電子メール認証コード: コピー、確認、使用するためのより安全な方法
Once Email 編集部レビュー Once Email 日本語編集レビュー
記事ガイド
この記事を読む価値
- 独自分析
- アドレス確認メールを認証から分離し、受信からクリップボードへの保存、宛先チェック、送信、意図的なクリーンアップまで 1 つのコードに従います。
- トレンドの背景
- パスキーはより一般的になってきていますが、電子メールの確認コードと回復コードは依然として日常的に使用されており、フィッシングでは依然としてユーザーがページ間で手動で転送するコードが悪用されています。
- 実用的な価値
- 読者は、予期しないコード、類似ドメイン、共有デバイス、クリップボードの公開、および自動コード抽出の制限について、短い決定ルーチンを得ることができます。
このページの内容
コードは09:14に到着しました。送信を求めるページはまだ開いており、送信者の名前には見覚えがあり、6 桁の数字は簡単に見分けられました。ほとんどのアドバイスが抽象的になりすぎるのはこのときです。確認コードは転送が簡単であるからこそ便利ですが、その利便性により、間違ったページに渡したり、チャットに貼り付けたり、共有クリップボードに残したりすることも簡単になります。
より安全なルーチンは短く、一時停止、一致、コピー、使用、クリア です。間違ってペーストした後にアカウントを回復するよりも時間がかかりません。
このガイドは、アドレス確認、サインイン、回復、または機密性の高い変更のために電子メールで配信されるコードについて説明しています。これらのメッセージはすべて同じセキュリティ上の意味を持っているわけではありません。 NIST は、電子メール アドレスの検証に使用されるコードを認証プロセスから明示的に区別し、手動で入力されたコードをフィッシング耐性のあるものとして扱いません。この区別が重要です。コードを正確に抽出しても、それを要求しているページが正当であることは証明されません。
一時停止: このリクエストを開始しましたか?
最初のチェックは、数字を読み取る前に行われます。どのようなアクションがメッセージの原因となったかを尋ねます。
アカウントを開設したばかり、パスワードのリセットをリクエストしたばかり、または変更を確認したばかりの場合、このタイミングは理にかなっています。何もアクションが思い浮かばない場合は、メッセージで提供されたページのコードを「テスト」しないでください。誰かがあなたのアドレスを間違えたか、別の人がそのアドレスに関連付けられたアカウントにアクセスしようとしている可能性があります。
予期しないコードは命令ではなく信号です。未使用のままにして、保存したブックマークまたはすでに知っているアドレスから関連サービスを開き、そこで最近のアカウントのアクティビティを調べます。サポートを名乗る人には決してコードを送信しないでください。正当なサポート会話では、ライブ検証の秘密を開示する必要はありません。
予期しないコードが繰り返される場合は、もう少し注意する必要があります。関連する永続メールボックスのセキュリティを確認し、回復オプションを確認して、再利用されるパスワードを変更してください。コード自体がメールボックスが侵害されたことを意味するとは考えないでください。また、攻撃者がアドレスを知っており、次のステップで失敗していることを意味する場合もあります。
一致: メッセージを正しいトランザクションに接続します
コピーする前に、次の 4 つの詳細を比較してください。
- サービス: これは、あなたが使用していた組織と製品ですか?
- アクション: メッセージには、サインイン、アドレス確認、回復、または要求した正確な変更が記載されていますか?
- 時間: 数時間後ではなく、そのアクションの直後に到着しましたか?
- 宛先: 開いているページは、予期される登録済みドメイン上にあり、HTTPS を使用しており、驚くべきサブドメインやスペルはありませんか?
行き先の確認は人々がスキップするものです。 6 桁のコードが有効な間に、フィッシング ページによって実際のサービスに中継される可能性があります。 NIST は、出力が意図されたセッションに暗号的にバインドされていないため、手動で入力された認証出力はフィッシング耐性がないと説明しています。一般的な言葉で言えば、正しいコードでは、どのページを信頼するつもりだったのかがわかりません。
ホスト名を右から左に読んでください。 accounts.example.com では、登録されたサイトは example.com です。 example.com.attacker.testではattacker.testです。装飾的なロゴ、見慣れた色、送信者の表示名によってもそれは変わりません。
お金、仕事へのアクセス、健康記録、メインアカウントの回復など、重大な結果が生じる場合には、パスキーなどのフィッシング耐性のあるオプションがサービスで提供されている場合には、そのオプションを選択することをお勧めします。電子メール コードは、アドレスの確認や回復に依然として役立ちますが、利用可能な最も強力なサインイン方法であると誤解すべきではありません。
コピー: コードのみを移動します
トランザクションが一致したら、有用な最小値をコピーします。周囲の文、送信者アドレス、リセットリンク、アカウント詳細は選択しないでください。クリーンな 6 文字のクリップボード エントリにより、偶発的な開示が減少し、目に見えない書式によるフォームの破損が防止されます。
Once Email の 検証コード抽出ツール はブラウザ上でローカルに動作します。メッセージ テキストまたは HTML を貼り付け、候補を確認して、認識したコードをコピーします。このツールは、貼り付けられたメッセージを処理 API に送信せず、送信者または宛先が信頼できるかどうかを判断しません。
自動抽出は意図的に保守的ですが、あいまいさが残る可能性があります。
- 注文番号は確認コードのように見える場合があります。
- フッターには短い内線番号が含まれる場合があります。
