二要素認証とは？すべてのアカウントに2FAが必要な理由

二要素認証とは？

パスワードは絶えず漏洩しています。データ侵害、フィッシング詐欺、単純な推測などによってです。パスワードはドアにかかる一つの鍵にすぎず、攻撃者はその鍵をこじ開けるのが非常に上手になっています。

二要素認証（2FA）は第二の鍵を追加します。これは、あなたを中に入れる前に、身元を示す二つの独立した証明を要求するログイン方法です。たとえ誰かがあなたのパスワードを盗んでも、第二の証明がなければアカウントにはアクセスできません。

これらの証明は三つのカテゴリに分けられます：

• 知っていること — パスワードまたはPIN
• 持っているもの — あなたのスマートフォン、認証アプリ、物理セキュリティキー
• 自分自身であること — 指紋または顔スキャン

真の2FAは異なる二つのカテゴリを組み合わせます。最も多いのは「知っていること」＋「持っているもの」の組み合わせです。

この考え方は、すでに毎日使っています。銀行のカードは「持っているもの」、暗証番号（PIN）は「知っていること」です。カードだけを持った泥棒は現金を引き出せません — 両方が必要だからです。2FAはこの同じ原則をオンラインアカウントに適用したものです。

パスワードだけでは破られる理由

パスワードは同時に3種類の攻撃に耐えなければならず、大抵は持ちこたえられません。

• 使い回し。 人は数十個のアカウントと限られた記憶容量しか持たないため、同じパスワード——あるいは近いバリエーション——があちこちで使われることになります。これは不注意ではなく、予測可能な人間の行動です。
• 総当たり推測。 攻撃者は「password123」と手で打ち込んでいるわけではありません。既知のパスワードやパターンの巨大なリストを処理し、一致するものが見つかるまで動かすソフトウェアを実行しています。
• フィッシング。 精巧な偽ログインページは、誰もが自ら進んでパスワードを手渡すように仕向けます。技術的な侵入は一切不要です。

ここで事態が複合します。あるサイトが侵害されると、そのパスワードリストが漏洩します。攻撃者はそのメールアドレスとパスワードの組み合わせを取り出し、メール、銀行、ソーシャルメディア、ショッピングのアカウントに対して使い回します——これは「クレデンシャルスタッフィング(credential stuffing)」と呼ばれる手法です。人がパスワードを使い回すからこそ、この手法は成立します。脆弱な、あるいは不運な一つのウェブサイトが、他のすべてへの鍵になってしまうのです。

パスワードとは、所有するすべてのドア用に鍵を複製してしまった、たった一つの錠前と考えてください。2FAは、盗まれた鍵だけでは開かない第二の錠前を追加します。

2FA の主な種類

SMS コード

テキストメッセージで送られるコード。最も一般的だが、最も弱い方式。攻撃者は SIM スワップで電話番号を乗っ取り、コードを自身で受け取れる。メッセージは遅延したり、電波が届かないと読めないこともある。

認証アプリ（TOTP）

端末上で 30 秒ごとに新しいコードを生成するアプリ。電話回線を経由せず、コードはオフラインで動作するため、SIM スワップは攻撃者にとって無意味。SMS からの大きな向上であり、ほぼ追加の手間もない。

ハードウェアセキュリティキーとパスキー

差し込むかタップして使う物理キー、または端末に保存されるパスキー。どちらも本物のサイトに紐づいた暗号技術を使うため、精巧な偽ログインページでも有用な情報は取得できない。最も強力で、フィッシング耐性のある選択肢。

プッシュ通知と生体認証

ワンタップでログインを承認できるのは便利だが、うっかりまたは習慣で承認してしまいやすい — 攻撃者が意図的に突く弱点。指紋や顔認証などの生体認証は便利で端末内で完結するが、サインインを保護するものであり、第二要素の代替にはならない。

すべてのアカウントに2FAが必要な理由

まずメールから

メールアカウントはマスターキーです。侵入されると、ほぼすべての他のアカウントに対して「パスワードを忘れた」を実行され、一つずつリセットされる恐れがあります。リカバリーコードやセキュリティ警告もここに届きます。メールを2FAで保護することは、その背後にあるすべてを保護することです。

