通常のSMS認証の一例企業 → 利用者
入力した番号へ、コードを送る。
電話番号を入力
企業から送信
SMSを受信
入力された番号への送信APIを保護する必要があります。登録済み番号を使う方式では、電話番号入力が不要な場合もあります。
SEND-TO-LOGIN / SMS AUTHENTICATION
ログインは、
SMSを送る
ことから。
登録した携帯から「ログイン」と送信。
届いたコードを入力して、いつものマイページへ。
パスワードに頼らない、新しい認証の入口です。
※ Login Connectの利用イメージ。対応回線の携帯から、導入企業のSMS共通番号へ送信します。
YOUR PHONE → YOUR ACCOUNTSEND-TO-LOGIN
01 SMSを送る02 届いたコードを入力
SMSで受け取る認証コード4829 1573
8桁 / 5分間 / 1回限りパスワードを、覚えなくていい。
利用者から始める認証任意の電話番号を入力させない設計
今ある資産を、そのままにConnect / Guardは既存DBと連携
課題に合わせた3つの選択肢ログイン・追加承認・会員基盤
01 / THE DIFFERENCE
受け取るSMSから、
自分で送るSMSへ。
違うのは、認証の「始まり方」。
電話番号の入力欄ではなく、実際に送られたSMSを起点に、会員であることを確かめます。
ATIRO CODE Login利用者起点
登録した携帯から、認証を始める。
SMSを送る
送信元番号を照合
会員に返信
Webフォームから他人の番号を指定してコードを送らせる経路を設けません。番号入力の手間と、この経路の悪用余地を減らします。
受信起点でも、大量のSMS送信・返信による負荷や費用の問題がなくなるわけではありません。回数制限、費用上限、異常監視を組み合わせて設計します。
BUSINESS SMS NUMBER
0005••••••
企業単位の番号 / 表示はイメージです企業の共通番号を、
認証の入口に。
0005から始まる共通ショートコードは、携帯4社が企業単位で審査・発行する仕組みです。ATIRO CODEは、この通信基盤と会員照合・認証・マイページへの連携を組み合わせます。
共通番号そのものはATIRO独自の規格ではありません。実際の番号・双方向SMSの対応回線・提供条件は導入時に確認します。
共通ショートコードの仕組み：NTTドコモ ↗02 / THREE WAYS TO CONNECT
あなたのサービスに、
ちょうどいい認証を。
ログインだけを変える。承認を足す。会員基盤から始める。
既存システムと目指す顧客体験に合わせて選べます。
01 / SERVICE
会員基盤・マイページをお持ちの企業へ
Login Connect
いつものマイページに、
パスワードレスな入口を。
- 既存の会員DBとマイページを活用
- 電話番号のハッシュ値で会員を照合
- パスワード再設定の負担を軽減
02 / SERVICE
ID・パスワードを残したい企業へ
Login Guard
ログインや重要操作に、
登録携帯からの承認を。
- 今の認証に追加する承認ステップ
- 利用者がSMSを送って意思を示す
- ログイン・住所変更などに組み込む
03 / SERVICE
会員の仕組みをこれから作る店舗・企業へ
ATIRO CODE Members
認証も、会員基盤も。
顧客とのつながりを一式で。
- 登録・ログインからマイページまで
- 会員証・予約・ポイント・クーポン
- SMSを起点に再来店施策へつなぐ
03 / HOW IT WORKS
操作は少なく。
確認は、確実に。
利用者の操作とシステムの役割を分けて設計。
認証からログイン完了まで、サービスごとの流れをご覧ください。
STEP 01
登録携帯からSMS送信
「ログイン」と送ります。スマートフォンでは宛先・本文を用意したSMS起動導線を設置します。
STEP 02
送信元番号を照合
受信した送信元番号から会員を照合。画面に電話番号を入力する必要はありません。
STEP 03
会員にコードを返信
登録会員に8桁のコードを返信。コードは5分間有効・1回限りです。
STEP 04
コードを入力して完了
企業側サーバーで認証結果を検証し、いつものマイページにログインします。
STEP 01
既存認証・操作を開始
ID・パスワードで認証した後や、登録情報の変更前に承認待ち画面を表示します。
STEP 02
登録携帯から承認SMS
画面の承認番号を含むSMSを送ります。操作内容を利用者が確かめてから送信します。
STEP 03
登録番号と操作を照合
対象会員・承認対象の操作・有効期限をサーバー側で確認する構成にします。
STEP 04
承認結果を返して実行
承認結果を企業側が検証して操作を実行。SMSの返信で結果を利用者へ知らせます。
STEP 01
店頭・Webから入口へ
