ワンタイムパスワード（OTP: One Time Password）は、1回限り・短時間だけ有効な使い捨てのパスワードです。ネットバンキングなどで馴染みのある方も多いと思いますが、企業のPC・サーバーへのログインを守る手段としても広く使われています。
この記事では、ワンタイムパスワードの仕組みと種類、それぞれの安全性の違い、そして企業が導入する際に押さえるべきポイントを解説します。
ワンタイムパスワードとは
ワンタイムパスワードとは、一度使うと無効になる、使い捨てのパスワードのことです。多くの場合、6桁程度の数字で、30秒〜数分といった短い有効期限が設定されています。
通常のパスワードとの違い
- 通常のパスワード（固定パスワード）：一度設定すると変更するまで同じ。盗まれると、変更するまでそのまま使えてしまいます
- ワンタイムパスワード：毎回変わり、短時間で失効する。仮に盗み見られても、次のログインには使えません
この「盗まれても再利用できない」という性質が、ワンタイムパスワードの最大の価値です。
2要素認証との関係
ワンタイムパスワードは、多くの場合2要素認証（多要素認証）を実現するための手段として使われます。
「ID・パスワード（本人だけが知っていること）」に加えて、「スマートフォンや専用デバイスに表示されるワンタイムパスワード（本人だけが持っているもの）」を組み合わせることで、異なる2種類の要素による認証が成立します。用語の整理は 多要素認証（MFA）とは？で解説しています。
ワンタイムパスワードの仕組み
時刻同期型（TOTP）
現在最も広く使われている方式です。サーバーと利用者側の端末が同じ「秘密の鍵」と「現在時刻」を使って、同じ計算式でパスワードを生成します。両者が独立して同じ値を導き出せるため、ネットワークを通じてパスワードを送る必要がありません。
認証アプリに表示される数字が30秒ごとに切り替わるのは、この時刻同期の仕組みによるものです。
カウンタ同期型（HOTP）
時刻の代わりに「何回目の認証か」というカウンタを使う方式です。時計のズレの影響を受けませんが、サーバー側とのカウンタのズレを調整する仕組みが必要になります。
チャレンジ&レスポンス型
サーバーが提示した数値（チャレンジ）をもとに、利用者側で応答値（レスポンス）を生成する方式です。
ワンタイムパスワードの種類と安全性の違い
「どうやってワンタイムパスワードを受け取るか」によって、利便性と安全性が変わります。すべて同じ安全性ではありません。
1. 認証アプリ（スマートフォンアプリ）
- 安全性：高い — 通信を経由せず端末内で生成されるため、通信の傍受を受けません
- 利便性：高い — 既存のスマートフォンで利用でき、専用機器の配布が不要
- 注意点：機種変更時の移行手順を周知しておく必要があります
2. ハードウェアトークン（専用デバイス）
- 安全性：高い — 独立した専用機器のため、PCやスマートフォンが侵害されても影響を受けにくい
- 利便性：中 — 人数分の購入・配布コスト、紛失時の再発行対応が必要
3. SMS（ショートメッセージ）
- 安全性：中 — SIMスワップ（携帯電話番号の乗っ取り）や、ロック画面へのSMS表示による盗み見といったリスクが指摘されています
- 利便性：高い — アプリのインストールが不要で、導入のハードルが低い
パスワードのみの状態より大幅に安全になるのは確かですが、認証アプリや専用デバイスと比べると相対的に強度は劣ると考えられています。
4. メール
- 安全性：低め — メールアカウント自体が乗っ取られていた場合、ワンタイムパスワードも同時に見られてしまいます
- 他の方式が使えない場合の代替手段として位置づけるのが妥当です
ワンタイムパスワードで止められること・止められないこと
止められること
- 漏洩したパスワードによる不正ログイン — 固定パスワードを盗まれても、ワンタイムパスワードがなければ入れません
- パスワードの使い回しに起因する被害 — 他サービスから流出したパスワードでのログイン試行（リスト型攻撃）を止められます
- 総当たり攻撃 — 短時間で失効するため、推測が困難です
止められないこと
- 機器やソフトウェアの脆弱性を突く侵入 — 認証を経由しないため、パッチ適用が別途必要です（VPN脆弱性対策・社内Wi-Fiの入口）
