お得さは評価する。それでも、利用者が選べる認証の備えは物足りない。 社会貢献をきっかけにポイントを貯めるモアクトですが、ログインを守る仕組みは、特典とは別に厳しく見たいところです。
本記事は、利用者から寄せられた「パスキーも、ログイン用の2段階認証も設定できない」という利用状況と、2026年11月1日に確認した公式公開資料を基にした批評です。公開資料でも両機能の設定案内は確認できませんでした。ただし、全アカウントの画面、開始当初の実装、内部の不正検知を検証した記事ではありません。
お得だけれど、認証は手放しで勧めにくい
モアクトは、2024年11月に実証を開始した比較的新しいサービスです。2026年7月には関西電力100％出資の株式会社モアクトへ事業が承継されました。
新しく始めるサービスだからこそ、使い始めからパスキーを選べること、難しければ少なくともログイン用の追加認証を設定できることを期待します。その選択肢を利用者が持てない点は、ポイントを扱うサービスとして残念です。 これは利用者向けの認証機能に対する編集部の評価であり、システム全体の安全性を採点したものではありません。
「関西電力グループだから安心」で判断を終えたくはありません。確認したいのはグループ名よりも、パスワードが他人に知られたときに、本人側で何を備えられるかです。
公式に確認できる電話番号認証と、確認できない機能
電話番号認証は初回交換時と、365日以上経過後
公式は、2025年12月18日から電話番号認証を導入したと案内しています。現在の案内では、登録時には必須ではなく、初めてギフト交換するときと、前回認証から365日以上経過した場合の再認証が必要です。
| 項目 | 確認できた内容 | 読み取る際の注意 |
|---|---|---|
| パスキー | 提供された利用状況では設定できず、公開資料でも設定案内を確認できない | 全アカウントへの提供状況や過去の実装は未検証 |
| ログイン用2段階認証 | 提供された利用状況では設定できず、公開資料でも設定案内を確認できない | 内部の不正検知や条件付き確認まで不存在とは言えない |
| 電話番号認証 | 初回ギフト交換時と、前回認証から365日以上経過後 | 毎回のログインを守る認証とは別 |
| 認証方法 | SMSまたは音声通話認証 | 「SMSしか使えない」わけではない |
| 電話番号の変更 | 登録日から365日間は再登録・変更できない旨の案内 | 不正対策の制限であり、ログイン保護の代替ではない |
「365日後に認証」とは、365日目に自動的にSMSが届くという意味ではありません。公式の案内は、前回から365日以上が経過した場合の再認証です。機種変更や番号変更を予定している人は、手続きの前に公式サポートで扱いを確認しましょう。
公式：電話番号認証の導入と条件（2026年2月更新） ／ 公式：FAQ・電話番号認証
電話番号を確認することと、ログインを守ることは別
電話番号認証の導入自体は評価します。公式は複数アカウントの不正取得や不正利用への対策を背景として説明しています。ただし、過去のある時点で携帯電話を操作できたことの確認と、今回ログインしている人が正当な利用者かを確認することは、目的もタイミングも異なります。
初回や年単位の電話番号確認を、ログイン用の2段階認証の代わりとして高く評価することはできません。 逆に、365日の間は誰でも交換できる、パスワードだけで必ず不正交換できる、と断定することもできません。追加の判定や内部対策は公開資料から分からないためです。
パスキー以前に、ログイン用の追加認証を選びたい
パスワードが知られたときの備えが必要
パスワードの使い回しは、他サービスでの漏えいが別のアカウントへの侵入につながるおそれがあります。偽サイトへ入力してしまうフィッシングも、長いパスワードを設定するだけでは防げません。
パスワードに加え、別の要素による確認を求める多要素認証は、パスワードだけが知られた場合への備えになります。「2段階」は手続きの段階数、「2要素」は知識・所持・生体など異なる種類の要素を使うことです。単に操作を二つに増やせば、同じ効果を得られるわけではありません。
利用者が希望しても追加の認証を設定できないなら、自衛にも限界があります。「自分で気を付ける」だけに頼らせず、サービス側にも守りを選べる仕組みを用意してほしい。 ここは厳しく評価したい点です。
パスキーは、偽サイトへの入力リスクを減らす選択肢
パスキーは、サービスに結び付いた公開鍵方式の認証です。端末の顔認証・指紋認証やPINなどで利用を許可でき、サービスへパスワードや生体情報を渡して認証する仕組みとは異なります。
FIDO Allianceはパスキーをフィッシング耐性のある方式に分類しています。一方、SMSや認証アプリのコードは、偽サイトへ入力してしまう余地があります。追加認証にも強度の差があり、パスキーを導入すれば端末の乗っ取りや復旧経路まで含めてすべて解決するわけではありません。
2024年開始だからこそ、最初の認証設計を問い直したい
Apple・Google・Microsoftは、2022年5月にFIDOのパスワードレス認証への対応拡大を共同発表しています。2024年11月のモアクト開始時点で、パスワードに依存しない認証は、すでに検討可能な方向性でした。
