングおよびSIMスワップ | WhatsAppアカウントの乗っ取り | Telegramアカウントの乗っ取り |
各OTPチャネルの仕組みは？
3つのチャネルはいずれも、ユーザーが電話番号を管理していることを証明する認証コードを配信するという点で共通しています。異なるのはその経路です。SMS OTPは、お客様のプラットフォームからユーザーの携帯通信事業者に送られ、スマートフォンのメッセージアプリに届きます。インターネット接続、アプリ、アカウントを必要としないため、依然として最も広いリーチを誇ります。WhatsApp OTPは、Metaの認証カテゴリにおける承認済みテンプレートを使用して、WhatsApp Businessプラットフォーム経由で送信されるメッセージです。Telegram OTPは、TelegramのGateway APIを通じて送信され、その電話番号に登録されているTelegramアプリに届きます。
WhatsApp認証テンプレート
Metaでは、認証テンプレートの文言は固定されています。コード、任意のセキュリティ文言（「セキュリティのため、このコードを共有しないでください。」）、および任意の有効期限通知のみが使用可能です。マーケティング用のテキストを追加することはできません。各テンプレートには3種類のボタンのいずれかが付随します。「コードをコピー」ボタンは、コードをクリップボードにコピーします。「ワンタップ自動入力」ボタンは、コードをAndroidアプリに直接渡します。Metaはこれを「推奨されるソリューション」と呼んでいます。Androidのみで利用可能な「ゼロタップ」テンプレートを使用すると、ユーザーがアプリを離れることなく、アプリがコードを受信できます。コードの有効期限は1分から90分の間で設定可能です（Meta、認証テンプレート）。
TelegramのGateway API
TelegramのGateway APIは、企業がTelegramユーザーに認証コードを送信するための公式な方法です。ユーザーの電話番号を使用してsendVerificationMessageにリクエストを行うと、Telegramが4〜8桁のコードを生成するか、お客様が提供したコードを送信します。コードの有効期間は30秒から3,600秒です。配信レポート（送信済み、配信済み、既読、期限切れ、または失効）は、お客様が提供するHTTPSコールバックアドレスに送信されます。また、お客様が所有する認証済みTelegramチャネルによってメッセージに署名を行い、ユーザーにブランドを表示させることも可能です。送信前に、checkSendAbilityがその番号でコードの受信が可能かどうかを通知します。確認が成功した場合はメッセージ1通分として課金され、その後の送信は無料となります。確認が失敗した場合は料金はかかりません（Telegram、Gateway APIリファレンス）。
各チャネルの料金は？
3つのチャネルは課金方法が異なるため、メッセージあたりの単価ではなく、認証完了1件あたりのコストで比較してください。
- Telegram: Telegramの製品ページには、配信されたコード1件につき$0.01と記載されており、設定した有効期限内に配信されなかったコードについては自動的に返金されます。支払いはプリペイドクレジットで行い、TelegramではTONでの支払いが可能であると記載されています。利用規約には、クレジットの購入は確定であり、それ以外の場合はメッセージ送信時に料金が発生することが明記されているため、予算を立てる前に両方のページを確認してください (Telegram, Gateway利用規約)。
- WhatsApp: Metaは2025年7月1日より、配信されたメッセージごとに料金を請求しています。料金はテンプレートのカテゴリおよびユーザーの電話番号の国番号によって異なり、月間の送信ボリュームに応じて認証レートが段階的に変動します。2026年10月1日にMetaが導入したサービスメッセージ料金は、認証テンプレートには適用されません (Meta, 料金)。
- 海外拠点の送信者向けのWhatsApp: お客様の事業拠点がユーザーの所在国と異なり、移動30日間において、その市場のユーザーに対しカスタマーサービスウィンドウ外で750,000件を超えるメッセージを送信する場合、Metaはより高い国際認証レートを適用します。2026年10月1日以降、この対象はサウジアラビア、UAE、エジプト、イラク、クウェート、オマーンを含む18の市場に及びます (Meta, 国際認証レート)。
- SMS: ネットワークに送信されたメッセージごとに、送信先の国および通信事業者のレートに基づいて料金が発生します。料金は国によって大きく異なるため、OTPの料金ページおよび、対象となる市場の国別のSMSレートを確認してください。
