2FAを新しいスマートフォンに移行する方法：ロックアウトを防ぐ手順

2FAコードが自動で引き継がれない理由

機種変更は簡単なはずです:サインインし、データを復元、完了。認証アプリはそのパターンを崩します。アカウントを保護するコードは、端末自体に保存された秘密鍵から生成されます。しかし、新しい端末にインストールしたばかりのアプリは、どの秘密鍵も知りません。

二要素認証を有効にした際、各サービスはアプリに固有の秘密を渡しました。アプリはその秘密をローカルに保持し、約30秒ごとに新しいコードを生成します。サービス側には、アプリの中身を再生成する手段がありません。

クラウドバックアップや同期に対応するアプリもありますが、事前に有効化しておいた場合に限ります。多くの人は自動で行われると思い込み、有効にしていません。バックアップがなければ、旧端末の初期化や売却で全ての秘密が一瞬で消えます。

引き継ぎを省略することが、自業自得なアカウントロックアウトの最も多い原因です。対処は数分で済みますが、新しい端末に触れる前に始める必要があります。

乗り換え前に：両方のスマホを準備する

今ほんの数分の準備が、後の締め出し（ロックアウト）を防ぎます。

2FAアカウントを棚卸しする。 2FAで保護されているすべてのアカウントをリストアップし、各コードを生成しているアプリを確認しましょう — Google Authenticator、Microsoft Authenticator、Authy、またはパスワードマネージャー内蔵の機能など。

バックアップコードを保存する。 アクセスできるうちに、各サービスからバックアップコードをダウンロードまたは印刷します。安全なオフラインの場所に保管してください。このコードは両方のスマホが使えなくなっても機能します。

アカウント復旧情報を確認する。 重要なアカウントに登録されている復旧用メールアドレスと電話番号が、今も自分が管理しているものか確認しましょう。古い電話番号が登録されたままだと、後でアカウント復旧ができなくなることがあります。

古いスマホを使える状態に保つ。 すべてのアカウントが新しいスマホで動作するようになるまで、充電しWi-Fiに接続したままにします。早く初期化しすぎることが、締め出しの最も多い原因です。

古いスマートフォンからアカウントをエクスポートする

エクスポート方法は、使用しているアプリによって異なります。万能な方法はないため、まず現在使用中の認証アプリを開き、設定を確認してください。

Google Authenticator: アプリを開き、プロフィール画像またはメニューをタップし、アカウントの移行 → アカウントのエクスポート を選択します。移行するアカウントを選ぶと、QRコード（アカウントが多い場合は複数枚）が表示されます。これを新しいスマートフォンでスキャンします。コードには有効期限があるため、すぐにインポートできる準備が整った時点で行ってください。

Microsoft Authenticator: このアプリはQRコードをエクスポートできません。代わりに、設定でクラウドバックアップを有効にしてください（iPhoneではiCloud、AndroidではGoogleアカウントを使用します）。新しいスマートフォンにアプリをインストールし、セットアップ中にバックアップからの復元を選択します。

Authy および類似のアプリ: これらはアカウントを通じてデバイス間でアカウントを同期します。新しいスマートフォンにアプリをインストールし、本人確認を行い、新しいデバイスを承認すると、トークンが自動的に表示されます。

上記のいずれのオプションもアプリにない場合は、次のセクションを参照してください。

新しいスマホでのインポートと確認

以前使っていた同じ認証アプリをインストールしてください。旧スマホにエクスポート用のQRコードが表示された場合は、新しいスマホでアプリのインポートまたは「アカウントの移行」オプションを開いてスキャンしてください。エクスポート時にバックアップファイルまたはバックアップコードを保存した場合は、代わりにアプリの復元オプションを使用してください。

アカウント経由で同期するアプリは動作が異なります: アプリをインストールし、同じクラウドアカウントにサインインして、復元を承認してください。何もスキャンしなくてもコードが再表示されるはずです。

アカウントが一覧に表示されたら、それぞれをテストします:

• 別のデバイスでそのアカウントのウェブサイトまたはアプリを開き、パスワードでサインインします。
• 要求されたら、新しいスマホに表示されている現在の6桁コードを入力します。
• 次のアカウントをテストする前に、ログインできていることを確認します。

コードは約30秒ごとに更新されるため、手早く入力してください。いずれかのアカウントがコードを拒否した場合は、旧スマホを初期化しないでください — まずそのアカウントを再エクスポートまたは修正してください。