「最初からパスキーがなかった」という利用者の指摘は重く受け止めます。ただし、開始時点の全認証画面を確認できていないため、本記事では歴史的な実装の事実として断定しません。 問いたいのは、比較的新しいサービスで、現在も利用者が強い認証を選べないという指摘に対し、どのような改善方針を示すのかです。
導入には対応端末、アカウント復旧、サポート、コストなどの設計が必要です。それでも、パスキーの検討状況や追加認証の提供予定を説明してほしいと考えます。ポイント獲得の楽しさと同じくらい、アカウントを守る導線にも力を入れるべきです。
eo光・mineoのオプテージがあるグループだから、期待は高くなる
関西電力グループには、eo光やmineoを提供する株式会社オプテージがあります。同社の会社概要は関西電力100％出資と、情報システムの開発・運用・保守等の事業を記載し、サービス紹介では法人向けセキュリティサービスも案内しています。
だからこそ、同じグループから生まれた新しいポイントサービスで、パスキーやログイン用の追加認証を利用者が選べないという状況は、なおさら残念に感じます。通信・ITの事業基盤を持つグループに対して、認証の設計や説明へ高い水準を求めるのは自然です。
ただし、これはグループに対する期待を述べたものです。オプテージがモアクトの開発・運用・認証設計を担当しているという事実は、今回確認できていません。モアクトへの批評を、eo光やmineo自体の安全性への評価に広げることもしません。
法律上の義務と、「残念」という評価を分ける
パスキーがないことだけで違法とは言えない
個人情報保護法第23条は、取り扱う個人データの安全管理のため、必要かつ適切な措置を講じることを事業者に求めています。個人情報保護委員会の通則編ガイドラインも、取り扱うデータや事業の性質などに応じて、リスクに見合う措置を講じる考え方を示しています。
一方、今回確認した同条と通則編は、一般のポイントサービスすべてに、利用者向けパスキーや特定の2段階認証方式を一律に義務付けるものではありません。未対応という一点から「個人情報保護法違反」とは判断できません。 適法性の判断には、実際のデータ取扱いと安全管理措置の全体を確認する必要があります。
法律に違反すると断定できないことと、十分な認証であることは別
違法と判断する根拠がないからといって、編集部が認証機能を高く評価する必要はありません。本記事の「残念」は、利用者が選べる認証手段と、その説明・改善方針に対する評価です。
写真を提出するサービスでは、ポイント残高だけでなく、画像や利用履歴などの情報も気になります。仮に個人を識別できる情報を含むなら、その情報の扱いも確認すべきです。ただし、認証機能の案内だけから、画像が漏えいする、暗号化されていない、運営が違法に情報を提供している、といった結論は出せません。
本記事は、不正アクセスや情報漏えいが発生したと報じるものでもありません。事実の裏付けを守りながら、利用者の立場で改善を要求する。 その範囲で、厳しい評価をしています。
改善まで、利用者ができること
- モアクト専用の長く推測されにくいパスワードを使う。 他のサービスと使い回さず、パスワードマネージャーで管理する。
- 登録メールのアカウントを守る。 メール側で利用できるパスキーや多要素認証を設定する。これでモアクト自体の認証が強化されるわけではないが、復旧先を守る意味がある。
- 公式のブックマークなどから開く。 知らない相手から届いたリンク先で、パスワードや認証コードを入力しない。
- 写真の写り込みを減らす。 条件を満たしつつ、住所、他人の顔、私的な書類など不要な情報を提出しない。
- 端末とブラウザを更新し、画面ロックを使う。 共用端末にログイン状態を残さない。
- ポイントは使い道を決め、必要以上に残さない。 交換は残高管理の工夫であり、写真や個人情報へのリスクを消す対策ではない。
不審な利用に気付いたら、公式の手順でパスワードを変更し、日時や通知などの記録を残して公式サポートへ相談します。登録メールなど他のアカウントにも異常がないか確認してください。
結論：お得さに見合う、認証の改善を求めたい
モアクトの社会貢献とポイントを結び付ける発想には魅力があります。一方、提供された利用状況と公開案内を見る限り、パスキーもログイン用2段階認証も選べない点は、やはり残念です。 初回交換時と365日以上経過後の電話番号確認だけでは、ログイン保護への期待に十分応えたとは評価しにくいと考えます。
関西電力グループに通信・IT企業があることも、期待を高める理由です。求めたいのは「大手だから安心」という説明ではなく、強い認証を選べることと、どの場面で何を守るのかが分かる案内です。
まずはパスキー、または適切なログイン用多要素認証の提供方針を示してほしい。さらに、重要操作時の再認証、見覚えのないログインの通知、セッションの確認・失効、復旧経路の保護も説明してほしいと考えます。これらは改善提案であり、公開されていない機能がすべて存在しないと断定するものではありません。
利用するなら、自分のアカウント管理と写真の提供範囲を見直し、無理のない範囲で。お得さとセキュリティは、別々に評価しましょう。
出典・確認範囲
確認日：2026年11月1日。利用者から提供された認証機能の利用状況と、以下の公式公開資料に基づく解説・批評です。実際のログイン操作、全アカウントの設定画面、過去の画面、内部の不正検知・暗号化・脆弱性は検証していません。運営への個別照会による未対応確認も未実施です。機能の更新があれば評価を見直します。