- リアルタイムで誘導される高度なフィッシング — 偽サイトでワンタイムパスワードを入力させ、その場で悪用する手口が存在します
- 利用者自身が不正なファイルを実行してしまうケース
ランサムウェア対策としての位置づけは 多要素認証が効く経路・効かない経路で詳しく整理しています。
OTPを含むソフトウェアキー型の方式を横断で比較したい場合はソフトウェアキー型MFAの種類と選び方、OTPでも止めきれない突破手口については多要素認証は突破されるのか？MFAの限界と対策をご覧ください。
企業が導入する際のポイント
クラウドだけでなく、Windows PC・サーバーのログインにも導入する
クラウドサービスにはワンタイムパスワードを導入済みでも、社内のWindows PCやWindows ServerへのOSログインはID・パスワードのみという企業は少なくありません。実際に業務データが保管され、ランサムウェア被害で最も打撃を受けるのは社内サーバーです。Windows環境への導入方法は Windows OSログインの2要素認証とは？で解説しています。
優先度の高い端末・アカウントから始める
全社一斉に導入する必要はありません。サーバー、管理者権限を持つアカウント、社外から接続する端末など、被害の大きいところから段階的に進めるのが現実的です。
スマートフォンを持たない従業員への対応を決めておく
業務でスマホを使わない従業員がいる場合、ハードウェアトークンなど別方式の併用を検討します。全員に同じ方式を適用する必要はありません。
紛失・故障・機種変更時の手順を事前に整える
導入後に最もつまずきやすいのがこの部分です。「ログインできなくなったときにどうするか」を決めていないと、業務が止まります。
委託先・保守ベンダーのアカウントにも適用する
自社の従業員だけに適用しても、委託先のアカウントが除外されていれば、そこが侵入口になります（サプライチェーン攻撃）。
入れたあと日々の仕事で変わること
ワンタイムパスワードを入れたあと、担当者の手間が増えやすいのは「誰がまだ設定していないか」の確認と、機種変更や紛失のときの対応です。ユーザーごとの2要素認証の設定状況（回復キー・ワンタイムパスワード・ワンタッチ・LINE）が1画面で見られれば、1人ずつ聞いて回らずに、設定が済んでいない人だけに声をかけられます。スマホを替えた社員がいても、席まで行かずに古いスマホの登録を外せます（アプリップリキー）。
利用者の側も、6桁の数字を毎回打ち込む代わりに、本人のスマホを鍵にしたワンタッチログインにすれば、ログインの手間はほとんど増えません。
よくある質問
Q. ワンタイムパスワードと2要素認証は同じものですか？
A. 異なります。2要素認証は「異なる2種類の要素を組み合わせる」という考え方で、ワンタイムパスワードはそれを実現する手段の一つです。ワンタイムパスワードだけを単独で使う場合は2要素認証にはなりません。
Q. SMSでのワンタイムパスワードでは不十分ですか？
A. パスワードのみの状態より大幅に安全になります。ただしSIMスワップ等のリスクがあるため、重要なシステムには認証アプリや専用デバイスの利用が推奨されます。
Q. 認証アプリは通信できない場所でも使えますか？
A. 時刻同期型（TOTP）の場合、パスワードは端末内で生成されるため、アプリ側は通信がなくても数字を表示できます。ただしログインするシステム側の要件は製品によって異なるため、導入前に確認してください。
Q. 生体認証（顔認証・指紋認証）とどちらがよいですか？
A. 役割が異なります。PCの顔認証・指紋認証（Windows Hello）は、パスワードの入力を置き換えてログインを簡単にする手段で、同じPCの中で完結するためそれだけでは2要素認証になりません。ワンタイムパスワードは、PCとは別のスマホなど「本人が持っているもの」で確認するため、パスワードと組み合わせて2要素認証になります。
いまの運用を棚卸ししてみる
自社のWindows PC・サーバーへのログインは、いまどう運用しているか。applippliの無料棚卸しでは、10問・約3分に答えるだけで、いま何をやっていて何が手つかずのまま残っているかが項目ごとの一覧になります。結果はPDFレポートでもお届けします。 （ SCS評価制度については、こちらの記事で別途解説しています。）