ログインやパスワード再設定をしていないのに、SMS認証コードが届くことがあります。気になる通知ですが、それだけでアカウントが乗っ取られたとは判断できません。番号の入力ミス、過去の登録情報、第三者の試行など、複数の原因が考えられます。
まず行うこと
- コードを人に教えたり、転送したり、代わりに入力したりしないでください。正規のサポートがワンタイムコードの開示を求めるべきではありません。
- 突然届いたSMS内のリンクや電話番号は使わず、自分で公式アプリまたは既知のアドレスを開きます。
- メッセージに書かれたサービス名と、登録・ログイン・復旧のどれに関するものかを確認します。
- そのサービスのアカウントがあれば、最近の操作、ログイン端末、復旧方法を直接確認します。
身に覚えのないコードが届く理由
他人が番号を間違えた
登録時に一桁間違えるだけでも別の人にSMSが届きます。通知が一度だけで、アカウントにも異常がなければ、パスワード流出の証拠とはいえません。
古いアカウントとの紐付け
使っていないサービスにも、番号が連絡先や復旧先として残ることがあります。番号を最近取得した場合は、前の利用者の登録が残っているかもしれません。番号を手放す側の対策は再割り当てされた番号の対策ガイドを参照してください。
第三者によるログインや再設定の試み
番号を知っている人が復旧手続きを始めることはできます。コードの受信だけでは、パスワードを知られたこともログイン成功も証明できません。ただし通知の連続、見覚えのない端末、設定変更があれば調査が必要です。
偽のメッセージ
送信者名が本物らしくても、偽リンクや「コードを教えて」という電話につながる場合があります。「申請を取り消すため」と言われても伝えず、公式アプリで確認してください。
すぐにアカウントを保護すべきとき
公式の履歴に不明なログイン、パスワード変更、新端末、復旧用メールの変更があれば速やかに対応します。疑わしいパスワードを使い回しのないものに変え、不明なセッションを終了し、復旧設定を確認してください。利用できればパスキーや認証アプリも追加します。金融サービスなら公式窓口にも連絡しましょう。
コードをすでに伝えた場合
乗っ取りの可能性として扱います。SMSのリンクではなく公式サービスに直接アクセスし、ログインできるならパスワード変更、端末の確認、不正な復旧方法の削除を行います。関連するメールも保護してください。ログインできない場合は公式の復旧手続きを使います。
公開SMS受信箱で見たコードなら
公開受信箱には多くの人のメッセージが混在します。コードが見えても、そのアカウントの所有者ではありません。他人のコードを使わず、銀行や主なメールの長期的な復旧先にも設定しないでください。
よくある質問
一通届いたら乗っ取り確定ですか？
いいえ。まず公式アカウントのセキュリティ履歴を確認します。
SMS内の「取り消し」リンクを押すべきですか？
不審なリンクは開かず、公式アプリで操作してください。
すべてのパスワードを変えるべきですか？
一通だけで一律に変更する必要はありません。異常やパスワードの使い回しがあれば、該当するものを変えます。
まとめ
コードは秘密にし、公式サービスで状況を確かめ、ほかの警告があれば適切な対策を取ります。
