2026年10月13日8:00（日本标准时间）
【日本】BankGuard开发了一种名为“表情符号认证”的技术，该技术利用手动输入表情符号的难度，既能有效遏制实时网络钓鱼攻击，同时又能实现与传统一次性密码（OTP）同等的易用性。表情符号认证不仅可作为密码的补充，还可单独用于会员网站的登录及3-D Secure验证。BankGuard代表董事（工学博士）就这项被命名为“超级一次性密码（Super OTP）”的表情符号认证原理进行了讲解。（摘自2026年9月25日举办的“2026年秋季支付安全论坛”演讲）
BankGuard株式会社 代表董事（工学博士）（信息创新专业大学客座教授、防钓鱼对策协议会技术与制度研讨工作组成员） 藤井治彦先生
表情符号认证利用
了手动输入表情符号的难度， 实现了与OTP同等的易用性
今天，我将为大家讲解“通过表情符号认证强化密码”。本次演讲的要点有三点。第一点是表情符号认证的原理与应用；第二点是作为密码的补充；第三点是即使不与密码结合使用，也能单独使用。我将分这三个部分进行讲解。
第一点“表情符号认证的原理与应用”是指，表情符号认证利用了手动输入表情符号的难度。“手动输入”这一关键词至关重要。防御实时钓鱼攻击的方法主要有三种：即采取下线措施、使用密码密钥，或是利用手动输入的难度。若能同时采用这三种方法，安全性最高。
表情符号认证正是利用手动输入表情符号的难度，从而增加实时钓鱼攻击难度的方案。关键在于，它同时实现了与传统OTP同等的易用性。这项技术在保持与传统OTP相同操作性和便利性的基础上，实现了即使没有说明书，任何人都能轻松使用。
该技术的优势在于100%的用户都能使用。我们并不否定那些仅有九成或七成用户能使用的技术。但正因为“剩余无法使用该技术的人群”可能会因此上当受骗，因此防御这一环节至关重要。
第二点是作为密钥的补充。密钥虽然非常出色，但仍有一定比例的用户无法使用。考虑到这一点，在某些阶段不得不使用OTP。也就是说，虽然减少了手动输入和OTP的使用，但实际上它们仍然存在，而攻击者往往会针对这些环节发起攻击。即使密钥遭到攻击，它仍可作为备用认证手段使用。作为防范网络钓鱼的手段，我的主张是多因素认证应采用多种方式组合使用。如果仅依赖某一种认证方式，该环节就会被攻破。若将表情符号认证作为备用认证手段，便能产生显著的效果。
第三点是，它可独立使用，是一种不依赖任何特定技术的独立认证技术。表情符号认证即使单独使用，也能应用于会员网站登录时的3-D Secure等场景。即使几年才使用一次，这项技术依然适用，且不会因潮流更迭而过时。
研究永远无法破解的“密钥共享”问题
我是藤井治彦，博士，毕业于NTT研究所。我在被称为“武藏野通研”的研究所长期从事研究工作，并提出了双路径认证。所谓电话认证，是指登记电话认证，即在网站登录时拨打电话，通过显示主叫号码来完成登录。我已为此获得了基础专利。凭借这项成果，我获得了博士学位，并由NTT集团将其产品化。
我进入这一领域已有大约25年了。无论是登录时的密码替代方案、多因素认证、双因素认证、表情符号认证还是电话认证，我一直都在从事相关研究。在我担任密码学研究员期间，密码学界存在一个无法解决的问题，即“如何将密码或公钥安全地传递给对方”的问题。此外，还有“如何安全地注册生物识别信息”以及“密钥共享问题”，这些问题被认为永远无法解决。然而，通过使用电话认证、双因素认证和表情符号认证，其中一部分问题已经得到解决。这意味着这些技术已经产生了实质性的效果。
下面说明单独引入与与密码密钥结合使用的情况。表情符号认证被称为超级一次性密码（超级OTP）。也可以仅使用超级OTP进行认证，适用于会员网站的登录认证以及3-D Secure的身份验证。与密码密钥结合使用也没有问题。
万一密钥或短信验证被破解时，它可作为备份。即使用户通常使用密钥登录，也能通过超级OTP强化注册、修改和密码恢复环节的验证安全性，同时也可用于未使用密钥用户的身份验证。该技术既可单独部署，也可在密钥部署后继续并用。
所谓实时钓鱼攻击，是指诱使用户在钓鱼页面输入ID和密码。此类攻击方式越简单，攻击成本就越低，因此危害越大。超级OTP正是针对此类攻击而专门开发、值得推荐的技术。
超级OTP是一种新型的双因素认证系统，它将以往通过数字输入进行的身份验证，改为使用表情符号或图片进行验证。当您像往常一样输入ID和密码时，系统会通过邮件或短信发送每次都会变化的图片。接下来，您只需在提问界面中选择收到的图片即可。
收件人无需支付通信费用。传统的OTP曾因在用户与正规网站之间被钓鱼网站截取而遭到破解。如果用户未察觉是钓鱼网站，便将收到的OTP输入其中，输入的信息就会被窃取，从而导致非法登录。
而超级OTP采用的是表情符号而非数字。因此，即使伪造输入表单，也无法通过键盘输入表情符号。此外，即便试图伪造图片选择界面，也无法预判用户收到的具体图片并制作相应的选择界面。由此，能够有效保护用户免受非法登录的侵害。此外，除短信外，也可通过电子邮件版本使用该服务。我们在日本、美国、中国、新加坡这四个国家持有专利，并荣获了由专利局赞助的发明大奖、鼓励奖等各项殊荣，始终处于金融科技市场的前沿。超级OTP兼具压倒性的安全性与人人皆可轻松使用的便利性，将成为“与新冠共存”时代网络安全的新一代认证工具。
实时钓鱼攻击会使
OTP失效 导致互联网认证体系全面崩溃
实时钓鱼攻击是指，被引导至钓鱼网站的用户会输入用户ID和密码。黑客将这些信息输入正规网站后，密码便会从正规网站发送给用户。虽然人们曾认为“密码不会传到黑客手中，因此是安全的”，但用户实际打开的却是伪装网站。系统提示“请输入收到的OTP”，用户便毫无疑虑地在键盘上“哒哒哒”地输入。这个“哒哒哒”正是关键所在。一旦用户在键盘上“哒哒哒”地输入，黑客便会偷窥并将其输入到正规网站，从而成功登录——仅此而已。
由于邮件看似来自正规网站，因此DMARC验证结果是正确的。正因为是“正规”邮件，用户才会相信并输入。DMARC虽是一项卓越的技术，但既然OTP本身是“正规”的，用户自然会绝对信任。而攻击者正是利用了这一点。
唯独OTP难以防范，它与短信、邮件等无关。即使是硬件OTP，也能遭受同样的攻击。应用程序和语音通话也是如此，同样会受到此类攻击。详情请参阅我的博士论文。即使在OTP中加入英文字母或符号，只要能“哒哒哒”地输入，结果都是一样的。这意味着互联网认证体系的彻底崩溃。
■联系方式
BankGuard株式会社
网址：www.bkguard.com
