電話を紛失する前に2FAシークレットキーをバックアップする方法

端末を紛失するとアカウントから締め出される理由

二要素認証(2FA)はアカウントを守る最良の手段の一つです —— 認証コードを保管している端末が消えるまでは。認証アプリを使っている場合、問題はこうです: TOTPのシークレットキーはそのスマホにしか存在しません。クラウドのコピーも、バックアップも、サービス側に何もありません。デフォルトでは、アプリは端末内のデータだけから6桁のコードを生成します。

スマホを紛失する、湖に落とす、売る前に初期化する —— その時点でキーは消えます。キーがなければアプリは有効なコードを生成できず、この方法で保護されたすべてのアカウントが、開けられない扉の向こうで闇に沈みます。

バックアップなしの復旧手段は存在しますが、多くの場合時間がかかり、本人確認が求められ、単に拒否するサービスもあります。二度と戻れない人もいます。

対策は5分でできます: 必要になる前にキーをバックアップしておくこと。方法は次のとおりです。

2FA を初めて有効にするときにバックアップを取る

セットアップ画面は、バックアップを取る絶好の機会です。ほとんどのサービスは QR コードを表示しますが、このコードはシークレットキーの視覚的なラッパーにすぎません。通常は「スキャンできない場合」のリンクから、テキスト文字列としてキーを確認できます。スキャンだけでなく、そのキーを保存してください。紙に書き写すか、パスワードマネージャーのセキュアノートに保存しましょう。キーを持っていれば、誰でも新しいデバイスで認証コードを再生成できます。電話を紛失した後にこそ必要になるものです。

セットアップ中、ほとんどのサービスはリカバリーコードも提供します。これは、認証アプリが使えないときに機能するワンタイムパスワードです。つい見逃しがちですが、後で後悔しても手遅れです。

今すぐ両方行ってください:

• シークレットキー(テキスト形式)をオフラインまたはパスワードマネージャーに保存する
• リカバリーコードをダウンロードし、パスワードマネージャーに保存する
• セットアップページを離れる前に、コードが機能することを確認する

セットアップは、サービスがすべてを一度に渡してくれる唯一のタイミングです。

オプション1: 認証アプリでの暗号化クラウド同期

多くの認証アプリは、コードをアカウントに同期することで自動的にバックアップできます。iOSやAndroidの内蔵オプションのほか、人気のサードパーティ製アプリも含まれます。同期を有効にすると、新しいスマートフォンでサインインすればコードが再表示されます — 手動でのコピーは不要です。

これを信頼する前に、同期がエンドツーエンドで暗号化されていることを確認してください。つまり、秘密鍵は端末から出る前に端末上で暗号化され、自分のアカウントだけが復号できます。この詳細はアプリ開発元のドキュメントで確認してください。明記されていない場合、そのバックアップは信頼できないものとして扱ってください。

同期を有効にした後、実際に機能することを確認してください:

• 2台目のデバイスにアプリをインストールするか、タブレットやエミュレーターでサインインします。
• コードが表示され、スマートフォン上のコードと一致することを確認します。
• その後初めて、バックアップを信頼して構いません。

一度もテストされていない同期はバックアップではありません。

オプション2：シークレットキーをオフラインで保存する

2FAの設定時、一部のサービスでは生のシークレットキーを表示できます。これは認証アプリがコードの生成に使う英数字の文字列で（QRコードとして表示されることもあります）。端末を紛失した後ではなく、設定時に保存しておきましょう。

パスワードマネージャーにコピーする

多くのパスワードマネージャーにはセキュアノート機能があります。そこにシークレットを貼り付けてください。暗号化されたまま他のデバイスに同期され、必要なときに簡単に見つけられます。

紙でも問題ない

キーを書き留めるか印刷し、物理的に安全な場所（家庭用金庫、鍵のかかる引き出し、貸金庫など）に保管してください。財布やカバンなど、持ち歩いて紛失する恐れのある場所は避けましょう。

パスワードと同じように扱う

シークレットを手にした人は誰でも、どんなデバイスでも有効なコードを生成できます。メールやSMSで送信したり、平文テキストファイルに保存したりしないでください。

オプション3: リカバリーコードと代替手段

ほとんどのサービスでは、2FA を有効にする際に使い切りのリカバリーコードが提供されます。これは認証アプリを完全にバイパスできる、使い捨てのパスワードです。アカウントのセキュリティ設定や二要素認証の設定で見つけられます。2FA を有効にしたその瞬間にダウンロードしましょう。

