ワンタイムパスワード（OTP: One Time Password）は、1回限り・短時間だけ有効な使い捨てのパスワードです。ネットバンキングなどで馴染みのある方も多いと思いますが、企業のPC・サーバーへのログインを守る手段としても広く使われています。
この記事では、ワンタイムパスワードの仕組みと種類、それぞれの安全性の違い、そして企業が導入する際に押さえるべきポイントを解説します。
ワンタイムパスワードとは
ワンタイムパスワードとは、一度使うと無効になる、使い捨てのパスワードのことです。多くの場合、6桁程度の数字で、30秒〜数分といった短い有効期限が設定されています。
通常のパスワードとの違い
- 通常のパスワード（固定パスワード）：一度設定すると変更するまで同じ。盗まれた時点で、変更するまでずっと悪用され続けます
- ワンタイムパスワード：毎回変わり、短時間で失効する。仮に盗み見られても、次のログインには使えません
この「盗まれても再利用できない」という性質が、ワンタイムパスワードの最大の価値です。
2要素認証との関係
ワンタイムパスワードは、多くの場合2要素認証（多要素認証）を実現するための手段として使われます。
「ID・パスワード（本人だけが知っていること）」に加えて、「スマートフォンや専用デバイスに表示されるワンタイムパスワード（本人だけが持っているもの）」を組み合わせることで、異なる2種類の要素による認証が成立します。用語の整理は 多要素認証（MFA）とは？で解説しています。
ワンタイムパスワードの仕組み
時刻同期型（TOTP）
現在最も広く使われている方式です。サーバーと利用者側の端末が同じ「秘密の鍵」と「現在時刻」を使って、同じ計算式でパスワードを生成します。両者が独立して同じ値を導き出せるため、ネットワークを通じてパスワードを送る必要がありません。
認証アプリに表示される数字が30秒ごとに切り替わるのは、この時刻同期の仕組みによるものです。
カウンタ同期型（HOTP）
時刻の代わりに「何回目の認証か」というカウンタを使う方式です。時計のズレの影響を受けませんが、サーバー側とのカウンタのズレを調整する仕組みが必要になります。
チャレンジ&レスポンス型
サーバーが提示した数値（チャレンジ）をもとに、利用者側で応答値（レスポンス）を生成する方式です。
ワンタイムパスワードの種類と安全性の違い
「どうやってワンタイムパスワードを受け取るか」によって、利便性と安全性が変わります。すべて同じ安全性ではありません。
1. 認証アプリ（スマートフォンアプリ）
- 安全性：高い — 通信を経由せず端末内で生成されるため、通信の傍受を受けません
- 利便性：高い — 既存のスマートフォンで利用でき、専用機器の配布が不要
- 注意点：機種変更時の移行手順を周知しておく必要があります
2. ハードウェアトークン（専用デバイス）
- 安全性：高い — 独立した専用機器のため、PCやスマートフォンが侵害されても影響を受けにくい
- 利便性：中 — 人数分の購入・配布コスト、紛失時の再発行対応が必要
3. SMS（ショートメッセージ）
- 安全性：中 — SIMスワップ（携帯電話番号の乗っ取り）や、ロック画面へのSMS表示による盗み見といったリスクが指摘されています
- 利便性：高い — アプリのインストールが不要で、導入のハードルが低い
パスワードのみの状態より大幅に安全になるのは確かですが、認証アプリや専用デバイスと比べると相対的に強度は劣ると考えられています。
4. メール
- 安全性：低め — メールアカウント自体が乗っ取られていた場合、ワンタイムパスワードも同時に見られてしまいます
- 他の方式が使えない場合の代替手段として位置づけるのが妥当です
ワンタイムパスワードで防げること・防げないこと
防げること
- 漏洩したパスワードによる不正ログイン — 固定パスワードを盗まれても、ワンタイムパスワードがなければ入れません
- パスワードの使い回しに起因する被害 — 他サービスから流出したパスワードでのログイン試行（リスト型攻撃）を防げます
- 総当たり攻撃 — 短時間で失効するため、推測が困難です
防げないこと
- 機器やソフトウェアの脆弱性を突く侵入 — 認証を経由しないため、パッチ適用が別途必要です（VPN脆弱性対策）
- リアルタイムで誘導される高度なフィッシング — 偽サイトでワンタイムパスワードを入力させ、その場で悪用する手口が存在します
- 利用者自身が不正なファイルを実行してしまうケース
ランサムウェア対策としての位置づけは 多要素認証で防げる経路・防げない経路で詳しく整理しています。
企業が導入する際のポイント
クラウドだけでなく、Windows PC・サーバーのログインにも導入する
クラウドサービスにはワンタイムパスワードを導入済みでも、社内のWindows PCやWindows ServerへのOSログインはID・パスワードのみという企業は少なくありません。実際に業務データが保管され、ランサムウェア被害で最も打撃を受けるのは社内サーバーです。Windows環境への導入方法は Windows OSログインの2要素認証とは？で解説しています。
優先度の高い端末・アカウントから始める
全社一斉に導入する必要はありません。サーバー、管理者権限を持つアカウント、社外から接続する端末など、被害の大きいところから段階的に進めるのが現実的です。
スマートフォンを持たない従業員への対応を決めておく
業務でスマホを使わない従業員がいる場合、ハードウェアトークンなど別方式の併用を検討します。全員に同じ方式を適用する必要はありません。
紛失・故障・機種変更時の手順を事前に整える
導入後に最もつまずきやすいのがこの部分です。「ログインできなくなったときにどうするか」を決めていないと、業務が止まります。
委託先・保守ベンダーのアカウントにも適用する
自社の従業員だけに適用しても、委託先のアカウントが除外されていれば、そこが侵入口になります（サプライチェーン攻撃）。
よくある質問
Q. ワンタイムパスワードと2要素認証は同じものですか？
A. 異なります。2要素認証は「異なる2種類の要素を組み合わせる」という考え方で、ワンタイムパスワードはそれを実現する手段の一つです。ワンタイムパスワードだけを単独で使う場合は2要素認証にはなりません。
Q. SMSでのワンタイムパスワードでは不十分ですか？
A. パスワードのみの状態より大幅に安全になります。ただしSIMスワップ等のリスクがあるため、重要なシステムには認証アプリや専用デバイスの利用が推奨されます。
Q. 認証アプリは通信できない場所でも使えますか？
A. 時刻同期型（TOTP）の場合、パスワードは端末内で生成されるため、アプリ側は通信がなくても数字を表示できます。ただしログインするシステム側の要件は製品によって異なるため、導入前に確認してください。
Q. 生体認証（顔認証・指紋認証）とどちらがよいですか？
A. 目的が異なります。生体認証は「本人自身」を確認する方式で、利便性に優れます。一方ワンタイムパスワードは「本人が持っているもの」を確認する方式で、対応端末を選ばず既存環境に導入しやすいという利点があります。どちらもパスワード単独より安全であり、環境に応じて選択・併用します。
自社の状況を確認する
自社のWindows PC・サーバーへのログインが、いまだにID・パスワードのみに依存していないか。applippliの無料診断では、約3分の質問に回答するだけで現状のリスクを判定し、優先的に対策すべき端末と、 SCS評価制度への対応状況をPDFレポートでお届けします。