所持認証と本人確認：サービスで個人認証が必要なとき、何を選ぶべきか

認証を導入するとき、最初に問うべきなのはソリューション名ではありません。

SMSにするか、PASSにするか、電子証明書を使うかでもありません。

問いは一つです。

私たちは今、このユーザーについて何を証明する必要があるのか？

この問いを外すと、認証設計はすぐにちぐはぐになります。電話番号を確認できればよい場所に本人確認を入れたり、逆に人そのものを確認すべき場所でSMS認証だけにしたりするからです。

見た目はいずれも「携帯電話認証」のようですが、本質は違います。

所持認証は、手段を確認する

SMSで認証コードを送り、ユーザーがその番号を入力したとします。

ここで証明できるのは、ただ一つです。

「この人は現在、この電話番号に届いたSMSを読める」

それ以上ではありません。

その番号が本人名義か、成人か、実名は何か、一人で複数アカウントを作っているかまでは分かりません。家族名義の携帯電話、会社支給の端末、再利用された番号かもしれません。

したがってSMSコード認証は本人確認ではなく、所持認証です。

所持認証の本質は「この連絡手段を今コントロールしているか」です。

登録時に連絡可能な番号かを確かめる、パスワード再設定用の番号を登録する、予約通知の送付先を確認する、軽い不正利用を抑える、といった用途ならこれで十分なことが多いでしょう。

この段階で必要なのは人の法的な身元ではなく、連絡手段が有効であることです。

本人確認は、人を確認する

韓国のPASSによる携帯電話本人確認は別のものです。

PASSは単に「SMSを受け取れるか」を見る手続きではありません。通信事業者と本人確認機関を通じ、その人が本人名義の携帯電話を基に確認済みの人物かを確かめる仕組みです。日本の読者には、携帯電話事業者と本人確認事業者が連携する韓国固有の本人確認インフラと捉えると分かりやすいでしょう。

そのためPASSは認証というより、より正確には本人確認に近いものです。

本人確認の本質は「制度上、この人が特定の個人であるか」です。

成人であることを確かめる、一人に一つの権利だけを与える、精算や出金のように責任の所在が重要な機能を開放する、法律上本人確認が必要なフローでは、所持認証だけでは足りません。

この場面で重要なのは携帯電話を持っているかではなく、その人が誰なのかです。

二つを混同すると、プロダクトが壊れる

SMS認証を本人確認のように扱うのは危険です。

ユーザーは電話番号を確認しただけなのに、サービス側が成人確認や実名確認まで済んだものとして判断しかねません。そうなるとポリシーも運用対応もぶれ、後から問題が起きたときに説明が難しくなります。

逆に、所持認証で十分な場所に本人確認を入れると、プロダクトは重くなります。

ユーザーは登録前に離脱し、サービスは不要な個人情報まで扱うことになります。認証を増やせば常に安全になるわけではありません。不要な本人確認はセキュリティではなく、摩擦であり責任です。

まとめ

サービスが知る必要があるのが電話番号なら、SMS認証で足りる場合があります。

サービスが知る必要があるのが人そのものなら、PASSのような本人確認が必要です。

連絡可能な番号を確かめるなら所持認証。

年齢、実名、同一人物性、法的責任を確認するなら本人確認。

金銭、精算、出金、高リスク取引を扱うなら、本人確認に加えた追加認証と不正取引検知も検討すべきです。

手段が必要なら所持認証。人が必要なら本人確認。

これが要点です。

良い認証とは、ユーザーをできるだけ長く足止めする手続きではありません。

必要なときに、必要な分だけ、正確に証明する手続きです。