SBI証券のセキュリティについて

デバイス認証

site2.sbisec.co.jp

名称はデバイス認証となっているが、実質的にはワンタイムパスワード(OTP)をメールで送付する形式の多要素認証である。
認証されたデバイスはこのメールによるOTP認証をスキップし、ユーザーネーム(ID)とパスワードのみでログインできる。

欠点

メールによる認証なので、フィッシングにより突破される可能性がある。
対象がPC/スマートフォン向けwebサイトのみで、これだけだとPC/スマートフォン用アプリはIDとパスワードでログイン可能。

FIDO（スマホ認証）

site2.sbisec.co.jp

独自のスマートフォン用アプリ「SBI証券スマートアプリ」を用いた、生体認証もしくはパスコードを使った多要素認証。
アプリをインストールして認証登録した端末以外からのログインでも、QRコードを表示して登録端末からの認証が必要になる。

欠点

認証登録できる端末が1台のみである。新たに別の端末を認証登録すると、以前の端末の登録は無効になる。
認証登録の際の認証方法がメールによるOTP認証である(フィッシングの余地がある)。
PC/スマートフォン向けwebサイトに加えて、「SBI証券 米国株 アプリ」や「取引所CFD アプリ -くりっく株365」でも使えない(2025年3月23日時点)。

セキュリティのために

デバイス認証とFIDO、どちらも有効にした方が良い。

要望

早急にwebサイトや未対応のアプリでも「SBI証券スマートアプリ」を利用した認証ができるようにしてほしい。