二段階認証とは
この記事は約 2 分で読めます
二段階認証 (2FA) とは、パスワードによる認証に加えて、もう 1 つの異なる認証要素を組み合わせることで、アカウントへの不正アクセスを防ぐセキュリティ手法です。たとえパスワードが漏洩しても、第二の認証要素がなければログインできないため、アカウントの安全性が大幅に向上します。 Microsoft は 2019 年の記事で、多要素認証によってアカウント侵害攻撃の 99.9% 以上を阻止できると述べています。同社の研究者らが 2023 年に公開した実測研究では、侵害リスクの低減幅は調査対象全体で 99.22% 、認証情報が既に漏洩していたケースでは 98.56% と報告されています。
歴史的背景
二段階認証の概念は 1980 年代の銀行 ATM に遡ります。キャッシュカード (所持情報) と暗証番号 (知識情報) の組み合わせは、最も初期の二要素認証の実装例です。インターネットの普及に伴い、 2000 年代にはオンラインバンキングでワンタイムパスワードトークンが導入されました。 2010 年代に入ると Google が Gmail に二段階認証を導入し、一般ユーザーへの普及が加速しました。 2026 年時点では FIDO Alliance が推進するパスキー技術により、より安全で使いやすい認証方式への移行が進んでいます。
認証の 3 要素
認証要素は大きく 3 つに分類されます。「知識情報」はパスワードや PIN コードなど本人だけが知っている情報です。「所持情報」はスマートフォンやセキュリティキーなど本人だけが持っている物理的なデバイスを指します。「生体情報」は指紋や顔認証など本人の身体的特徴を利用するものです。二段階認証では、これらのうち異なる 2 つの要素を組み合わせて本人確認を行います。
二段階認証と多要素認証の違い
二段階認証 (2FA) と多要素認証 (MFA) は混同されがちですが、厳密には異なります。二段階認証は認証のステップが 2 回あることを意味し、同じ種類の要素 (例: パスワード + 秘密の質問) でも成立します。一方、多要素認証は異なる種類の要素 (知識 + 所持、知識 + 生体など) を組み合わせることを要求します。セキュリティの観点では、異なる種類の要素を組み合わせる多要素認証の方が堅牢です。実務上は「二段階認証」と呼ばれていても、実際には多要素認証として実装されているケースがほとんどです。
主な認証方式
最も普及している方式は、 SMS やメールで送信されるワンタイムパスワード (OTP) です。ただし SMS は SIM スワップ攻撃のリスクがあるため、 Google Authenticator や Authy などの認証アプリを使用する TOTP (時間ベースのワンタイムパスワード) 方式がより安全とされています。さらに高いセキュリティを求める場合は、 YubiKey などのハードウェアセキュリティキーを使用する FIDO2/WebAuthn 方式が推奨されます。
| 方式 | 受け取り方 | 安全性の評価 | 弱点と注意点 |
|---|---|---|---|
| SMS ・メールのワンタイムパスワード | 届いたコードを入力する | 最も普及しているが、この 3 方式の中では最も弱い | SMS は通信経路が暗号化されておらず、 SIM スワップ攻撃や SS7 プロトコルの脆弱性を突かれる |
| 認証アプリの TOTP (Google Authenticator 、 Authy など) | アプリが時間ベースで生成するコードを入力する | SMS より安全 | デバイスの紛失や故障に備えてリカバリーコードを安全な場所に保管する |
| ハードウェアセキュリティキー・パスキー (FIDO2/WebAuthn) | YubiKey などの鍵を差す、またはパスキーで認証する | 最も堅牢。より高いセキュリティを求める場合に推奨 | 対応サービスを選ぶ必要があり、鍵そのものの紛失に備える |
現場での使用例
二段階認証で実際につまずくのは、設定そのものより「その後」です。例えば、スマートフォンを機種変更したときに認証アプリのデータを移し忘れ、コードが表示できずログインできなくなる、という場面です。多くのサービスは復旧用のコード (リカバリーコード) を有効化のときに一度しか見せないので、これを印刷するかパスワード管理ツールの安全なメモ欄に保存しておくと、機種変更や端末の紛失でも自力で戻れます。もう一つ多いのが、心当たりのない承認通知が何度も届き、うんざりして押してしまう形です。通知が来たときに自分がどこにもログインしようとしていないなら、承認せず拒否してパスワードを変更するのが正しい対応になります。
認証フロー
実務での落とし穴
二段階認証を導入する際によくある誤解は「 SMS 認証で十分」という考えです。 SMS は通信経路が暗号化されておらず、 SIM スワップ攻撃や SS7 プロトコルの脆弱性を突かれるリスクがあります。可能な限り認証アプリやハードウェアキーを選択しましょう。また、リカバリーコードの管理も重要です。デバイスの紛失や故障に備え、リカバリーコードを安全な場所に保管しておかないと、自分自身がアカウントから締め出される事態に陥ります。パスつく.com で生成した強力なパスワードと二段階認証を組み合わせることで、アカウントのセキュリティを多層的に強化できます。
よくある質問
- 二段階認証とは何ですか？
- パスワードによる認証に、認証アプリのコードや SMS、生体認証などもう 1 つの確認手段を組み合わせて本人確認を行う仕組みです。パスワードが漏洩しても第二の要素がなければログインできないため、不正アクセスの大部分を防げます。 Microsoft は 2019 年の記事で、多要素認証によってアカウント侵害攻撃の 99.9% 以上を阻止できると述べています。
- 二段階認証と多要素認証 (MFA) の違いは何ですか？
- 二段階認証は認証のステップが 2 回あることを指し、同じ種類の要素の組み合わせでも成立します。多要素認証は知識 (パスワード)・所持 (スマートフォン)・生体 (指紋) といった異なる種類の要素の組み合わせを要求します。実務上は「二段階認証」と呼ばれていても、多要素認証として実装されているケースがほとんどです。
- どの二段階認証方式が最も安全ですか？
- SMS よりも認証アプリ (TOTP) の方が安全で、最も堅牢なのは YubiKey などのハードウェアキーやパスキーが使う FIDO2/WebAuthn 方式です。SMS は SIM スワップ攻撃で突破される恐れがあるため、選べる場合は認証アプリ以上の方式を使ってください。
この記事は役に立ちましたか？