結論: ネットのサービスで「本人であること」を確かめる方法は、SMSに届く認証コード（電話番号）だけではありません。この記事では、電話番号に頼らない本人確認の代表であるパスキー・認証アプリ・マイナンバーカード（スマホのマイナンバーカードを含む）が何をしているのかを、FIDO Alliance・Apple・Google・デジタル庁などの公式の説明で整理します。あわせて、どの方法でも共通する「電話で聞かれても絶対に教えないもの」と、電話番号がそれでも残る理由を説明します。
なぜ多くのサービスが電話番号を求めるのか
携帯電話の番号（090・080・070）は、一人が一つ持っていることが多く、SMSで短いコードを送れば「その番号のスマホを今持っている人」を手軽に確かめられます。そのため、会員登録やログインの確認にSMS認証が広く使われています。
ただし、SMS認証には弱点もあります。頼んでもいない認証コードが届いたときの見分け方は頼んでいないSMS認証コードが届いたら、コードが盗まれる手口は二段階認証のSMSコードが盗まれる4つの手口、電話番号そのものを乗っ取られる攻撃はSIMスワップ詐欺で詳しく書いています。この記事では、その代わりになる方法に絞ります。
方法1：パスキー（パスワードもSMSもいらないログイン）
パスキーは、FIDO Allianceという業界団体の標準に基づく認証のしくみです。FIDO Allianceは「パスワードに代わる技術」で、「パスワードと違って常に強く、フィッシングに強い」と説明しています。
Appleの説明では、パスキーは秘密（シークレット）を共有しない設計で、Face IDやTouch IDで利用を承認すると、アプリやWebサイトに対して本人確認が行われます。秘密鍵はサーバー側も知りません。Googleも、パスキーは指紋認証・顔認証・画面ロックのPINなどでログインでき、パスワードと違って共有・コピー・書き留めることができず、誤って他人に渡してしまう心配がないと説明しています。
電話の詐欺の観点で大事なのはこの点です。SMSのコードは「読み上げて」と言われれば口頭で渡せてしまいますが、パスキーは口で伝えられる文字列ではありません。電話口でだまされてもそのまま渡しようがない、という意味で、電話を使った乗っ取りに強い方法です。
使い始めるには
- 使っているサービスの「セキュリティ」「ログイン方法」の設定にパスキーの項目があれば、そこから作成する。
- スマホの画面ロック（顔・指紋・PIN）を設定しておく。パスキーはこのロック解除の方法で使う。
方法2：認証アプリ（スマホの中で作るワンタイムコード）
認証アプリは、2段階認証用の1回限りのコードをスマホの中で作るアプリです。Googleの説明では、Google 認証システムは2段階認証に対応したサイトやアプリの1回限りの確認コードを作成でき、インターネット接続やモバイル通信が使えない場合でもコードを作れます。SMSのように電話番号あてに届くわけではないので、電話番号を乗っ取られても、それだけではコードを受け取れません。
一方で、コードは画面に表示される数字なので、電話で「表示された数字を読み上げてください」と言われて伝えてしまえば、SMSと同じく悪用されます。この点はパスキーとの大きな違いです。
方法3：マイナンバーカード（公的個人認証・JPKI）
マイナンバーカードのICチップには電子証明書が入っていて、オンラインで本人確認ができます。これを公的個人認証サービス（JPKI）といいます。公的個人認証サービスのポータルサイトによると、電子証明書は2種類あります。
| 電子証明書 | 主な使い道 | パスワード |
|---|---|---|
| 署名用電子証明書 | 電子申請 | 6〜16桁の英数字（5回間違えるとロック） |
| 利用者証明用電子証明書 | コンビニでの証明書の取得、健康保険証のオンライン資格確認など | 4桁の数字（3回間違えるとロック） |
総務省の説明では、ICチップには券面に書かれている事項（氏名・住所・生年月日・性別・個人番号・顔写真）などが記録され、プライバシー性の高い情報は記録されません。暗証番号を一定回数以上間違えるとロックされ、ICチップの情報を不正に読み出そうとすると自動的に内容が消去されるなどの仕組みがあります。デジタル庁は、民間事業者がJPKIを本人確認に使うための主務大臣認定も行っています。
スマホのマイナンバーカード
デジタル庁によると、カードの機能をスマホに入れて使えるサービスが、Androidでは2023年5月、iPhoneでは2025年6月24日に始まりました。顔や指紋などの生体認証で本人確認ができ、マイナポータルの利用、コンビニでの証明書の取得、マイナ保険証としての受付、e-Taxでの確定申告などに使えます。
