会員サイトやアプリのログインにSMSの認証コード（＝ログインのたびにスマホへ届く使い捨ての数字）を使っていると、問い合わせ窓口にこんな連絡が来ることがあります。「電話番号を変えたので認証コードが受け取れない。そちらで新しい番号に変えてほしい」。
「電話番号を変えたお客様から、ログインできないので窓口で番号を変えてほしいと言われた。どう本人確認すればいいの？」
先に結論をお伝えします。窓口で電話番号を変える手続きは、ログインそのものと同じくらい強い本人確認が必要な「アカウントの復旧」です。名前と生年月日だけで受け付けると、そこが不正ログインの抜け道になります。おすすめは、窓口の担当者がその場で判断しなくて済むように、次の3つを開発会社と一緒に決めておくことです。
- 登録済みのメールアドレスなど、電話番号以外の手段で本人に連絡がつくかを確かめる手順
- 変更を受け付けたあと、元の連絡先に「変更しました」と知らせる仕組み
- 確認がそろわないときはその場で変えないというルール
この記事では、電話番号の変更による本人確認を、問い合わせ窓口の手順として決める5つのステップと、開発会社への質問例を紹介します（執筆時点：2026年11月）。
電話番号の変更で本人確認が問題になる理由
SMSの認証は、「この電話番号を持っている人＝本人」という前提で成り立っています。電話番号を変えたお客様は、その前提が崩れた状態です。窓口で番号を変えることは、新しい番号の持ち主を、本人として認め直すことになります。
ここで問題になるのが、本物のお客様と、お客様になりすました第三者を、窓口では見分けにくいことです。
| 窓口に連絡してくる人 | 言うこと | 本当の状況 |
|---|---|---|
| 本物のお客様 | 「機種変更で番号が変わった」 | 新しい番号に変えてあげたい |
| なりすました第三者 | 同じことを言う | 番号を変えると、アカウントを乗っ取られる |
なりすましの側は、どこかで手に入れた氏名・生年月日・住所などを答えられることがあります。SNSや過去の情報漏えいで、こうした情報が出回っている場合があるためです。
電話番号の乗っ取り（SIMスワップ）にも注意が必要
電話番号そのものが乗っ取られる手口も知られています。SIMスワップ（＝他人の個人情報を使って携帯電話会社にSIMカードの再発行を申し込み、電話番号を自分の端末で使えるようにする手口）です。
📰 出典：楽天証券「SIMスワップ詐欺に関する注意喚起」（2026年4月6日）
この注意喚起では、電話番号を乗っ取られると、SMSや電話番号による追加の認証が突破され、不正ログインにつながるおそれがあると説明されています。兆候として、スマホが突然圏外になる、身に覚えのないSIM再発行の通知が届く、などが挙げられています。
つまり、「SMSが届く番号を持っている」ことも、「窓口で個人情報を答えられる」ことも、それだけでは本人の証明として十分とは言えません。だからこそ、複数の確かめ方を組み合わせ、変更のあとに本人が気づける仕組みを用意しておくことが大切です。
海外の指針では「アカウントの復旧」として扱われている
ログインできなくなった人を元に戻す手続きを、アカウントの復旧（Account Recovery）と言います。米国の国立標準技術研究所（NIST）が出しているデジタル認証の指針 SP 800-63B-4 には、この復旧の考え方がまとめられています。日本の会社に守る義務があるものではありませんが、手順を考えるときの参考になります。
📰 出典：NIST SP 800-63B-4「Account Recovery」
この指針では、復旧の方法として次の4つを挙げています（用語は原文のまま、説明を足しています）。
| 方法 | どんなものか |
|---|---|
| Saved recovery codes | 登録時に本人が保存しておく、復旧用のコード（使い捨て） |
| Issued recovery codes | 復旧のときに、登録済みの連絡先（メールアドレスなど）へ送るコード |
| Recovery contacts | 本人があらかじめ指定した、復旧を手伝う連絡先 |
| Repeated identity proofing | 本人確認書類などで、登録時と同じ本人確認をやり直す |