店頭のQRやWebのボタンから、登録案内とSMSの送信画面につなぎます。
STEP 02
SMSで登録・ログイン
初回は会員登録へ、登録済みならログインへ。会員登録の同意も取得します。
STEP 03
会員マイページを利用
会員証や予約など、必要な機能を組み合わせたマイページへ案内します。
STEP 04
次の接点へつなぐ
ポイント・クーポン・お知らせを活用。販促配信の同意は認証と分けて設計します。
04 / SECURITY BY DESIGN
減らしたいのは、
不正アクセスの入口。
認証を「使いやすく」するだけでなく、
パスワードや任意番号入力に依存する経路を見直します。
PASSWORD REUSE
使い回しパスワードへの依存
他サービスで漏れたID・パスワードを使う攻撃に対し、SMSログインではパスワードを認証に使いません。
Connect：旧パスワード経路を廃止・保護して効果を検証
SMS ABUSE
任意番号へのSMS送信悪用
利用者が自由に宛先番号を入力して企業にOTPを送らせるのではなく、受信した番号に応答する構成です。
受信起点でもレート制限・不正利用監視が必要
SENSITIVE ACTIONS
重要な操作への確認不足
ログイン後の登録情報変更などに、登録携帯からの承認を加え、操作対象と認証結果を対応付けます。
Guard：承認の追加と、本人への結果通知を設計
SMS方式だけで、フィッシング・SIM乗っ取り・端末侵害をすべて防ぐことはできません。高リスクな操作は、パスキー等との組み合わせも検討します。
対応範囲と限界を確認05 / COMPARE AUTHENTICATION
強みも、限界も。
選べるように、比べる。
どの認証にも、適した用途があります。
操作性・攻撃への耐性・導入条件を同じ視点で比較します。
| 比較項目 | ATIRO CODELogin Connectを中心に比較 | 通常のSMS認証企業からSMSを送る方式 | パスワード＋TOTP認証アプリのワンタイムコード | パスキーWebAuthn / FIDOベース |
|---|---|---|---|---|
| 利用者の操作 | SMSを送信 → コード入力ログイン画面での電話番号入力は不要。 | SMSを受信 → コード入力登録番号宛なら電話番号入力は不要。 | パスワード → アプリのコード登録時に認証アプリとの紐付けが必要。 | 生体認証や端末PINで承認利用する端末・実装に応じた操作。 |
| パスワードへの依存 | SMSログインでは不要旧パスワード経路を残す場合は別途対策。 | 構成による単独利用か追加認証かで異なる。 | 残る漏えいパスワードだけでの侵入を抑制。 | 不要公開鍵暗号で認証する。 |
| 認証要素 | 単独では多要素ではないGuardは既存パスワードと組み合わせて設計。 | 単独では多要素ではないパスワード等と独立した要素として組む。 | 独立要素なら多要素知識要素と所持要素を組み合わせる。 | 実装・利用者検証による端末の所持と生体認証／PIN等を使用。 |
| フィッシング耐性 | 中継型への対策は別途必要SMS送信やコード入力を偽サイトが誘導可能。 | 中継型への対策は別途必要SMSコードを偽サイトに入力させる攻撃。 | 中継型への対策は別途必要リアルタイムのコード中継が可能。 | フィッシング耐性ありWebAuthnの正規オリジンに結びつく認証。 |
| SMS大量送信への悪用 | 任意番号入力の経路を設けない受信起点でも回数制限・費用監視は必要。 | 送信APIの保護が必要レート制限・不正検知等を実装する。 | TOTP方式はSMSを使わないここでは認証アプリ方式を比較。 | SMSを使わないSMSの費用濫用は認証経路では発生しない。 |
| 導入・運用の留意点 | SMS送信可能な回線が必要共通番号の対応条件・番号変更・SIM乗っ取り対策。 | SMS受信可能な回線が必要配信品質・番号変更・SIM乗っ取り対策。 | アプリ登録・復旧の設計端末紛失や再登録に備える。 | 対応環境・復旧の設計同期型／端末固定型等で条件が異なる。 |
比較は一般的な構成を整理したものです。提供事業者や実装によって異なります。ATIRO CODEは、パスキーのフィッシング耐性を代替するものではありません。
06 / USE CASES
認証の先にある、
こんな顧客体験へ。
以下は課題に合わせた導入シナリオです。
実在企業の導入実績や、効果を保証する事例ではありません。
SCENARIO 01通販・定期購入
Login Connect久しぶりの購入でも、
久しぶりの購入でも、
パスワードを探さない。
既存ECの会員DBはそのまま。登録携帯からSMSを送り、届いたコードで購入履歴や定期購入のマイページへ。
ECサイトSMS認証マイページ
導入後に検証する指標認証完了率／再設定問い合わせ数