エクスポートできないアカウントの対処法

一部のサービスは意図的にエクスポートをブロックしています。銀行アプリや一部の業務用アカウントは、シークレットを1つのデバイスに固定しているため、盗まれたエクスポートファイルを他人のスマホにコピーできないようになっています。これらは移行できません。再登録する必要があります。

新しいスマホで再登録する

1. パソコンからサービスにログインします。
2. セキュリティまたは二要素認証（2FA）の設定を開きます。
3. 認証アプリを設定するオプションを選択します。新しいQRコードが表示されます。
4. 新しいスマホのアプリでスキャンします。

古い登録を削除する

新しいスマホで正しくコードが生成されるようになったら、同じ設定画面に戻り、古いデバイスのエントリを削除します。サービスがアクティブなアプリを1つしか許可していない場合は、再スキャンしてください。古い登録を放置すると、もう管理していないスマホが信頼された要素として残り続けます。

パソコンからログアウトする前に、新しいコードをテストしてください。

古いスマホを消去する前に、すべてを確認する

新しいスマホのコードは、実際のアカウントを開けるまでは何の意味もありません。何かを消す前にテストしてください。

• 重要なアカウントを1〜2個選びます — まずメール、次に銀行かパスワードマネージャー。
• サインアウトするかプライベートウィンドウを使い、新しいスマホのコードでサインインします。
• コードが機能すれば、そのアカウントの移行は成功です。

最初の2つだけでなく、すべてのアカウントを同じ方法で確認してください。たった1つの気づきにくい失敗 — インポートされなかったアカウント — でも、後で締め出される原因になります。

すべてのアカウントが新しいスマホから開けるようになって初めて、古いスマホを初期化（工場出荷時にリセット）してください。未検証のままの消去は、このプロセス全体で最大の、しかも回避可能な締め出しリスクです。先にリセットしてから壊れたアカウントを見つけた場合、残された選択肢はアカウント復旧フローだけで、数日かかったり完全に失敗したりする可能性があります。

最後のアカウントが確認できるまで、古いスマホは使える状態にしておきます。それから消去してください。

すでにロックアウトされている場合

ロックアウトされてもアカウントが消えたわけではありません。以下の方法を順番に試してください。

バックアップコードを試す

2FA を設定した際、ほとんどのサービスはバックアップコード(リカバリーコード)を発行しています — まさにこの事態のために用意されたものです。印刷したコピー、パスワードマネージャー、古いスクリーンショットを確認してください。各コードは通常 1 回限り有効です。パスワードでサインインし、指示されたらリカバリーコードのオプションを選んで 1 つ入力します。

サービスのアカウント復旧を利用する

バックアップコードがない場合? 主要なサービスはいずれも独自の復旧プロセスを持っています。書類で本人確認をするサービスもあれば、代替メールアドレスや電話番号を利用するサービスもあります。必ずサービス公式のサインインヘルプページから始めてください。先方から接触してくる「復旧エージェント」を名乗る者は無視してください — 詐欺です。

直接サポートに連絡する

自動復旧が失敗した場合は、サービスのサポートチームに連絡してください。利用できる選択肢は完全にそのポリシー次第です。アカウント作成日や請求情報などの詳細で所有権を証明できるよう準備しておいてください。対応時間はまちまちです。銀行やメールプロバイダーはリスクが大きいため、時間がかかることがよくあります。

引っ越し後：ロックアウトを防ぐには

引っ越しは完了しましたが、ロックアウトのリスクはまだ残っています。以下の3つの習慣で防ぎましょう。

バックアップコードを更新する。 引っ越し前のコードは使いかけまたは古くなっている可能性があります。重要なアカウントごとに新しいコードを発行し、スマートフォンとは別の場所——金庫、鍵のかかる引き出し、信頼できる親族の家など——に印刷または手書きでオフライン保管してください。スマホのメモアプリに保存したバックアップコードは、その目的を自ら失います。

アカウント復旧情報を確認する。 各アカウントのセキュリティ設定を開き、復旧用メールアドレスと電話番号が最新か確認してください。もう所有していない古い電話番号は、他人にとっての侵入経路であると同時に、自分では使えない復旧手段にもなります。

パスキーが利用できる場合は導入する。 パスキーはプラットフォームアカウントを通じてデバイス間で同期されるため、スマートフォンを紛失してもアクセスを失うことはありません。

要約：乗り換え前にエクスポート、初期化前に確認、バックアップはオフラインで保管。これを実行すれば、次回のスマホの機種変更は日常作業となり、救出作戦にはなりません。