列挙攻撃を防ぐ設計 ― アプリが「該当する番号はありません」と言わない理由
July 18, 2026 · Jogajogチーム · 2 分で読めます
要点：どの電話番号やメールアドレスでコードを要求しても、その識別子が存在するか否かにかかわらず、画面の応答はまったく同じです。攻撃者が識別子を試し打ちして会員リストを収集することはできません。小さな設計判断が、名簿全体を守ります。
仕組み
未知の識別子に対して静かに何もしないのは、エラーメッセージの実装漏れではなく、意図的な設計です。
同じ原則が、招待の解決やパスワードレスのフロー全体を一貫して守っています。
入力を誤ったメンバーにも明確な案内が表示されます。「登録内容を管理者にご確認ください」という一文です。
よくあるご質問
この仕様はメンバーを混乱させませんか？
「識別子が登録されている場合はコードを送信しました」と表示します。正直かつ安全な文面です。
ほかに列挙攻撃から保護されているものはありますか？
サインイン、招待、検索の表示可否のいずれも、非公開の存在を確認させません。
御社の実データでお確かめください ― 無料ブランドデモのお申し込みはこちら →
{“@context”: “https://schema.org”, “@type”: “FAQPage”, “mainEntity”: [{“@type”: “Question”, “name”: “この仕様はメンバーを混乱させませんか？”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “「識別子が登録されている場合はコードを送信しました」と表示します。正直かつ安全な文面です。”}}, {“@type”: “Question”, “name”: “ほかに列挙攻撃から保護されているものはありますか？”, “acceptedAnswer”: {“@type”: “Answer”, “text”: “サインイン、招待、検索の表示可否のいずれも、非公開の存在を確認させません。”}}]}