SCENARIO 02会員・契約者ポータル
Login Guard大切な情報を変える前に、
大切な情報を変える前に、
もう一度、確かめる。
既存のログインを残し、配送先や登録情報の変更前に承認を追加。どの操作を承認するか、画面とSMSで確認。
変更操作SMS承認変更確定
導入後に検証する指標変更時の承認率／不審操作の通知確認
SCENARIO 03サロン・店舗
ATIRO CODE Members会員証から再来店まで、
会員証から再来店まで、
ひとつの入口でつなぐ。
店頭QRを会員登録の入口に。会員マイページで予約・会員証を利用し、同意を得たお知らせで再来店を後押し。
店頭QR会員登録次の来店
導入後に検証する指標登録完了率／会員証利用率／再来店率
07 / INTEGRATION
会員データは、
必要以上に動かさない。
Connect / Guardは、既存会員DBと連携する設計。
認証の入口を変えるために、会員システム全体を作り替える必要はありません。
利用者の携帯利用者から
SMSを送信
SMSを送信
携帯通信網送信元番号を伴う
SMSの受信
SMSの受信
ATIRO CODE番号を照合し
認証コードを返信
認証コードを返信
企業側のAPI・会員DB既存データで会員を照合
認証結果を検証してセッション発行
認証結果を検証してセッション発行
企業側に残す：氏名・住所などの既存会員データ。Connect / Guardは会員DBの丸ごと移管を前提としません。
ATIRO側で扱う：SMSの送信元・宛先番号、SMS本文、照合用データなど。具体的な保存範囲・期間は契約時に確認します。
01 既存マイページを活用
フロント側の導線と、企業側サーバーの認証処理を組み込みます。
02 照合データを最小化
番号ハッシュで照合する構成。照合方式・鍵管理は導入時に設計します。
03 運用までセットで確認
番号変更、端末紛失、再登録、監視、通知の責任分界を決めます。
08 / PRICING
始め方はシンプルに。
使ったSMS通数に応じて。
3サービス共通の料金体系。
初期の組み込み・照合設定・PoC支援を含みます。
初期費用 / 3サービス共通
500,000円（税別）
組み込み・照合の設定とPoC支援を含みます。
オプション・個別要件は別途お見積りします。
| 月間SMS送信通数 | 1通あたり・税別 |
|---|---|
| 1〜1,000通 | 15.0円 |
| 1,001〜5,000通 | 13.5円 |
| 5,001〜10,000通 | 12.0円 |
| 10,001通〜 | 10.5円 |
料金帯の適用方法、最低利用料の有無、番号関連費用、利用者側の送受信条件、長文SMSの通数換算は契約時に確認します。
09 / FAQ
よくある質問。
セキュリティ、費用、システム連携。
導入前の疑問を整理しました。
なぜ電話番号を入力しなくてよいのですか？
利用者が送信したSMSの送信元番号で会員を照合するためです。Webフォームで自己申告された番号だけを照合に使うのではありません。受信元の信頼性や通信事業者連携の検証方法は導入時に確認します。
SMSを送るだけで、自動的にログインできますか？
Login Connectの基本フローは「SMSを送る → コードを受け取る → Web画面にコードを入力する」です。送信だけでログインが完了するわけではありません。スマートフォンとPCでは案内方法が異なります。
利用者にSMS送信料はかかりますか？
携帯3社の共同発表（2021年6月）では、共通番号宛のSMSは個人の送受信料が無料と案内されています。通常の携帯番号宛のSMS料金とは区別します。実際に採用する番号、対応回線、対象地域などの適用条件は、導入前に確認・案内します。
氏名や住所などの会員情報を預ける必要がありますか？
Login Connect / Guardは、提供資料では電話番号のハッシュ値を使って既存会員を照合する構成です。一方、SMSの受信・返信のために電話番号そのものの処理は発生します。Membersは会員基盤をATIRO側で提供するため、データを預かる範囲が異なります。
フィッシングやSIM乗っ取りも防げますか？
この方式だけで防げるとは言えません。偽サイトによるSMS操作の誘導・コードの中継、SIMスワップ、端末侵害、電話番号の再割り当てなどへの対策が必要です。高リスクな操作ではパスキー等を含む追加対策を検討します。
既存のパスワードログインと併用できますか？
併用や段階移行を前提に要件を整理できます。パスワードを残して登録携帯からの承認を加える場合はLogin Guardが選択肢です。旧ログイン・パスワード再設定・アカウント復旧が弱い入口として残らないよう、全体を設計します。
共通番号の個人向け料金に関する参考：携帯3社共同発表（2021年6月28日）。ATIROの採用番号・回線・地域などの条件は個別に確認します。