SMS OTP vs WhatsApp OTP：認証に最適なのはどちらか？
SMS OTPは無難な初期設定に思えます。しかしユーザー数が増えると、コストは急速に膨らみます。WhatsApp OTPはほとんどの市場で1通あたり70〜90%も安くなります。両者を比較します。
「無料」のSMS認証に隠れたコスト
SMS OTPは無難な初期設定に思えます。どの携帯電話でもSMSを受信でき、開発者なら誰でもTwilioの組み込み方を知っており、最初の数千通は安価です。しかしユーザー数が増えると、SMSのコストは急速に膨らみます。さらに、OTPエンドポイントが不正の標的になれば、コストは予測不能に跳ね上がることもあります。
WhatsApp OTPは、その代替として導入が進んでいます。SMSの代わりにWhatsApp経由でワンタイムパスワード（OTP）を配信するもので、ほとんどの市場では1通あたりのコストが70〜90%低くなります。しかし、あなたのアプリにとって本当に正しい選択でしょうか。両者を正面から比較してみましょう。
WhatsApp OTPとは？
WhatsApp OTPは、Meta（WhatsApp）Business Platformを使って、ワンタイムパスワード・確認コード・ログイン確認といった認証メッセージを、ユーザーのWhatsAppアプリに直接送信します。メッセージはユーザーと自社とのWhatsAppの会話に表示され、多くの場合はコードをコピーまたは自動入力できるボタンが付きます。
ユーザーから見れば、ほかのWhatsAppメッセージを受け取るのとまったく同じ感覚です。開発者から見れば、API（MetaのCloud APIを直接、またはTwilioやMessageBirdのようなBusiness Solution Provider経由）を呼び出して電話番号を渡すだけです。ユーザーはそのメッセージを自分のWhatsAppアプリで受け取ります。
ひとつ重要な制約があります。ユーザーがWhatsAppをインストールしている必要があるという点です。ほとんどの市場ではスマートフォン利用者の圧倒的多数がこれに該当し、WhatsAppの月間アクティブユーザーは全世界で20億人を超えます。ただし、利用していない少数のユーザーのために、SMSのフォールバックが必要になります。
一対一の比較
| 項目 | SMS OTP | WhatsApp OTP |
|---|---|---|
| コスト | 国によって1通あたり$0.01〜$0.51 | 1通あたり$0.001〜$0.055 — 50〜99%安い |
| 到達範囲 | 世界中のあらゆる携帯電話 | WhatsAppが必要（約20億ユーザー。WhatsApp普及率の高い市場では約5〜10%にフォールバックが必要だが、アメリカ・日本・韓国ではそれよりはるかに多い） |
| 到達性 | 不安定 — キャリアのフィルタリング、SIMの問題、番号ポータビリティの隙間 | 概して信頼性が高い。キャリア網ではなくインターネット経由で配信 |
| セキュリティ | SIMスワップやSS7攻撃に脆弱 | エンドツーエンドで暗号化。SS7/SIMスワップの影響を受けにくい |
| 不正リスク | 高い — SMSポンピング（通話料詐欺）は現実的かつ高コストな脅威 | 低い — WhatsAppはキャリアの課金網ではなくMetaのネットワーク上で動作 |
| ユーザー体験 | 馴染みがあり、普遍的 | より現代的。コードの自動入力に対応し、使い慣れたアプリに届く |
| 遅延 | 通常30秒以内。市場によっては遅いことも | インターネット接続経由で通常はほぼ即時 |
| 導入の複雑さ | 簡単 — ほとんどのSMSゲートウェイは数行のコードで済む | 初期設定が多い（Meta Businessの認証、WABAの承認） |
| 規制順守 | 国によって異なる。A2P登録が必要な市場もある | MetaのMessaging Policyに従う。規制業種では審査が必要な場合も |
コストの差：実際の数字
乗り換えの主な動機になるのはたいていコストです。以下は、TwilioのSMS料金とMeta WhatsApp Business Platformの認証料金にもとづく具体的な比較です（データ：2026年2月）。
月間10万通のOTP — 市場別コスト比較
| 市場 | SMSコスト/月 | WhatsAppコスト/月 | 月間削減額 | 削減率 |
|---|---|---|---|---|
| グローバル平均 | $8,750 | $1,130 | $7,620 | 87% |
| インド | $1,700 | $140 | $1,560 | 92% |
| ブラジル | $5,990 | $680 | $5,310 | 89% |
| イギリス | ~$5,240 | ~$2,200 | ~$3,040 | 58% |
| ドイツ | ~$11,200 | ~$5,500 | ~$5,700 | 51% |
| アメリカ | $830 | $340 | $490 | 59% |
削減効果はとくに新興市場（アフリカ・アジア・ラテンアメリカ）で大きく、これらはWhatsAppの普及率が最も高い地域でもあります。219か国を分析したところ、SMSからWhatsAppへ切り替えると100%の国で少なくとも44%の削減が見られ、58%の国では90%以上の削減が得られました。
エンタープライズ規模（月間100万通）では、グローバル平均での削減額は月あたり約$76,000 — 年間では$914,000超に達します。
セキュリティ：WhatsApp OTPはSMSより安全か？
はい、いくつかの重要な点で安全です。
エンドツーエンド暗号化
WhatsAppのメッセージは、Metaのサーバーと受信者のデバイスとの間でエンドツーエンドに暗号化されます。SMSは暗号化されないままキャリアのインフラを通るため、送信途中で傍受されるおそれがあります。
SS7の脆弱性がない