また、二要素認証（＝パスワードとSMSのように、2種類の確かめ方を組み合わせる方式）に相当するレベルのアカウントでは、上の方法のうち異なる2つを組み合わせる、などの条件を求めています。さらに、復旧を行ったときは、必ず本人（または本人が指定した人）に通知を送ることとしています。
ポイントは、「窓口の担当者が話した印象で判断する」のではなく、仕組みで確かめられるものを組み合わせるという考え方です。
窓口での本人確認を決める5ステップ
ステップ1：何を守るサービスかで、確認の強さを決める
同じ「電話番号の変更」でも、乗っ取られたときの被害はサービスによって違います。まず、自社のサービスがどれに近いかを決めます。
| 乗っ取られたときの被害 | 例 | 確認の強さの目安 |
|---|---|---|
| 小さい | 会員向けのお知らせを読むだけ | 登録メールアドレスでの確認で受け付ける |
| 中くらい | 住所・購入履歴などの個人情報が見られる | メールでの確認＋別の確かめ方を組み合わせる |
| 大きい | 支払い・ポイント・送金ができる、他人の情報が見られる | 本人確認書類での確認など、手厚くする |
強くするほど安全になりますが、本物のお客様の手間も増えます。どこまで求めるかは、被害の大きさとのつり合いで決めます。
ステップ2：電話番号以外で本人に連絡がつく手段を確かめる
もっとも使いやすいのは、登録済みのメールアドレスです。窓口から、または画面から、登録済みのメールアドレスに確認のリンクやコードを送り、お客様がそれを受け取れたら、本人である可能性が高いと考えられます。
ここで大切なのは、次の2点です。
- 送り先は、お客様がその場で言ったメールアドレスではなく、すでに登録されているものにする
- 窓口の担当者は、届いたコードの値を電話口で聞かない（お客様自身に画面で入力してもらう）
コードの値を電話で読み上げてもらう方式にすると、なりすましの側が「コードを教えて」と本物のお客様をだます手口に使われるおそれがあるためです。
ステップ3：メールでも確かめられないときの手順を決めておく
メールアドレスも変わっていて連絡がつかない、という場合もあります。ここで窓口の担当者が困らないよう、例外の手順を先に決めておきます。
- 本人確認書類（運転免許証など）の提出を受けて確認する。どの書類を・どう受け取り・確認後にどう扱うか（保管期間・削除）を決める
- 登録住所への郵送で確認コードを送る
- それでも確認できない場合は、その場では変更しない。新しくアカウントを作ってもらい、必要ならデータの引き継ぎを別に相談する
本人確認書類を受け取る場合は、書類そのものが大切な個人情報になります。受け取り方と保管の方法は、個人情報の扱いを含めて開発会社や社内の担当者と決め、法的な扱いに迷う点は専門家に確認してください。
ステップ4：変更したら、元の連絡先に知らせる
本人確認を手厚くしても、なりすましを完全に防ぐことはできません。そこで、変更のあとに、本物のお客様が気づける仕組みを用意します。
- 電話番号を変えたら、登録済みのメールアドレス（と、可能なら元の電話番号）に「電話番号が変更されました」と知らせる
- 知らせには、身に覚えがない場合の連絡先を書く
- 変更から一定期間は、支払い方法の変更や大きな操作に追加の確認を求める、などの制限も検討する
NIST の指針でも、通知にはわかりやすい案内と連絡先を入れることとされています。この仕組みは、窓口での変更だけでなく、お客様が画面から自分で番号を変えたときにも同じように動くようにしておくと安心です。
ステップ5：窓口の手順書と、記録の残し方を決める
最後に、ここまでの内容を窓口用の手順書にまとめます。担当者が変わっても同じ対応になるようにするためです。
- 受け付けてよい条件（ステップ1〜3で決めた確認がそろったとき）
- 確認してはいけないこと（認証コード・パスワードを聞かない）
- その場で変えずに、責任者へ回す条件（急がせる、話が合わない、短い期間に何度も変更を求める、など）
- 記録に残すこと（受付日時、確認した方法、対応した担当者。確認書類の画像そのものを記録に貼らない）
