楽天証券の画像認証って安全なの？
第1章：前回の記事にまちがいがありました
この記事は、以前に私が書いたこちらの記事の補足と訂正として書いています。
前回の記事では、「楽天証券が導入した画像を選ぶタイプの認証は、フィッシング詐欺に強い」という内容を中心に紹介しました。
実際、パスワードだけのログインよりは安全だと思っていましたし、画像を使うことで「攻撃しにくくなる」と私自身も感じていました。
ですが、あとから冷静に調べ直してみたところ、その考え方は正しくなかったと気づきました。
「フィッシングに強い」というのは本当か？
フィッシング詐欺とは、ニセのログイン画面にユーザーを誘導して、IDやパスワードを入力させる手口です。
見た目は楽天証券そっくりだけど、実は攻撃者が用意した偽のページだった、というものです。
前回の記事では、「画像選択式はこの手の攻撃に強い」と書いてしまいましたが、実際にはそうとも限りません。
たしかに、画像を使った認証は、数字のコードを入力するよりは少しだけややこしくなります。
でも、それは攻撃者にとって“ちょっとめんどう”というだけで、“防げる”という話ではないのです。
今回の記事で伝えたいこと
この記事では、前回の記事の内容をふり返りつつ、以下のようなことをやさしく解説していきます：
楽天証券の画像選択認証ってどんなしくみ？
フィッシング詐欺ってどういう攻撃？
画像認証は本当に安全なの？
フィッシングに強い認証って、どんなもの？
専門用語はできるだけ使わず、中学生でも読める内容をめざします。
まずは、「楽天証券の画像選択認証がどんなしくみなのか？」について、簡単に見ていきます。
第2章：楽天証券の画像認証ってどんなしくみ？
楽天証券では、セキュリティを高めるために、ログインのときの認証方法が少し変わりました。
今は「ID」と「パスワード」だけではログインできず、さらにもう1つのステップが必要になります。
ログインの流れ
いつも通り、楽天証券のログインページで IDとパスワード を入力します。
次に、画面に 10枚の画像 と 5つの数字 が表示出てきます。
同時に、登録しているメールに「正解の画像2枚と、2つの数字」が届きます。
ユーザーはそのメールを見て、画面に出ている画像から 正しい画像2枚 ＋ 正しい数字2枚を正しい順番で選ぶ
正しく入力＆選択できればログイン成功。まちがえるとログインできません。
画像と数字を選ぶ画面
なぜ画像と数字を使うの？
こうした仕組みが導入された理由は、より安全にログインできるようにするためです。
画像は毎回ちがうし、見て選ばないといけないので、メールで届く正解の画像と数字がバレない限りは不正ログインされにくい
画像と数字を合わせてチェックすることで、より強い認証ができると考えられています
どんな画像が出てくるの？
たとえば「電車」や「動物」など、いろいろなイラスト画像が使われています。
ログイン時には画面に10枚の画像が出てきて、その中から、メールで届いた正解の2枚を順番通りに選ぶ必要があります。
画像も毎回変わるので、攻撃者があらかじめ用意しておくことはできません。
この「まねしにくさ」こそが、数字コードよりも画像の方が安全だと思われる理由のひとつです。
でもここで気をつけたいのは、
画像や数字を使っているからといって、それだけで安心とは言い切れないということです。
次の章では、そもそも「フィッシング詐欺」とはどういう攻撃なのか、そしてこうした認証が本当に安全なのか、考えていきます。
第3章：フィッシング詐欺ってなに？
「フィッシング詐欺（フィッシング攻撃）」という言葉を聞いたことがある人も多いと思います。
でも、実際にどうやって騙されるのか、はっきりわかっている人は少ないかもしれません。
この章では、フィッシング詐欺がどんな攻撃なのか、そしてどうして認証の仕組みが狙われるのかを、できるだけわかりやすく説明します。
フィッシングってどういうこと？
フィッシング詐欺は、「ニセのWebページ」を使った騙しの手口です。
たとえば、こんな流れです：
楽天証券からのメールのふりをして、「ログインしてください」というリンクが送られてくる
ユーザーがリンクをクリックすると、見た目はそっくりな楽天証券のログインページが開く
でもそれは本物ではなく、攻撃者が作った偽物のサイト
そこでIDやパスワード、画像や数字コードなどを入力してしまうと、その情報が攻撃者に渡ってしまう
つまり、「見た目は本物っぽいけど、実はニセモノのページ」にうっかり自分から情報を入力してしまうのがフィッシング詐欺の本質です。
なにが盗まれるの？
ニセモノのWebページに入力した情報はすべて犯罪者に盗られていると思ってください。
例えば、これらが挙げられます。
ログインIDとパスワード
数字コード（6ケタなど）