SMSはSS7（Signaling System No. 7）攻撃に脆弱で、攻撃者は通信シグナリングプロトコルの弱点を突いてメッセージを傍受・転送します。WhatsAppはSS7網を完全に迂回し、インターネット上で動作します。
SIMスワップのリスク低減
SIMスワップ — 攻撃者がキャリアを説得して、あなたの電話番号を自分の管理下にあるSIMへ移す手口 — は、SMSベースのあらゆるOTPを侵害しかねません。WhatsAppは（SIMだけでなくデバイスに紐づく）独自の登録レイヤーを持ち、SIMスワップ攻撃者にとってのハードルを上げます。ただし、攻撃者がWhatsAppへのアクセスも得た場合には、リスクを完全になくせるわけではありません。
不正リスクの低減
SMSポンピング攻撃（ボットがOTPエンドポイントを悪用し、プレミアムレート番号宛てに不正なメッセージを大量生成する攻撃）は、SMS特有の現象です。WhatsAppはMetaのネットワーク上で動作し、キャリアの課金分配のような仕組みを持ちません。WhatsAppへ切り替えることで、この種の不正リスクをまるごと排除できます。詳しくはSMSポンピング攻撃の仕組みと防ぎ方をご覧ください。
重要な注意点：WhatsApp OTPもSMS OTPと同じく、依然として知識要素（ユーザーが受け取るもの）です。偽サイトでOTPコードを入力させるフィッシングは防げません。フィッシング耐性のある認証については、パスキーとFIDO2をご覧ください。
SMS OTPを使うべきとき
SMS OTPが依然として正しい選択となる場面もあります。
- 普遍的な到達が必須の場合。ユーザーの年齢層が高めであったり、WhatsApp普及率の低い市場にいたりする場合、SMSのほうがより多くのユーザーに届く可能性があります。
- SMS送信量が少ない場合。月間で約1万通未満であれば、コスト差の絶対額は小さく、追加の設定に見合わないこともあります。
- 規制上の要件。一部の規制業種（銀行、医療）には、認証チャネルに関する固有のガイダンスがあります。自分の管轄区域で何が承認されているか確認してください。
- WhatsAppのフォールバック。主にWhatsApp OTPを使う場合でも、WhatsAppを持たないユーザー向けにSMSをフォールバックとして維持すべきです — インドやブラジルのような高普及率市場では約5〜10%ですが、他のメッセンジャーが主流のアメリカ・日本・韓国では半数をはるかに超えます。
WhatsApp OTPを使うべきとき
- SMS送信量が多い場合。削減効果は月間5万通以上で意味を持ち始めます。月間10万通以上になると、差は大きくなります。
- グローバル/新興市場のユーザーベース。アジア・アフリカ・ラテンアメリカの多くの地域ではWhatsApp普及率がほぼ全域に及び、そこはSMSが最も高額な市場でもあります。
- 不正対策を優先する場合。SMSポンピング攻撃を経験した、あるいは懸念している場合、WhatsAppへの切り替えでその攻撃経路を排除できます。
- 現代的なUX。WhatsApp OTPはコードの自動入力に対応し、使い慣れた信頼できるアプリのコンテキストで届きます。WhatsApp普及率の高い市場では、SMSより完了率が高い傾向があります。
最適な構成：WhatsAppを主、SMSをフォールバックに
切り替えを済ませた本番アプリの多くは、SMSを完全には捨てず、WhatsApp優先・SMSフォールバックの方式を採用しています。
- まずWhatsAppでの配信を試みる
- ユーザーがWhatsAppを持っていない、またはWhatsAppメッセージの配信に失敗した場合は、自動的にSMSへフォールバックする
- どちらのチャネルが使われたかを記録し、チャネル構成比を継続的にレポートする
これにより、（WhatsAppは高普及率市場で送信の90〜95%を処理するため）コスト削減の大半を取り込みつつ、SMSフォールバックによって普遍的な到達を維持できます。
WhatsApp OTPの実装方法
方法は2つあります。
方法1：Meta Cloud APIを直接利用する
MetaのWhatsApp Business Cloud APIに対して直接構築します。Meta Businessアカウントの用意、WhatsApp Business Account（WABA）の承認取得、そしてAPI統合の自作が必要です。制御性が高く、規模が大きくなれば1通あたりのコストも下がりますが、設定の手間は増えます。
方法2：WhatsApp OTP内蔵の認証プラットフォームを使う
Authgearのようなプラットフォームは、SMSフォールバック付きのWhatsApp OTPをすぐに使える形で提供しており、別途WABAを設定する必要はありません。Authgearは既定でWhatsApp経由でメッセージをルーティングし、自動的にSMSへフォールバックします。しかも両チャネルに不正対策が組み込まれています。ルーティングのロジックを自作せずにコスト削減を取り込みたいなら、これが最短の道です。
要点まとめ
- WhatsApp OTPは、世界のほぼすべての市場でSMSより50〜99%安い
- WhatsAppのほうが安全：エンドツーエンド暗号化、SS7の脆弱性なし、不正リスクが低い
- 主な制約はWhatsAppの到達範囲 — WhatsAppを使わないユーザー向けにSMSをフォールバックとして維持する
- WhatsApp優先・SMSフォールバックの構成なら、普遍的な到達を保ちつつ削減の大半を取り込める
- グローバル平均で月間10万通のOTPなら、WhatsAppへの切り替えで月あたり約$7,600（年間$91,400）を削減できる
SMS OTPのコストを削減する準備はできましたか？ ライブデモを予約して、AuthgearがどのようにOTPをWhatsApp経由でルーティングし、自動的にSMSへフォールバックするかをご確認ください。あるいはSMSコスト削減計算ツールで削減額を見積もってみてください。
あわせて読みたい：二要素認証（2FA）のコストはどれくらいか？、SMS OTPの脆弱性と代替手段、SMSポンピング攻撃。