「ワンタイムパスワードを教えて」と言われたら？確認したい6つのこと

銀行や通販サイト、SNSなどでは、ログインや重要な手続きのときにワンタイムパスワードや認証コードが送られてくることがあります。

便利な仕組みですが、警察庁やIPAは、フィッシングや遠隔操作などでワンタイムパスワードを聞き出し、多要素認証を突破しようとする手口に注意を呼びかけています。

今回は、「ワンタイムパスワードを教えて」と言われたときに確認したい6つのことを整理します。

1．ワンタイムパスワードは他人に教えない

ワンタイムパスワードは、本人確認のために一時的に発行される重要な認証情報です。

電話やチャットで「本人確認のため」「手続きを完了するため」などと言われても、他人へ伝えないようにします。

相手が有名企業や金融機関を名乗っていても、その場で教えないことが基本です。

2．自分が今、何の操作をしているのか確認する

自分でログインや振込、パスワード変更などを始めていないのに認証コードが届いた場合は、不正な操作が進んでいる可能性を考えます。

「なぜ今このコードが届いたのか」が分からないときは、入力したり伝えたりせず、一度操作を止めます。

3．メールやSMSのリンクではなく、公式サイト・公式アプリから確認する

警察庁は、フィッシングでは偽メールやSMSから偽サイトへ誘導し、ID・パスワードやワンタイムパスワードなどを盗む手口があると案内しています。

確認するときは、届いたメッセージのリンクをそのまま開くのではなく、普段使っている公式アプリや、事前に登録した公式サイトからアクセスします。

4．遠隔操作中なら、ネットバンキング等へログインしない

IPAは、遠隔操作画面を通じてスマートフォンに届いたワンタイムパスワードを読み取られ、多要素認証を突破される可能性があると案内しています。

サポートを名乗る相手などに画面共有や遠隔操作をさせている状態では、銀行やカード、証券など重要なサービスへログインしないようにします。

5．教えてしまった場合は、すぐにパスワード変更と利用状況の確認をする

ワンタイムパスワードを伝えてしまった、偽サイトに入力したかもしれないという場合は、そのまま様子を見ないようにします。

公式サイト・公式アプリからパスワードを変更し、ログイン履歴や取引履歴、決済明細などに身に覚えのない操作がないか確認します。

不正送金や不正利用が疑われる場合は、銀行・カード会社などの公式窓口へ早めに連絡します。

6．認証方法を多要素認証・パスキーなどへ見直す

警察庁は、ワンタイムパスワードや指紋・顔認証などの認証方法を活用するよう案内しています。

利用しているサービスで、パスキーやより強い多要素認証が用意されている場合は、設定を確認します。

あわせて、ID・パスワードの使い回しも避けます。

認証コードは「相手を信用する材料」ではなく「自分を守る鍵」

ワンタイムパスワードは短時間で使えなくなるため、安全に見えるかもしれません。

しかし、第三者に伝えれば、その短時間のうちに不正ログインや不正送金へ使われるおそれがあります。

教えない、操作目的を確認する、公式経路から確認する、遠隔操作中はログインしない、漏らしたらすぐ対応する、認証を強化する。

この6つを覚えておくと、不審な認証コード要求にも対応しやすくなります。

参考

• 警察庁「フィッシング対策」
• IPA「情報セキュリティ安心相談窓口の相談状況［2025年第1四半期］」

あわせて読みたい

• 「カードが不正利用されました」というメールが来たら？フィッシングで確認したい7つのこと
• 「遠隔操作アプリを入れて」と言われたら？副業・投資勧誘で確認したい6つのこと
• 「個人情報が漏えいした可能性があります」と通知が来たら？確認したい6つのこと
• 「税務署からのお知らせ」が届いたら？e-Taxを装う不審メール・SMSで確認したい6つのこと

※すでに認証情報を伝えた、不正送金・不正利用が疑われるなどの場合は、利用している金融機関・カード会社・サービス事業者の公式窓口へ早めにご相談ください。