お金と評判

銀行、決済、ショッピングのアカウントは直接的な金銭的価値を持っています — 泥棒はあなたの名前で支出、送金、注文ができます。カードを保存したストアのアカウントでも、無断で買い物される危険を抱えています。ソーシャルアカウントも盗む価値があります: 乗っ取られたプロフィールは、あなたになりすまして友人に詐欺メッセージを送るのに使われます。評判の回復はお金の回復より時間がかかります。

「小さな」アカウントも積み重なる

あまり使わないフォーラムや古いアプリにも、まだ何かが残っています:

• フィッシングに使える連絡先リスト
• 何年分ものクラウド写真
• 保存済みのカードと住所
• 秘密の質問を推測するのに役立つ個人情報

攻撃者は重要度で選別しません。手の届くものは何でも奪い、どれか一つのアカウントが他すべてへの入口になり得ます。すべてのアカウントで2FAを有効にすれば、その扉を閉ざせます。

2FAが防げるものと防げないもの

2FAの中核的な約束はシンプルです。盗まれたパスワードだけを持つ攻撃者は壁に突き当たります。データ漏洩で流出したパスワードは、第二要素がなければほぼ無力であり、これが最も一般的なアカウント乗っ取りの経路を遮断します。

2FAがそれでも破られるケース

• リアルタイムフィッシング。 高度なフィッシングキットは、あなたのワンタイムコードを攻撃者へ即座に中継できます。そのため、送信したコードは失効する前に使用されてしまいます。
• MFA疲弊攻撃。 パスワードを知る攻撃者はプッシュ通知を大量送信し、うっかりまたは苛立ちから「承認」をタップするのを狙います。身に覚えのない通知は拒否し、報告してください。
• SIMスワップ。 攻撃者が電話番号を乗っ取ると、SMSコードは傍受される可能性があります。

認証アプリとハードウェアセキュリティ

2FAを数分で有効にする方法

設定を見つける

ログインし、アカウント設定またはセキュリティ設定を開いて、「二要素認証（two-factor authentication）」「2段階認証（two-step verification）」「ログイン認証（login verification）」といった項目を探します。多くの主要サービスでは「セキュリティ」または「プライバシー」の下にあります。まずメールアカウントから始めましょう — 他のすべてのサービスのパスワードリセットがメール経由で行われるためです。

提供されている中で最も強力な方法を選ぶ

• 認証アプリ： スマートフォン上でコードを生成し、オフラインでも動作します。無料の選択肢には Google Authenticator、Microsoft Authenticator、Authy があります。
• パスキー： 提供されている場合は最も強力な選択肢です — 入力するものがなく、フィッシングに強いです。
• SMSコード： 何もないよりはましですが、SIMスワップ攻撃に脆弱です。他に手段がない場合にのみ使用してください。

設定は通常、アプリでQRコードをスキャンし、表示されたコードを入力して確認するだけです。アカウントあたり5分もかかりません。

バックアップコードをオフラインで保存する

設定の最後にはバックアップコードが表示されます — スマートフォンを紛失した際に使えるワンタイムコードです。ダウンロードしたら、印刷するかパスワードマネージャーに保存してください。受信箱に残したままにしてはいけません：メールは攻撃者が最初に探す場所です。スマートフォンとこれらのコードを両方失うと、永久にロックアウトされる恐れがあります。

やってしまいがちな 2FA のよくある失敗

適切に設定された 2FA でも、防げるはずの習慣によって台無しになることがあります。

コードはサポート担当者にも絶対に共有しない

正規の企業がワンタイムコードを求めてくることはありません。実際のサポートチームは別の方法で本人確認を行うため、コードを要求してくる相手はアカウント乗っ取りを狙っているとほぼ間違いありません。コードはパスワードと同じく、自分だけが見るものとして扱い、表示されたサイトやアプリでのみ入力してください。

バックアップコードをスクリーンショットやメール下書きに残さない

スクリーンショットはクラウドの写真ライブラリに同期されがちで、メールの下書きはハッカーに数秒で開かれかねない受信箱の中にあります。バックアップコードはオフラインで保管しましょう。安全な場所にしまう紙に印刷するか、信頼できるパスワードマネージャーの保管庫へ。

機種変更前に第 2 要素を更新する

認証アプリを先に移さずに古いスマホを初期化すると、紐づくすべてのアカウントから締め出される恐れがあります。機種変更の前に、アカウントを新しい端末へ移行するか、バックアップコードでサインインして再登録してください。

2FA は数分で有効化でき、パスワードベースの攻撃の大半を防げます。今日からメールと銀行口座のアカウントで始めましょう。