画像選択の情報（どの画像を何番目に選んだか）
これらは、ユーザーが手で入力したり、クリックしたりした情報です。
攻撃者はこれらを使って、本物の楽天証券のサイトにログインすることができます。
フィッシングのこわいところ
メールやサイトの見た目が本物そっくりなので気づきにくい
ユーザー自身が正しい情報を入力してしまうから、盗まれたと気づきにくい
パスワードだけでなく、2つ目の認証情報（数字や画像）も一緒に盗まれる
ここが大事なポイントです。
認証が2段階になっていたとしても、その2つの情報をどちらも入力するしくみなら、フィッシングでまとめて盗まれてしまう可能性があります。
「画像を選んだから安心」とは限らないのです。
このあと第4章では、「じゃあ画像認証って本当にフィッシングに強いの？」という話を、もう少し詳しく見ていきます。
第4章：「画像認証はフィッシングに強い」ってほんとう？
前回の記事では、「画像認証はフィッシングに強い」と書いていました。
でも、ここまでの内容を読んでくれた人なら、なんとなく「本当にそうかな？」と感じてきたかもしれません。
この章では、画像認証がなぜ“強そう”に見えるのか、そして実際にはどう突破されるのかを、やさしく説明します。
なぜ画像認証は安全だと思われているの？
まず、「画像を選ぶ」という仕組みは、確かにちょっと凝ってて、マネしにくそうに感じます。
毎回ちがう画像が表示される
正解はメールでしかわからない
画像の選び方まで決まっている（順番あり）
たしかに、ただの数字コードを入力するよりは、まねしにくく感じます。
これが、「画像認証はフィッシングに強い」と思われている理由です。
楽天証券のWebサイトにも下記のように記載されています。
でも、偽サイトにそのまま表示されたらどうなる？
ここで想像してみてください。
もし攻撃者が、本物の楽天証券サイトで表示された画像や数字を、そのまま偽サイトにそっくり表示できたら？
たとえば、こういう流れです：
ユーザーがフィッシングメールにだまされて、ニセのログインページにアクセス
ユーザーが自分のIDとパスワードを偽サイトに入力
攻撃者はその情報を使って、本物の楽天証券にログインを試みる
本物サイトは、10枚の画像と5つの数字を画面に表示し、2枚の画像と2つの数字をメールでユーザーに送信
攻撃者は、その画像と数字の画面を偽サイトにコピーして、ユーザーに見せる
ユーザーは、メールに書かれた正解どおりに画像と数字を選び、偽サイトで操作してしまう
攻撃者はその選択結果を本物サイトにそのまま入力 → 認証成功
なんと、画像認証も突破できてしまうシナリオです。
この例では攻撃者は四六時中ユーザーが入力するのを張り付いて待っているように書いていますが、プログラミングの知識があればニセサイトに入力した情報を本物サイトに自動入力するなんてものは作れてしまうと思います。
（本物サイトに表示された画像認証の画面をニセサイトにコピーして見せるも同じように自動でできちゃうと思います。）
実は「画像」も「コード」も同じように盗まれる
数字コードは、偽サイトで入力されたらそのまま盗まれて使われる
画像選択も、どの画像が選ばれたか（順番や位置）を盗まれたら同じこと
つまり、どちらも「ユーザーが自分の手で入力（またはクリック）する情報」なので、盗まれれば終わりなんです。
「ちょっとやりにくい」だけでは守れない
画像認証は、たしかに攻撃者にとっては本物の画像画面を、そっくりそのまま偽サイトに表示するので、「ちょっとめんどう」かもしれません。
でも、「めんどう」というだけの話です。
本当に重要なことは、「攻撃をやりにくくする（≒めんどうにする）」ではなく、攻撃できないようにする（≒情報そのものが盗まれないしくみ）です。
この点については、次の章で詳しく紹介します。
第5章：「画像」でも「コード」でも、盗まれたら意味がない
ここまで読んできた方は、こう思ったかもしれません。
「画像認証って、数字のコードより安全なんじゃないの？」
たしかに、画像を選ぶ認証はちょっと複雑そうで、「マネしにくいから安全」と思われがちです。
でも、実はそうとも言いきれません。
見た目はちがっても、やっていることは同じ
数字コード：ユーザーが6ケタの数字を手で入力する
画像認証：ユーザーが10枚の画像から正解の2枚をクリックする
操作方法はちがって見えますが、どちらも「ユーザーが何かを入力する」認証方式です。
フィッシング攻撃の視点から見ると？
攻撃者から見れば、どちらも同じように扱えます。
偽サイトに入力された数字コード → コピーして正規サイトに貼る
偽サイトでクリックされた画像の順番 → そのまま正規サイトに反映する
つまり、「画像か数字か」ではなく、入力されたものが盗めるかどうかが問題なのです。
「中身」ではなく「構造」が問題
