Bureau、インドUPI向けサイレント認証を発表　SMV全体で1日300万件超

不正対策企業Bureauは2026年10月15日、インドの統一決済インターフェース（UPI）の端末ひも付けに対応する「Silent Mobile Verification（SMV）」を発表した。携帯通信事業者のデータ網を使い、電話番号とSIM、認証を要求する端末の対応関係を利用者の操作なしで確認する。

同社によると、SMVは2026年8月時点で20超のアプリ・企業で稼働し、1日300万件超の認証を処理している。UPIの登録に加え、ログインや再認証などにも使えるサービスだ。

■UPIの端末ひも付けを通信網で確認

UPIを運営するインド決済公社（NPCI）は、銀行口座間の即時送金を支える仕組みを提供している。端末ひも付けは、登録した電話番号に対応するSIMと利用端末を確認し、アプリの利用環境を結び付ける工程だ。

従来のSMSによる端末登録では、銀行に登録した番号のSIMから確認用SMSを送信する。Googleのインド向けGoogle Payの公式説明でも、口座を追加する際には、その番号からSMSを送る必要があるとしている。

この工程に通信事業者側の照合を取り入れるのがSMVだ。Bureauによると、アプリが利用者の電話番号と端末のIPアドレスを安全に送信し、同社が該当する通信事業者を通じて確認を行う。通信事業者は、その番号が認証要求元の端末で使われているSIMに対応するかを照合する。

同社は、照合結果を一致・不一致の形で4秒未満で返すとしている。確認用のSMSやワンタイムパスワード（OTP）の入力を省くことで、登録やログインの手順を減らす狙いがある。

■ネットワーク認証の仕組みと利用条件

携帯通信網では、SIMに保持された認証情報を使って加入者を認証する。例えばGSMでは、SIMと通信事業者側が共有する秘密鍵Kiを用い、鍵そのものを無線区間で送らずに認証する仕組みがある。ネットワークによる番号確認は、こうした加入者認証を経た接続の情報を活用する。

通信網を通じた電話番号確認に関しては、Linux FoundationとGSMAが協力するCAMARAプロジェクトで「Number Verification API」の仕様が整備されている。モバイルデータ網に接続する端末のSIMに対応した電話番号を確認するためのAPIだ。

Bureauは、SMVをOSや端末に依存しない仕組みと説明している。同社の技術説明によると、利用者がWi-Fiに接続している場合でも、認証要求はモバイルデータ回線経由で通信事業者の接続先へ送る。デュアルSIM端末では、確認する番号とデータ接続の通信事業者との対応も確認するという。

コードを利用者に届けて入力してもらう工程を省けば、そのコードを偽サイトへ入力させたり、電話で聞き出したりする機会を減らせる。Bureauは2025年8月の製品紹介で、コンバージョン率が120％改善すると説明している。これは同社が示した製品効果の数値だ。

■SIM交換履歴と端末情報を組み合わせる

番号確認は、認証時点での電話番号とSIMの対応関係を示す情報になる。一方、直近のSIM交換履歴は、別のリスク情報として確認できる。SIMスワップ詐欺では、攻撃者が被害者の番号を引き継いだSIMを不正に取得し、その番号の通信を受け取れる状態にする。

CAMARAの「SIM Swap API」は、電話番号に対応するSIMの交換時刻や、指定期間内の交換の有無を確認するための仕様だ。番号確認と交換履歴を組み合わせることで、現在の接続状態に加え、その直前に起きた変更も認証判断に取り込める。

Bureauも、SMVとSIM交換検知を組み合わせる構成を説明している。同社によると、SIMの変更やネットワークの不一致などの異常を検知した場合には、追加認証などの対応を行う。通信網による確認に、端末情報や利用者の行動情報を重ねる多層的な設計だ。

端末側の改変も重要な対策対象となる。CloudSEKは2026年3月11日、「Digital Lutera」と呼ぶLSPosedベースのモジュールを分析したと公表した。同社によると、Androidのシステム機能に介入し、送信する登録SMSの内容を取得したり、アプリに偽の電話番号を返したり、送信済みSMSの記録を偽造したりする。

CloudSEKが説明する攻撃は、被害者の端末が悪意あるアプリによって侵害され、SMSを読み取り・転送できることなどを前提とする。同社は、端末の完全性確認と通信事業者側の検証を強化するよう提言している。Gadgets 360が伝えたNPCIの回答では、UPIにはこうしたリスクに対応する複数の安全対策があり、銀行などと継続して強化しているとしている。

