要求していない認証コードが届いたら？確認と対処法

要求していない認証コードが届いても、調査のために他人へ渡したり入力したりしないでください。自分で対象サービスを開き、自分のアカウントを確認します。SMSが一通届いただけでは、第三者がログインに成功した証拠にはなりません。

メッセージの受信、認証の要求、アカウント操作の完了は、それぞれ別の出来事です。この記事では、すべての予期しないOTPを無害と決めつけず、すべてのSMSを乗っ取りと考えることもなく、確認結果に応じた対応を選びます。

予期しないコードから分かること

結論を出す前に、メッセージとアカウント内で実際に確認できる情報を照らし合わせましょう。Microsoftの説明でも、連絡先の入力間違いが原因の一つとして挙げられています。本文だけでは、どの説明が当てはまるかは判断できません。

まず、個人の携帯電話、メール、公開SMS受信箱のどこで見たかを区別しましょう。共有受信箱のメッセージが自分のアカウントに関するものとは限りません。以前の自分の要求と分かり、コードが使えない場合は無効・有効期限切れのコードのガイドを参照してください。

行動する前の六つの確認

1. コードを使わずに保留します。電話をかけてきた人、購入希望者、解決を約束する相手に伝えないでください。開始していないログインの承認も行いません。
2. サービスを自分で開きます。インストール済みアプリ、信頼できるブックマーク、既知のアドレスを使います。SMS内のリンクや折り返し番号は、本物である証明ではありません。
3. 自分のアカウントを確認します。開いているプロフィールを見ます。アカウントがないサービスで、要求者を探すためだけに登録や復旧を試みないでください。
4. 完了した操作を探します。記録がある場合、知らない成功したログインや設定変更を確認します。失敗した試行とは区別し、場所の表示だけで断定しないようにします。
5. 確認できた事実に応じて対応します。操作が確認できないSMSは、むやみなパスワード再設定ではなく確認が必要です。知らない操作が成功している場合やコードを伝えた場合は、サービスの保護・復旧手順を使います。
6. 秘密情報を除いた記録を残します。サービス名、タイムゾーンを含む時刻、誰かからの連絡の有無を記録します。相談用画像からコードと個人情報を隠します。

認証SMSが何度も届く場合

攻撃と判断する共通の件数を決めつけず、パターンを記録しましょう。十通あっても要求者は特定できず、一通だから問題がないとも言えません。送信者に返信して説明を求めるより、アカウント内の通知とサポートを確認します。

問い合わせ例は「これらの要求を開始していません。［時刻とタイムゾーン］に届きました。アカウントには不明な完了済み操作が［あります／ありません］。何を確認すべきですか」です。実際のコードは添えません。フィルターはSMSを隠しても、操作を取り消すものではありません。繰り返し届くからといって、すべてのセキュリティ通知を無効にしないでください。

すでにコードを教えてしまった場合

相手とのやり取りを止め、対象サービスの公式な保護手順を速やかに使います。FTCは認証コードを他人に渡さないよう注意を促しています。有効期限が切れれば、承認済みの操作まで元に戻るとは考えないでください。

何を承認するコードと説明されていたか、いつ伝えたか、まだアクセスできるかをサポートに知らせます。サービスの機能で自分のアカウントを保護し、突然連絡してきた「復旧業者」には支払わないでください。Googleのアカウント復旧ガイドはサービス固有の例で、全アプリ共通の方法ではありません。

公開SMS受信箱では何が違う？

他の訪問者も同じ公開番号にコードを要求できます。コードが見えることは、知らないアカウントへのログイン、パスワード変更、調査の許可ではありません。FreeSMSInboxは表示メッセージから要求者を特定したり、他社の要求を取り消したりできません。

番号の以前の関連付けは電話番号が使用済みの場合のガイドで扱います。継続利用する個人アカウントには管理できる連絡先を使い、二要素認証のガイドを参考に復旧手段を準備しましょう。

よくある質問

身に覚えのないOTPはパスワード漏えいの証拠？

必ずしもそうではありません。コードを要求する段階はサービスによって異なります。SMSだけを漏えいやログイン成功の証拠にせず、アカウントの記録を確認します。

送信者名から要求した人を特定できる？

できません。メッセージのブランド名は要求した個人を示しません。その表示だけで誰かを責めないでください。

要求を取り消すためにコードを入力するべき？

予期しないメッセージのフォームに「取消」のために入力しないでください。サービスを自分で開き、実際に用意されている管理機能を使います。

出典と対象範囲

2026年10月20日に、上記の公式資料を参照して作成しました。チェック項目と問い合わせ例は編集上の案内です。侵入の診断、要求者の特定、復旧の保証は行わず、利用できる方法は各サービスに依存します。