パスワード、数字コード、画像選択。
これらはすべて、「ユーザーが自分で入力・操作する情報」です。
そして一度入力された情報は、誰でも使えてしまいます。
「本人しか使えない」わけではなく、
「最初に操作した人が正しいとされる」だけなのです。
だから、画像認証でも盗まれたら意味がない
いくらランダムな画像でも、正解がメールに届いていて、それをユーザーが選ぶなら、偽サイトでその操作をそっくりまねされたら突破されます。
「画像だから安全」ではなく、「ユーザーが入力するかぎり、盗まれたらおしまい」
これが、画像認証の本当の限界です。
次の章では、「じゃあ、どうすれば本当にフィッシングを防げるのか？」について、わかりやすく説明します。
第6章：じゃあ、フィッシングに本当に強い認証ってなに？
ここまでで、「画像認証」や「数字のコード」は、フィッシング詐欺で盗まれたら意味がないということを見てきました。
では、どうすれば本当にフィッシング詐欺から自分を守れるのでしょうか？
この章では、フィッシングに強い“しくみそのもの”について、できるだけシンプルに説明します。
ポイントは「入力しない」こと
これまでの認証方式（パスワード、コード、画像など）には、共通の弱点がありました。
それは：
ユーザーが自分で入力した情報が、ネットの外に出てしまうこと。
攻撃者は、それを盗んで使うだけ。
つまり、「外に出る情報」は、すべて奪われる可能性があるのです。
フィッシングに強いのは「情報が外に出ない」認証
最近では、「FIDO（ファイド）」というしくみを使った認証方式が登場しています。
この方式では、スマートフォンやパソコンの中にある秘密のカギを使って、ログイン時に「自分が本物です」と証明します。
ポイントは：
パスワードやコードを入力しなくてもいい
スマホの顔認証や指紋認証で済む
認証に使った情報は外に出ない（ネット上に流れない）
つまり、盗まれようがないということです。
たとえばこんな場面
あなたがスマホで「顔認証」でロックを解除したとき、
その顔のデータがインターネットに送られているわけではありません。
スマホの中だけで確認して、正しければOKになる。
FIDOやPasskeys（パスキー）と呼ばれる認証も、これと同じような考え方です。
これが「フィッシングに本当に効く認証」
フィッシング攻撃は、ユーザーの入力を盗む攻撃です。
だからこそ、「入力する情報」がなければ、盗まれようがありません。
✔️ 入力がある認証（パスワード、コード、画像） → 攻撃される
✔️ 入力がない認証（FIDO、パスキー） → 攻撃されない
とてもシンプルな話です。
次の最終章では、この記事のまとめと、楽天証券の画像認証をどう理解すればいいのかを整理します。
第7章：まとめ─楽天証券の画像認証は「安心っぽい」けど安心じゃない？
ここまで読んでいただき、ありがとうございました。
最後に、この記事で伝えたかったことをまとめます。
画像認証は「数字のコードよりはちょっとマシ」
楽天証券が使っている「画像を選ぶ認証」は、
たしかに、6ケタの数字コードよりはまねしにくく、攻撃者にとって少し面倒です。
でも、それはあくまで「手間が増えるだけ」。
攻撃そのものを防げるわけではありません。
ニセサイトに入力する認証情報は、ぜんぶ盗まれると思ったほうがいい
画像を選ぶのも、数字を打ち込むのも、パスワードを入れるのも、
すべて「入力している情報」なので、ニセサイトに入れたら盗まれてしまいます。
どんなに画像が変わっても、どんなにコードが一回きりでも、
入力する限り、フィッシング詐欺では通用しないのです。
本当に安全なのは、「入力しない認証」
この先、安全な認証に変わっていくとしたら、
それは「入力する必要がないしくみ」になっていくでしょう。
顔認証や指紋認証など、スマホの中だけで完結する方法
入力しても、誰にも見られない方法（FIDO／パスキー）
こういったものが、本当にフィッシングに強い認証です。
最後に：気をつけるべきは技術より「使い方」
どんなに良い認証方式があっても、
怪しいメールをクリックしたり
見た目だけで本物だと信じたり
URLをちゃんと見なかったり
すると、結局は騙されてしまいます。
「認証が2段階だから安心」「画像を使ってるから安全」
そんな思い込みが、いちばん危ないのかもしれません。
おわりに
この記事は、前回書いた記事の補足と訂正として書きました。
前回は「画像だから安全」と思っていましたが、今回調べ直してみて、それはまちがいだったと分かりました。
私自身も勉強中ですが、セキュリティについて少しでも多くの人が“本当のこと”を知るきっかけになれば、うれしいです。
いいなと思ったら応援しよう！
ありがとうございます！いただいたチップはクリエイターとしての活動費に使わせていただきます！