恢复代码

本文约需 2 分钟阅读

リカバリーコード (Recovery Code / Backup Code) とは、多要素認証 (MFA) のデバイスを紛失・故障した際に、アカウントへのアクセスを回復するための バックアップ認証手段です。通常、アカウントの MFA 設定時に一度だけ表示される 使い捨てのコード群で、各コードは 1 回限り使用できます。 スマートフォンの故障やセキュリティキーの紛失は誰にでも起こりうるため、 リカバリーコードの事前保管は MFA 運用における必須の安全策です。

一般的な形式と仕組み

リカバリーコードの形式はサービスによって異なりますが、最も一般的なのは 8 桁の英数字コードが 10 個セットで発行されるパターンです。 Google、GitHub、Dropbox などの主要サービスがこの形式を採用しています。

サービス側ではリカバリーコードをハッシュ化して保存しており、 ユーザーがコードを入力するとハッシュ値を照合して認証します。 使用済みのコードは即座に無効化され、再利用はできません。

安全な保管方法

リカバリーコードは「MFA の最後の砦」であるため、保管方法の選択は極めて重要です。 保管場所を間違えると、リカバリーコード自体が攻撃の入口になります。

リカバリーコード自体が攻撃対象になるリスク

リカバリーコードはパスワード + リカバリーコードだけでアカウントにアクセスできるため、 MFA をバイパスする「裏口」として攻撃者に狙われます。アカウント乗っ取りの 手法として、ソーシャルエンジニアリングでリカバリーコードを聞き出すケースや、 マルウェアでパスワードマネージャーのデータベースごと窃取するケースが報告されています。

対策として、リカバリーコードの保管場所自体にも強力な保護を施すことが重要です。 パスワードマネージャーに保存する場合は、マスターパスワードを十分に強力にし、 パスワードマネージャー自体にも MFA を設定します。紙に印刷する場合は、 物理的なアクセス制御 (金庫、施錠) を徹底します。

リカバリーフロー

パスキー時代のリカバリー設計

パスキーの普及により、 リカバリーの考え方も変化しています。パスキーは iCloud キーチェーンや Google パスワードマネージャーを通じてクラウド同期されるため、 デバイス 1 台の紛失でアカウントにアクセスできなくなるリスクは低減しました。 しかし、Apple ID や Google アカウント自体のリカバリーが必要になった場合、 従来型のリカバリーコードが依然として最後の手段になります。

企業環境では、パスキーに加えてバックアップ用のセキュリティキーを登録し、 さらにリカバリーコードを IT 管理者が安全に保管するという多層的な設計が推奨されます。セキュリティキー導入ガイドやアカウントが乗っ取られたらどうなるかも リカバリー設計の参考になります。アカウントセキュリティの関連書籍 (Amazon)も実務に役立ちます。

現場での使用例

「海外出張中にスマートフォンが故障し、TOTP アプリにアクセスできなくなりました。 事前にパスワードマネージャーに保存していたリカバリーコードで全アカウントに 復帰でき、業務への影響はゼロでした。保管していなかったら数日間ロックアウト されていたと思います。」

二段階認証の基本で リカバリーコードの設定手順も解説しています。