セキュリティトークンとは

この記事は約 2 分で読めます

セキュリティトークン (Security Token) とは、認証に使用される物理デバイスまたはソフトウェアです。ワンタイムパスワードを生成するハードウェアトークン、 USB 接続のセキュリティキー (YubiKey など)、スマートフォンの認証アプリなどがあります。パスワードに加えた多要素認証の所持要素として機能し、アカウントのセキュリティを大幅に強化します。

現場での使用例

「クラウド管理コンソールへのアクセスに FIDO2 セキュリティキーを義務化した結果、フィッシング経由の管理者アカウント侵害がゼロになりました。 YubiKey の導入コストは 1 本あたり数千円ですが、投資対効果は極めて高いです。」

セキュリティトークンの種類

ハードウェアトークンは物理的なデバイスで、 OTP (ワンタイムパスワード) を表示するタイプと、 USB/NFC で接続する FIDO2 セキュリティキーがあります。ソフトウェアトークンはスマートフォンアプリとして動作し、TOTP を生成します。 FIDO2 セキュリティキーはフィッシング耐性が最も高い認証方式で、 Google は全社員に導入した結果、フィッシング被害がゼロになったと報告しています。 2025 年現在、パスキーの普及に伴い、 FIDO2 対応のセキュリティキーの需要がさらに高まっています。セキュリティキーの書籍 (Amazon)で詳しく学べます。

導入シナリオと選び方

個人利用では、まず主要なアカウント (メール、銀行、 SNS) に TOTP アプリを導入し、特に重要なアカウントには FIDO2 キーを追加するのが現実的です。企業環境では、 VPN やクラウドサービスへのアクセスにハードウェアトークンを義務化するケースが増えています。トークンの紛失に備えて、バックアップ用のリカバリーコードを安全に保管するか、予備のセキュリティキーを登録しておくことが重要です。オンラインバンキングではトランザクション認証用のトークンも活用されています。

トークンの活用

強力なランダムパスワードとセキュリティトークンを組み合わせることで、最高レベルのアカウント保護が実現します。二段階認証の設定ガイドを参考に、重要なアカウントから順に導入を進めましょう。 SMS 認証は SIM スワッピング攻撃に脆弱なため、可能な限り TOTP アプリやハードウェアキーに移行することを推奨します。アカウント保護の書籍 (Amazon)も参考になります。