以下の計算例は仮定のものです。これは計算方法を示すための概算価格であり、実際の国のレートではありません：メッセージ1件あたり$0.040のSMS、配信されたメッセージ1件あたり$0.0135のWhatsApp（BroadNetのWhatsAppリストレート）、および配信されたコード1件あたり$0.01のTelegramを使用しています。各戦略では1,000件のコードを送信し、アプリチャネルで到達できなかったユーザーには代わりにSMSが送信されます。
| 戦略（仮定） | アプリチャネルで送信されたコード | SMSで送信されたコード | 1,000ユーザーの総コスト |
|---|---|---|---|
| SMSのみ | 0 | 1,000 × $0.040 = $40.00 | $40.00 |
| 最初にWhatsApp、60%がWhatsAppで配信 | 600 × $0.0135 = $8.10 | 400 × $0.040 = $16.00 | $24.10 |
| Telegram優先、番号の50%がTelegramで到達可能 | 500 × $0.01 = $5.00 | 500 × $0.040 = $20.00 | $25.00 |
実際の成果を左右する要素は2つあります。各国の各アプリにおいて、ユーザーがどれだけ到達可能な状態にあるか、そしてどれだけ迅速にSMSへ切り替えるかです。弊社のWhatsAppとSMSのOTPコストガイドでは、国別の損益分岐式を提供しており、OTPコスト見積もりでは、お客様独自のボリュームに基づいた計算が可能です。
どのチャネルがより確実に配信できますか？
SMSはアクティブな携帯電話番号のみを必要とするため、最も多くの人々にリーチできますが、配信は配信ルートに依存します。登録済みの送信元IDを使用し、通信事業者との直接接続を通じて送信されるコードは、迅速に到着し、配信レポートが返されます。一方、グレールート経由のコードは、予告なくフィルタリングされる可能性があります。WhatsAppとTelegramはインターネット経由で配信されるため、例えば海外旅行中などでユーザーがモバイル信号を受信できない場合でも、Wi-Fi経由で利用可能です。ただし、その番号でアカウントを持っていない場合、アプリを削除している場合、またはコードの有効期限が切れるまでオフラインである場合には、配信に失敗します。
だからこそ、チャネルよりも配信ステータスが重要になります。MetaはWhatsAppメッセージの送信済み、到達済み、既読のステータスをレポートし、Telegramも同様のステータスをコールバックアドレスに送信します。ユーザーが新しいコードを要求するのを待つのではなく、これらのシグナルを活用してSMSを送信するタイミングを判断してください。
どのチャネルが最も安全ですか？
どのOTPチャネルもフィッシングに対して完全な耐性があるわけではありません。偽のウェブサイトでユーザーにコードを入力させてしまうと、攻撃者はそれを利用できてしまいます。違いは、攻撃者がどのようにコードを傍受できるかにあります。
- SMSとSIMスワッピング。 通信事業者を説得して被害者の番号を新しいSIMカードに移行させた攻撃者は、被害者のテキストメッセージを受信できるようになります。FBIのインターネット犯罪苦情センター（IC3）によると、2021年には1,611件のSIMスワッピングに関する苦情が記録されており、調整後の損失額は6,800万ドル以上に達しています (FBI IC3)。米国国立標準技術研究所（NIST）は、電話ネットワーク経由のOTPを「制限付き」の認証器として分類しています。サービスは引き続きこれを利用できますが、制限のない代替手段をユーザーに提供し、リスクを説明する必要があります (NIST SP 800-63B-4)。
- WhatsAppとTelegram。 コードは携帯通信ネットワーク経由ではなくアプリ内で伝送されるため、SIMスワップだけでは既存のセッションは露呈しません。リスクはアプリのアカウント自体に移ります。攻撃者がユーザーのWhatsAppまたはTelegramアカウントを登録または乗っ取った場合、コードは攻撃者に届いてしまいます。両方のアプリが提供している2段階認証を有効にするようユーザーに促してください。
- オートフィルにより、すべてのチャネルでフィッシングが減少します。 AndroidのSMS Retriever APIは、アプリの11文字のハッシュを含むコードを読み取ります。また、Appleのドメインに紐付けられたコードは「@example.com #123456」のような行で終わるため、コードは実際のウェブサイトまたはアプリ上でのみ提案されます (Google, Apple)。WhatsAppのワンタップおよびゼロタップボタンも、Androidアプリ内で同様のメリットを提供します。