- 古い引用メッセージには期限切れのコードが含まれている可能性があります。
- 一部のサービスでは数字だけでなく文字も使用されます。
- メッセージにはトランザクション参照とワンタイム シークレットの両方を含めることができます。
候補者を近くの文言およびフォームの予想される長さと照合します。ページで 8 文字が要求され、抽出ツールが 6 桁の注文番号を強調表示した場合は、トリミングしたり推測したりせずに停止してください。
使用方法: チェック済みのページに貼り付けます
リクエストを開始したページに戻ります。コードの横に表示されるという理由だけで、新しい「今すぐ確認」リンクをたどらないでください。 1 回貼り付け、1 回送信して、結果を読み取ります。
コードが拒否された場合は、別のメッセージをリクエストする前に、最新のメッセージと宛先を確認してください。多くのサービスでは、置換が発行されると以前のコードが無効になるため、コードを急速に生成するとシーケンスが混乱する可能性があります。 OWASP では、有効期間が短く、1 回のみの使用、試行制限、検証成功後の無効化を推奨しています。これらはサービスが実装する必要があるコントロールです。ユーザーは、区別できないメッセージの山を作成しないようにする必要があります。
バリエーションを再試行し続けないでください。失敗試行制限は推測を防止するためのものであり、繰り返し送信するとフローがロックされる可能性があります。期待したコードが機能しない場合は、知らない人に助けを求めたり、スクリーンショットを共有したりするのではなく、サービスの既知のページから再開してください。
クリア: 小さなセキュリティタスクを終了します
共有デバイスまたは管理デバイスを使用している場合は、送信が成功したら、クリップボードの内容を機密性の低いものに置き換えます。確認ページとメッセージのプレビューを閉じます。メッセージに必要なレコードが含まれていない場合は、一時的な受信トレイで期限切れにするか、独自の保持ニーズに応じて耐久性のあるメールボックスからメッセージを削除します。
クリップボードのクリーンアップは魔法の消しゴムではありません。クリップボード マネージャー、デバイス同期、リモート デスクトップ ソフトウェア、および管理対象デバイス ツールは、設定に従ってコピーされたデータを保持する場合があります。実際的な目標は、次の誤った貼り付けに備えてライブ コードを放置しないようにすることです。
また、トラブルシューティング中にメッセージが公開された可能性のある場所も確認してください。スクリーンショット、画面録画、チケットの発行、チャット スレッドはコードよりも長く存続することがよくあります。有効期限が切れた後でも、住所、アカウント名、サービス関係、回復ワークフローが明らかになる可能性があります。
コード抽出ツールは便利なツールであり、信頼エンジンではありません
3 つの個別の質問があります。
| 質問 | 役立つこと | 答えが出ないもの |
|---|---|---|
| コードに似ている短い文字列はどれですか? | ローカル抽出と近くのメッセージ テキスト | 送信者の信頼性 |
| 私がこの取引をリクエストしましたか? | あなた自身の最近のアクションとアカウントのアクティビティ | 洗練されたメールデザイン |
| これは正しいページですか? | 登録されたドメインと既知のナビゲーション パス | 正しいコードまたは見慣れたロゴ |
これらの質問を分けておくことで、「ツールがコードを見つけたので、メッセージは本物である」というよくある推論エラーを防ぐことができます。抽出により転写が改善されます。送信者の認証、アカウント履歴の検査、コードを Web サイトにバインドすることはありません。
疑わしい HTML の場合は、リモート コンテンツをロードせずに 保護された電子メール プレビュー] を使用してください。メッセージから宛先を開かずに調べるには、メールリンクチェッカー]で宛先を抽出し、登録されているドメインを比較します。
開発者チェックリスト: より安全な道を簡単な道にする
検証フローを構築するチームは、すべての負担をユーザーに任せるべきではありません。健全な実装には次のことが必要です。
- コードの有効期間を短くし、使い捨てにしてください。
- 新しいコードが要求されるたびに、失敗回数をリセットせずに、失敗した試行をレート制限します。
- 使用に成功した後、コードを無効にします。
- 平文コードのログ記録や保持を避けます。
- 要求されたアクションとおおよその時間をメッセージに記載します。
- 無関係な数字をコードの近くに配置しないようにします。
- 必要に応じて、パスワード マネージャーとプラットフォーム コード自動入力セマンティクスをサポートします。
- 重要なサインイン パスに対して、より強力なフィッシング耐性のある認証システムを提供します。
- リクエストが受信者によって開始されなかった場合のキャンセルとセキュリティ レポートを簡単にします。
OWASP の 多要素認証ガイダンス は、コードの有効期間、単一使用、試行制限、およびストレージをカバーしています。 NIST の 認証者の要件 では、電子メール検証コードと認証シークレットに異なるクレームが必要な理由、および手動で転送されたコードがフィッシング耐性がない理由が説明されています。
20 秒のルーチン
次のメッセージが到着したら:
- 一時停止: リクエストを開始したことを確認します。
- 一致: サービス、アクション、時間、登録されたドメインを比較します。
- コピー: コードのみを取得します。役立つ場合はローカル抽出を使用します。
- 使用方法: すでに確認したページに貼り付けます。
- クリア: クリップボードからライブ シークレットを削除し、タスクを閉じます。
重要なのは、6 桁のコードを儀式に変えないことです。これは、コピーでは実行できない 2 つのチェック (リクエストが自分のものであるかどうか、および宛先が本物であるかどうか) を追加するためです。