3つの方法をくらべる
| 方法 | 電話番号 | 電話で口頭で渡せてしまうか | 向いている場面 |
|---|---|---|---|
| SMS認証 | 使う | 渡せてしまう（コード） | 手軽な登録・確認 |
| 認証アプリ | 使わない | 渡せてしまう（表示された数字） | 2段階認証 |
| パスキー | 使わない | 渡せない（口で言える文字列がない） | ログイン |
| マイナンバーカード（JPKI） | 使わない | 暗証番号は渡せてしまう（カードやスマホも必要） | 行政手続き、本人確認が必要な申込み |
それでも電話番号はなくならない
パスキーやマイナンバーカードが広がっても、電話番号は「本人確認の道具」とは別に、連絡先として残ります。電話番号は国際電気通信連合（ITU）の勧告E.164にもとづく世界共通の番号体系で、国番号（日本は81）から世界中につながります。アカウントを取り戻すときの連絡先として、電話番号の登録を求めるサービスもあります。
そのため、番号を変えたり解約したりするときは、登録しているサービスの電話番号も更新しておくことが大切です。前の持ち主あての電話やSMSが届く理由は番号の再利用と中古スマホで説明しています。携帯電話の契約時の本人確認のルールの見直しについては携帯電話不正利用防止法2026年改正をご覧ください。
電話で聞かれても絶対に教えないもの
どの本人確認の方法でも、最後に破られるのは「人が電話で話してしまう」ところです。次のものは、相手が役所・警察・銀行・携帯会社を名乗っても、電話では答えないでください。
- SMSで届いた認証コード、認証アプリに表示されている数字
- マイナンバーカードの暗証番号（4桁の数字、6〜16桁の英数字）
- パスワード
また、「こちらの指示どおりにパスキーを作って（登録して）ください」と電話で急がされても、従わないでください。
マイナンバーやマイナ保険証を名乗る電話についてはマイナンバー・マイナ保険証を名乗る電話：国は電話で番号を聞かないにまとめています。
知らない番号から本人確認の電話が来たら
- コード・暗証番号・パスワードは答えずに、いったん切る。
- 相手が名乗った会社や役所の番号を自分で調べてかけ直す。
- かかってきた番号を当サイトの番号検索で調べ、口コミを確かめる。
- コードや暗証番号を伝えてしまったときは、すぐにそのサービスのパスワードを変え、そのサービスの公式の窓口（自分で調べた連絡先）に連絡する。お金の被害が出たら警察相談専用電話#9110や消費者ホットライン188に相談する。
参考
この記事は2026年10月に、以下の公開情報をもとに書きました。
- FIDO Alliance「Passkeys」
https://fidoalliance.org/passkeys/ - Apple サポート「パスキーについて」
https://support.apple.com/ja-jp/102195 - Google アカウント ヘルプ「パスキーでログインする」
https://support.google.com/accounts/answer/13548313?hl=ja - Google アカウント ヘルプ「Google 認証システム」
https://support.google.com/accounts/answer/1066447?hl=ja - デジタル庁「スマホ用電子証明書搭載サービス」（2026年8月25日更新）
https://www.digital.go.jp/policies/mynumber/smartphone-certification - デジタル庁「公的個人認証サービス（JPKI）の民間事業者による活用」（2026年10月13日更新）
https://www.digital.go.jp/policies/mynumber/private-business - 地方公共団体情報システム機構「公的個人認証サービス ポータルサイト」
https://www.jpki.go.jp/ - 総務省「マイナンバーカード」
https://www.soumu.go.jp/kojinbango_card/03.html - ITU「List of ITU-T Recommendation E.164 assigned country codes」
https://www.itu.int/dms_pub/itu-t/opb/sp/t-sp-e.164d-2016-pdf-e.pdf
※各方法の説明は2026年10月時点の各社・各機関の公式ページの内容です。パスキーや認証アプリに対応しているかどうか、どの本人確認の方法を選べるかはサービスごとに異なります。この記事は特定のサービスの安全性を保証するものではありません。