SBI証券「デバイス認証」における認証手順の仕様変更について

はじめに

SBI証券からセキュリティに関するメールが届きました。

メール本文

「デバイス認証」における認証手順の仕様変更について（2025/8/9（土）予定）

平素はSBI証券をご利用いただきまして誠にありがとうございます。

本お知らせは、現在「デバイス認証」をご利用いただいているお客さまにお送りしております。

2025/8/9（土）以降、リアルタイムフィッシングによる詐欺対策として、デバイス認証による認証手順を、現行の「認証コードをEメールで送信する方式」から、「認証コード入力画面のURLを送信する方式」に変更することをお知らせいたします。

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
なお、本仕様変更は、2025年秋頃に導入を予定する「FIDO2（パスワードレス認証）」の提供開始までの間、現在提供するセキュリティ機能におけるフィッシング耐性の向上を目的として実施するものです。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝


■新方式による認証の流れ
1.新たなデバイスからメインサイト（PC、スマホ）にユーザーネーム/ログインパスワードを使ってログインをすると、デバイス認証画面が表示されます。

2.新たなデバイスを認証して利用する場合には、画面に表示される「Eメールを送信する」ボタンを押してください。「認証コード入力画面」のURLが記載されたEメールが登録メールアドレス宛に送信されます。
Eメールが送信されるとメインサイト（PC、スマホ）のデバイス認証画面 に、デバイスを認証するための「認証コード」が表示されます。

3.受信したEメール（件名：認証コード入力画面のお知らせ） に記載のURLを押すと「認証コード入力画面」が表示されます。さきほどメインサイト（PC、スマホ）のデバイス認証画面 に表示された「認証コード」を入力して、「認証する」ボタンを押してください。
※メインサイト （PC、スマホ）のデバイス認証画面に表示される「認証コード」は40秒間隔で5回まで更新されます。

4.再度、メインサイト（PC、スマホ）のデバイス認証画面に戻り、「確認しました」のチェックボックスにチェックを入れて、「デバイスを登録する」ボタンを押すことで利用するデバイスの認証手続きが完了となります。

※ 認証対象チャネル（PCサイト/スマホサイト）、および認証頻度に変更はありません。
※これまで認証登録した端末は引き続きご利用いただけます。
※ 本仕様変更に伴い、認証操作にご不安のあるお客さまは電話番号認証のご利用をご検討ください。

デバイス登録のフロー

ポイント

• デバイスの登録において認証コードをメインサイト側で発行・確認するようになった
• 2025年秋の「FIDO2（パスワードレス認証）」までの暫定対策
• 新たなデバイスを使う場合のみ必要で、登録済みのデバイスを使う時は作業不要

効果

この変更により、フィッシングサイトが認証コードを詐取するためには、正規のSBI証券サイトへのアクティブなセッションが必要となります。これにより、単にID/パスワードと認証コードをフィッシングサイトに入力させるだけでは不正ログインができなくなり、セキュリティが向上します。

さいごに

SBI証券からメールが届いたのでよく読んでみました。結果今回は特に対応は必要なさそうでした。早くFIDO認証に対応してほしいところです。

※ 個人的な理解なので誤ってるかもです 🙏