別のログイン手段を追加する

リカバリーコードだけが唯一の選択肢ではありません。サービスによっては、以下を登録できる場合があります:

• ハードウェアセキュリティキー — スマートフォンのように簡単には紛失しない、小型の USB または NFC デバイス
• サブデバイス — 家に置きっぱなしにしてある古いスマートフォンやタブレットで、同じ認証アプリを動かしておく
• 電話番号 — 他の手段より安全性は劣りますが、完全に締め出されるよりはましです

コードは鍵とは別の場所に保管する

リカバリーコードは、シークレットキーのバックアップとは別の場所に保管してください。たとえば、キーをパスワードマネージャーで管理しているなら、リカバリーコードは印刷して引き出しにしまっておく、といった具合です。片方のバックアップが紛失・破損・漏洩しても、もう片方が機能します。同じ保管場所が両方の単一障害点になってはいけません。

回復手順をテストする

一度もテストしたことのないバックアップは、単なる推測にすぎません。スマートフォンがまだ手元にあるうちに、実際に機能するか確認しましょう。

別のデバイスまたはブラウザーからサインインします。 ノートパソコンやタブレットでアカウントの1つにログインし、認証アプリのコードを入力してください。これで、コードが正しいこと、バックアップ手段が実際に機能するコードを生成していることが確認できます。

リカバリーコードを1つ試します。 使い切りのリカバリーコードを1つ使用したら、引き続きサインインできるか確認してください。これで、コードが有効で、実際にアクセスできる場所に保存されていることが証明されます。使用済みとしてマークし、サービスが新しいセットを発行するか、残りのコードを表示するか確認しましょう。

変更後は再テストします。 機種変更した、新しい認証アプリに移行した、パスワードをリセットした、ということはありませんか？もう一度テストを実行してください。バックアップが静かに壊れるのはこうした変更のタイミングです。今の5分間の確認は、後で締め出されるよりずっとましです。

端末を紛失済みの場合の対処法

リカバリーコードを保存済み、または別の端末で2FAを設定済みなら、通常どおりサインインに使えます。バックアップが重要な理由はまさにこれです。

サインイン後:

1. 古いセッションを無効化する。 アカウントのセキュリティ設定ですべての端末をサインアウトし、紛失した端末のログインを無効にします。
2. 古い2FA登録を削除し、新しい端末で認証アプリを再登録します。
3. リカバリーコードを再生成する。 古いコードを紛失した端末に保存していた場合。

バックアップが一切ない場合は、各サービスのサポートに連絡してください。ほとんどのサービスは2FAを解除する前に、本人確認(身分証明書、アカウント履歴、セキュリティ質問など)を求めます。復旧には数日かかることがあり、サービスによってはアクセスを完全に復元できない場合もあります。事前にバックアップすべき強い理由です。

簡単バックアップチェックリスト

このリストを一度確認し、以降は6ヶ月ごと、またはデバイスを大きく変更した後に繰り返してください。

• シークレットキーを暗号化して保存済み。 認証アプリでクラウド同期を有効にし、必要に応じて元のQRコードまたはシークレットキーのオフラインコピーを安全な場所に保管してください。
• リカバリーコードを保存済み。 パスワードマネージャーに保存するか、印刷して重要な書類と一緒に保管してください。
• バックアップ用の第二要素を登録済み。 予備の認証アプリ、ハードウェアセキュリティキー、または別の方法を2台目のデバイスに設定してください。
• バックアップをテスト済み。 サブデバイスまたはブラウザプロファイルでサインインし、バックアップが実際に機能することを確認してください。テストしていないバックアップはただの願望です。

この確認は6ヶ月ごと、機種変更時、認証アプリを変更した時、そして新しいアカウントで2FAを有効にするたびに繰り返してください。

今日2分の準備をするだけで、何週間もかかるアカウント復旧やアカウントの永久ロックを防げます。今すぐバックアップしてテストすれば、2FAはロックアウトされることなくあなたを守ります。