■NPCIの端末登録方式とRBIの認証指針

Express Computerによると、NPCIの2026年9月30日付通達「OC-238」は、SMSによる端末ひも付けと並ぶ代替の確認方式としてSMVを認めた。通信網の情報を、UPIの登録手続きに取り入れる制度上の動きだ。

決済取引の認証については、インド準備銀行（RBI）が2025年9月25日に指針を公表し、原則として2026年4月1日までの対応を求めた。適用除外を除く国内のデジタル決済には、異なる2つ以上の認証要素を使用することを定めている。

同指針では、対面のカード取引を除き、少なくとも1つの要素について、取引ごとに異なる認証情報や保有の証明を使うことも求める。さらに、端末の属性、利用者の行動、取引履歴などのリスクに応じ、追加の確認を行う枠組みを示している。

通信網が確認した電話番号の情報は、こうした認証やリスク判断に組み込める。SMVの役割は、端末登録や再認証の際にSIMと番号の対応を確認し、本人確認や取引監視などと組み合わせることにある。

■通信事業者との連携とUPIの取引規模

Bureauは、インドでJio、Airtel、Vodafone Ideaに対応し、加入者の96％超をカバーすると説明している。これは同社が公表したサービスの対応範囲だ。

TelecomTalkがインド電気通信規制庁（TRAI）の資料を基に報じたところでは、2026年6月末の携帯回線契約は約12億8,238万件だった。Jioは約5億358万件で39.27％、Airtelは約4億8,680万件で37.96％、Vodafone Ideaは約1億9,882万件で15.50％を占める。大手3社への対応は、多数の利用者へサービスを届ける基盤になる。

UPI自体の取引規模も拡大している。インド財務省の資料では、年間取引件数は2016～17年度の約1,790万件から、2025～26年度には約2,416億1,690万件へ増えた。約1万3,500倍の規模となる。

NPCIの統計によると、2026年8月の取引件数は約245億896万件で、9月は約240億6,838万件だった。9月の1日平均は約8億228万件となる。7月の取引額は約29兆8,788億ルピーに達した。

この決済件数とは別に、端末の新規登録、端末変更後の再登録、ログイン時の確認といった認証需要がある。Bureauが公表する1日300万件超はSMV全体の認証処理規模であり、こうした手続きを支えるサービスの広がりを示している。

■不正対策市場とBureauの事業基盤

インド財務省が2025年12月の議会答弁で示した資料によると、2025～26年度の同年11月までの8カ月間に報告されたUPI不正は106万4,000件で、関係する金額は80億5,000万ルピーだった。決済の普及とともに、登録から取引までを継続して監視する重要性が増している。

世界のSMSを通じた不正について、Juniper Researchは2025年11月、利用者の損失額を2025年の800億米ドル（約12兆6000億円）から2026年には710億米ドル（約11兆2000億円）へ減少すると予測した。対象にはSMSを使ったフィッシングやアカウント乗っ取りが含まれる。同社は、企業向けSMSの通信量減少や不正検知機能の改善を減少要因に挙げた。

BureauはRanjan R Reddy氏が2020年に設立した、サンフランシスコを本拠とする企業だ。同社の公式紹介では、創業者は約20年にわたり決済やデジタルIDに関わってきた。銀行、フィンテック、保険、ギグエコノミー、リアルマネーゲームなどの事業者向けに、不正防止とコンプライアンス管理の基盤を提供している。

同社は2024年12月、シリーズBで3,000万米ドル（約47億4000万円）を調達したと発表した。開発支援企業KeyValueによると、当時、Bureauのプラットフォームを通じたID検証は6億件超に達していた。Bureauは独自のIDナレッジグラフを用い、端末、行動、本人確認などの情報を不正リスクの判断に活用するとしている。

Moneycontrolが2024年12月に報じたインタビューで、Reddy氏はインドの不正防止市場を73億米ドル（約1兆1500億円）規模と説明した。同社は海外にも事業を広げ、2024年2月にはフィリピンとインドネシアへの展開を発表している。

UPIも国外へ広がっている。インド政府によると、2026年9月時点で、シンガポール、アラブ首長国連邦、フランス、カタールなど海外11カ国で、加盟店決済の受け入れや国際送金に対応していた。利用場面が増えるなか、通信網が持つ情報を端末・行動・取引の情報と組み合わせる認証方式が、決済基盤を支える選択肢となる。

元記事: Silent Mobile Verification Replaces SMS-OTP in UPI at 3M Daily Verifications