支払口座の変更など、価値の高いアクションについては、コードだけに依存しないチェックを追加してください。NISTは、コードを送信する前に、最近のSIM変更や番号ポータビリティなどのリスクシグナルを確認することを推奨しています。当社のSIMスワップ詐欺およびOTPセキュリティ標準に関するガイドでは、これらの制御について詳細に説明しています。
SMSパンピング詐欺についてはどうですか？
SMSパンピング（人工的にトラフィックを膨らませる行為）は、ボットが詐欺師の管理下にある電話番号（多くの場合、通信コストの高い国・地域）を登録フォームに入力することで発生します。送信されるコードごとに、詐欺師は着信料金の一部を受け取ることができます。アプリのチャネルはこの状況を変えます。WhatsAppおよびTelegramの料金はMetaとTelegramに支払われるため、そのような支払いモデルは成立しません。また、送信前にTelegramのcheckSendAbilityを使用することで、その番号が本物のTelegramアカウントであるかを確認できます。しかし、送信するコードには依然としてコストがかかるため、ボットによって請求額が高騰するリスクは残ります。すべてのチャネルにおいて、番号ごと、IPアドレスごと、国ごとのレート制限、フォームでのボット対策、HLRルックアップによる番号検証、および特定の国へのトラフィックが急増した際のアラートなど、一貫した制御を維持してください。詳細については、当社のSMSパンピングガイドをご覧ください。
二重支払いを防ぐフォールバックを構築するには？
- 国ごとに最初のチャネルを選択する。 その国のユーザーが最も多く利用しており、認証完了あたりのコストが最も低いチャネルから開始してください。WhatsAppのコストが現地のSMSよりも高い場合は、SMSから開始します。
- 送信前に確認する。 Telegramの場合、checkSendAbilityを呼び出してそのリクエストIDを送信時に渡すことで、確認とメッセージのコストを合算して1回分に抑えることができます。WhatsAppの場合、Metaは配信されたメッセージに対してのみ料金が発生するため、まずWhatsAppを試行しても、WhatsAppアカウントを持っていないユーザーに対してコストは発生しません。
- 固定のタイマーではなく、配信ステータスを待つ。 設定した短い時間（例：10〜20秒）以内にアプリチャネルから「delivered（配信済み）」のレポートがない場合は、SMSを送信してください。
- チャネル間で同一のコードを使用する。 フォールバックチャネルでも、同じ有効期限を持つ同じコードを送信してください。これにより、遅れて届いたWhatsAppまたはTelegramのメッセージとSMSの両方が機能し、ユーザーが2つの異なるコードによって混乱することを防げます。
- コードが使用されたら、もう一方のチャネルを停止する。 Telegramを使用すれば、まだ配信されていないメッセージを取り消すことができます（ただし、取り消されたコードの料金は返金されません）。自社システム内でコードを使用済みとしてマークし、2回入力できないようにしてください。
- 最終ステップとして音声を提供する。 テキストメッセージを受信できないユーザーには、音声OTP通話でコードを読み上げることができます。
MyOTPとBroadNet OTPはどのように連携しますか？
MyOTP.Appは、BroadNetグループのセルフサービス型OTP APIです。myotp.appによると、1つのAPIキーと1つのクレジット残高を使用して、SMS、WhatsApp、およびTelegram経由でコードを送信でき、各リクエストの単一フィールドでチャネルを選択できます。TelegramコードはTelegram Gateway APIを経由し、ユーザーがTelegramを利用していない場合は自動的にSMSへフォールバックします。MyOTPの料金ページには、Starterプランが月額20ドル、Businessプランが月額25ドルと記載されており、コードの確認は無料です。詳細は、当社のMyOTP製品ページをご覧ください。
BroadNet OTPは、大量送信者向けの法人向けサービスです。通信事業者との直接接続を介してSMSを送信し、自動フォールバック、電話番号バリデーション、および番号ごとやIPアドレスごとのレート制限などの不正防止コントロール機能を提供します。WhatsAppコードについては、BroadNetは公式のMeta Business Solution Providerであり、当社のWhatsApp Business APIが認証テンプレートとその承認を管理します。
よくある質問
WhatsApp OTP認証はSMS OTP認証よりも安価ですか？