記録が残っていれば、あとで「身に覚えがない」と連絡があったときに、どの手順で変更されたかをたどれます。
そもそも窓口に頼らずに済む仕組みも検討する
窓口での変更は、どうしても人の判断が入ります。件数が多いなら、お客様が自分で手続きを終えられる仕組みを開発会社に相談する価値があります。
- 電話番号の変更は、ログインした状態で、変更前に登録メールでも確認してから行う画面にする
- 登録時に、復旧用のコードを保存してもらう
- SMSのほかに、認証アプリ（＝ワンタイムパスワードを表示するスマホアプリ）や、パスキー（＝スマホの指紋・顔認証などで本人を確かめる、パスワードを使わないログインの方式）も選べるようにする
いずれも、作り込みの量によって費用と期間が変わります。また、復旧の手段を増やすほど、それぞれが抜け道にならないよう確認の強さをそろえる必要があります。
SMSの認証コードが届かないという問い合わせへの切り分けは、次の記事で解説しています。
電話番号の変更対応でやりがちな失敗
よくあるつまずきを、パターンとしてまとめます（特定の事例ではなく、よくある流れを整理したものです）。
| やりがちな失敗 | 何が起きるか | 防ぎ方 |
|---|---|---|
| 名前・生年月日・住所が合えば変更する | 情報を手に入れた第三者に乗っ取られる | 仕組みで確かめられる手段を組み合わせる |
| お客様が言ったメールアドレスに確認を送る | なりすましの側のメールに届いてしまう | 送り先は登録済みの連絡先に限る |
| 電話口で認証コードを読み上げてもらう | だましの手口に使われる | コードはお客様自身に画面で入力してもらう |
| 変更しても誰にも知らせない | 乗っ取られても本物のお客様が気づけない | 元の連絡先に変更の通知を送る |
| 「急いでいる」と言われてその場で変える | 確認が抜け、手順が形だけになる | 確認がそろわなければ責任者へ回す |
発注者がやること チェックリスト
- ☐ 自社のサービスが乗っ取られたときの被害の大きさを整理し、確認の強さを決めた
- ☐ 電話番号の変更で、登録済みのメールアドレスなど別の手段で確かめる手順を決めた
- ☐ メールでも確かめられないときの例外の手順（書類・郵送・その場で変えない）を決めた
- ☐ 本人確認書類を受け取る場合の、受け取り方・保管期間・削除の方法を決めた
- ☐ 電話番号を変えたら元の連絡先に通知が届くか、開発会社に確認した
- ☐ 窓口では認証コードやパスワードを聞かないルールを手順書に書いた
- ☐ 変更の受付記録（日時・確認方法・担当者）を残すようにした
- ☐ お客様が自分で番号を変えられる画面や、SMS以外のログイン手段の要否を検討した
開発会社への質問例
- 「電話番号が変わってログインできないお客様が、窓口を通さずに自分で番号を変える手順は、今のシステムにありますか」
- 「電話番号やメールアドレスが変更されたとき、変更前の連絡先に通知は届きますか。届かない場合、追加するにはどのくらいの作業が必要ですか」
- 「窓口の担当者が電話番号を変えられる管理画面は、誰が使えて、操作の記録は残りますか」
- 「復旧用のコードや、認証アプリ・パスキーなど、SMS以外の手段を用意する場合、どの方式が今のシステムに合いますか」
- 「SIMスワップのように電話番号そのものが乗っ取られた場合を考えると、今の認証の仕組みで弱いところはどこですか」
まとめ
電話番号を変えたお客様から「窓口で番号を変えてほしい」と言われたときは、次の考え方で準備しておくと、窓口の担当者が迷わずに済みます。
- 窓口での番号変更は「アカウントの復旧」であり、ログインと同じくらい強い本人確認が必要
- 確認は、担当者の印象ではなく、登録済みのメールアドレスなど仕組みで確かめられる手段を組み合わせる
- 確認がそろわないときは、その場で変えない
- 変更したら、元の連絡先に必ず知らせ、身に覚えがない場合の連絡先を書く
- 件数が多いなら、お客様が自分で手続きできる画面や、SMS以外のログイン手段を開発会社に相談する
どこまで確認するかに正解は1つではありません。サービスの被害の大きさとお客様の手間のつり合いを見ながら、開発会社と一緒に決めていきましょう。
あわせて読みたい関連記事
