短い答え
認証コードは鍵であり、パスワードの控えではありません。サインインする人がアカウントの所有者であることを証明するために存在します。自分から連絡していない相手がそのコードの共有を求めてきたら、その依頼は、相手がどれほど親切そうでも、どれほど公式らしく聞こえても、あなたのアカウントに入ることを目的としています。
アカウント認証コードは、アカウント所有者本人の認証手続きのために使われるものです。Source
この一点だけで、判断のほとんどは決まります。ログインコードを発信者に渡す必要はありません。コードは発信者のためのものではなく、目の前のログイン画面のためのものだからです。
似ているようで違う3つの状況
混乱はたいてい、3つの異なる場面を混同することから生じます。自分で始めたログイン、誰かが欲しがっているコード、そして本当に電話をかけてきたのは誰かの確認です。それぞれ取るべき行動が異なります。
| 状況 | 何が起きているか | どうするか |
|---|---|---|
| 自分でログインやアプリを開き、完了用のコードが届いた | サインインしているのは自分で、コードは自分の操作を完了させるもの | 自分で開いた画面にコードを入力する。誰にも転送しない |
| 身に覚えのない相手がコードの読み上げや送信を求めてきた | 誰かがあなたになりすましてサインインを完了しようとしている | 共有しない。連絡を打ち切る |
| 発信者が本物か確認したい | 相手の番号ではなく、すでに信頼している経路が必要 | 電話を切り、既知の経路で組織に連絡する |
最も重要なのは真ん中の行です。コードはサインインしようとしている人にしか役に立たないため、コードを求めることはアクセスを求めることになります。
詐欺師は信頼できる組織を装い、アカウントへのアクセスを得るためにコードを求めることがあります。Source
相手が伝えてきた番号では確認できない理由
発信者は、銀行、プラットフォームのサポートチーム、あるいは取引のあるあらゆる組織を名乗ることができます。発信者番号、参照番号、落ち着いた話し方は、電話の相手が誰かを証明しません。安全なのは、相手が掌握している経路を使うのをやめ、自分で選んだ経路に切り替えることです。
FTCは、身に覚えのない連絡を打ち切り、発信者が提供した番号ではなく、信頼できる明細書やアプリの連絡先を使って自分で組織に電話することを勧めています。Source
ここが多くの人が飛ばしてしまう部分です。電話を切っても、相手が伝えた番号にかけ直せば同じ相手につながるので、意味がありません。明細書、アプリ、保存済みの連絡先、自分で開いた公式ページなど、もともと持っていた連絡経路を使ってください。
その場で使えるチェックリスト
- 会話をいったん止める。 相手が話している間は、肯定も否定も読み上げもしない。
- ログインを始めたのは誰かを自問する。 自分でサインインを開いていなければ、コードが誰かに届くはずはない。
- 身に覚えのない連絡を打ち切る。 見知らぬ相手に説明する義務はない。
- 相手の番号を使わない。 すでに信頼している経路で組織を調べる。
- 自分から組織に連絡し、アカウントに本当に問題があるかを尋ねる。
- 自分が求めていないコードが届いたら、誰かがサインインを試みた兆候として扱い、その信頼できる経路で報告する。
手順6はほかと分けて考える価値があります。自分が求めていないコードは侵害の証拠ではありませんが、発信者を通すのではなく、自分が掌握する経路で確認する理由にはなります。
避けたい失敗パターン
- 「最初の数桁だけなら確認してもいい」 一部のコードも鍵の一部です。一切共有しないでください。
- 「相手がくれた番号にかけたら本物だと言われた」 その番号は同じ発信者につながります。何も証明しません。
- 「相手が私の名前を知っていたから本物に違いない」 あなたの情報を知っていることは本人確認の証明にならず、コードを共有する理由にもなりません。
- 「今は共有して、あとでパスワードを変えればいい」 誰かがサインインを完了した時点で状況はすでに変わっています。共有した後ではなく、共有する前に止めてください。
これらのどのパターンも、特定のプラットフォームのメニューの仕組みを知っている必要はありません。判断はメニューより前の段階で下されます。コードはアカウント所有者のためのものであり、身に覚えのない発信者はアカウント所有者ではありません。
このガイドが扱わないこと
組織によっては、あなたが先に連絡した場合に独自の確認手続きを使います。それは、自分が始めていないサインインのために届くログインコードとは別物であり、このガイドはあらゆるサポートの確認手順をログインコードとして扱うものではありません。ここでのルールは意図的に狭くとらえています。サインイン用のコードは、サインインする本人のもとに留まります。
このページでは、不安を感じた後のアカウントの整理、設定の変更、プロフィールが本物かどうかの確認についても扱いません。それらは別の作業です。
役に立つ次の一歩
電話にはたいてい物語がついてきます。メッセージ、ソーシャルメディアのプロフィール、公式を名乗るサポートアカウントなどです。電話そのものではなくその主張を調べたいなら、次の作業はサポートアカウントが本物かどうかの確認です。偽のカスタマーサポートのソーシャルアカウントを見分ける方法のガイドでは、その別の問いを順を追って説明しています。
連絡してきたプロフィールを調べるとき、ユーザー名検索は出発点になりますが、公開された一致は手がかりであって、その背後に誰がいるかの証明ではありません。確認すべきものとして扱い、確定情報とはしないでください。