多くの場合において安価ですが、すべての地域でそうとは限りません。Metaは、国ごとに設定された料金で、配信された認証メッセージごとに課金されます。一方、SMSの料金は国や通信事業者によって異なります。各市場におけるこれら2つの料金を比較し、さらにWhatsAppメッセージを受信できなかったユーザーへのSMS送信コストも考慮に入れてください。
Telegram OTP認証の料金はいくらですか？
TelegramのGateway APIは、配信されたコード1件につき$0.01で、すべての国で共通の料金であり、プリペイドクレジットから支払われます。送信可否チェックは、番号がコードを受信できる場合にのみ課金され、その後の送信は無料となります。Telegramのドキュメントによると、有効期限内に配信されなかったコードは自動的に返金されます。
TelegramのGateway APIは公式ですか？
はい。Telegramはcore.telegram.org/gatewayにて、Gateway API自体を公開・運用しています。コードはTelegramアプリ内に届き、ご自身で所有する認証済みのTelegramチャンネルによって署名を行うことで、ユーザーにブランドを表示させることが可能です。
NISTのガイドラインにおいて、SMS OTP認証は引き続き許可されていますか？
はい。2025年7月に公開されたNISTのSP 800-63B-4では、電話ネットワーク経由のOTPを制限付きの認証手段として分類しています。これを利用するサービスは、制限のない代替手段を少なくとも1つ提供し、ユーザーにリスクを通知し、将来的にこれが受け入れられなくなる可能性に備える必要があります。
WhatsAppのOTPは、コードを自動入力できますか？
はい、Androidでは可能です。ワンタップのオートフィル機能により、1タップでコードをアプリに渡すことができます。また、ゼロタップのテンプレートを使用すれば、タップ操作なしでアプリにコードを届けることができます。iPhoneについては、MetaのドキュメントによるとiOS 26以降ではキーボードからコードの提案が可能ですが、それ以前のiOSバージョンの場合はコピーボタンを使用してください。
ユーザーがWhatsAppまたはTelegramを持っていない場合はどうなりますか？
メッセージを配信できないため、代わりにSMSでコードを送信してください。TelegramのcheckSendAbilityにより、その番号がコードを受信できるかどうかを事前に確認でき、受信できない場合は料金が発生しません。WhatsAppを利用すれば、未配信のメッセージに対して料金は発生しないため、配信レポートが届かない場合はすぐにSMSに切り替えることができます。
WhatsAppとTelegramのOTPは、SMSパンピングを阻止できますか？
これらはSMSにおけるパンピングの要因となる着信手数料の支払いを排除しますが、完全に防げるわけではありません。ボットが実アカウントに対して認証コードをリクエストし、料金を増大させる可能性は依然としてあり、SMSのフォールバックも標的となる可能性があります。すべてのチャネルにおいて、レート制限、ボット対策、および国別アラートを常に適用してください。
銀行はどのOTPチャネルを使用すべきですか？
銀行には通常、最も広い到達範囲と明確な監査証跡が必要となるため、通信事業者との直接接続によるSMSを基本チャネルとし、顧客が好む場合にはWhatsAppをオプションとして利用するのが一般的です。まず、中央銀行の規則を確認してください。一部の規制当局は決済に対して追加の要素を要求しており、当社の銀行向けOTP規則に関するガイドでは、複数の市場を網羅しています。
出典
- Telegram、Gateway APIの概要、APIリファレンス、および利用規約、2026年10月23日閲覧。
- Meta for Developers、認証テンプレート、料金、および認証の国際料金、2026年10月23日閲覧。
- NIST、SP 800-63B-4、Digital Identity Guidelines: Authentication and Authenticator Management、2025年7月。
- FBIインターネット犯罪苦情センター、SIMスワップに関する公的通知、2022年2月8日。
- Google、SMS Retriever API：認証メッセージの構成方法; Apple、ドメインに紐付けられたSMSコードの自動入力機能、2026年10月23日閲覧。
- MyOTP.App、ホームページ、料金およびTelegram OTP、2026年10月23日閲覧。
到達率を落とさずに認証コストを削減したいですか？BroadNetの営業担当に相談して、自動フォールバックを備えたSMSおよびWhatsApp経由のOTPについて、またはMyOTP.Appから開始して、今日からSMS、WhatsApp、Telegram経由で最初の認証コードを送信しましょう。