二段階認証とは?仕組みと設定すべきサービスをわかりやすく解説

「パスワードが漏れたらおしまい」――そんな時代は、二段階認証(2FA)の登場で終わりました。設定しておけば、たとえパスワードが盗まれても、攻撃者はあなたのアカウントに入れません。

この記事では、二段階認証の仕組み、方式ごとの安全性の違い、優先して設定すべきサービス、そして「スマホをなくしたら?」への備えまでを解説します。

仕組み:「知っている」+「持っている」

二段階認証は、パスワード(あなたが知っているもの)に加えて、スマホに届くコードや生体情報(あなたが持っているもの)を要求する仕組みです。攻撃者がフィッシングや情報漏えいでパスワードを入手しても、あなたのスマホまでは持っていないため、ログインの第2関門で止まります。

パスワードリスト型攻撃(使い回しの悪用)への最終防衛線でもあり、パスワード管理と二段階認証はセキュリティ対策の両輪です。

方式は3種類:どれを選ぶべきか

SMSコード:ないよりずっと良い

電話番号宛に6桁のコードが届く方式です。手軽ですが、SIMスワップ(電話番号の乗っ取り)やSMSの盗み見といった攻撃例が知られており、選べるなら次の2方式が推奨です。

認証アプリ(TOTP):現在の定番

Google AuthenticatorやMicrosoft Authenticatorなどのアプリが、30秒ごとに変わる6桁コードを生成します。通信不要でオフラインでも動き、SMSより安全。ほとんどの主要サービスが対応しており、迷ったらこれを選んでください。

パスキー・生体認証:次世代の本命

指紋や顔認証でログインを承認する方式で、パスワード自体を使わないため、フィッシングで盗まれるものがそもそもありません。対応サービスは急速に増えており、選べる場合は最優先で有効化する価値があります。

優先して設定すべきサービス

1. メールアカウント(最優先):他のすべてのサービスのパスワード再設定がメールに届くため、メールを取られる=全アカウントが危険になります
2. 金融系:ネットバンキング、証券、スマホ決済
3. SNS:乗っ取られると詐欺の踏み台にされ、周囲にも被害が及びます
4. ショッピング系:カード情報が紐づくECサイト
5. 仕事のアカウント:クラウドストレージ、WordPressの管理画面(設定方法はWordPressセキュリティの記事へ)

設定はどのサービスも「設定」→「セキュリティ」の項目にあります。認証アプリ方式なら、表示されるQRコードをアプリで読み取るだけです。

「スマホをなくしたら?」への備え

二段階認証で最も多い不安がこれです。次の2つを設定時に必ずやっておけば、締め出しは防げます。

• バックアップコードを保存する:設定時に発行される使い捨てコードを、印刷またはパスワード管理ツールに保管。これがあればスマホなしでもログインできます
• 復旧手段を2つ以上登録する:予備のメールアドレス、認証アプリのクラウドバックアップ機能などを併用します

二段階認証を突破する攻撃は、実際に存在する

「二段階認証を設定したから安全」で終わらせないために、現実に使われている突破手口を知っておく価値があります。方式を選び直す判断材料になります。

パスキーだけが、偽サイトに引っかからない理由

パスキーが中間者フィッシングに強いのは、精神論ではなく仕組みによるものです。

パスキーは、登録したときのドメイン名と鍵が結び付いています。ブラウザは、いま表示しているドメインに対応する鍵しか使いません。偽サイトのドメインは本物と違うため、鍵そのものが出てきません。ユーザーが騙されていても、技術的に署名が発生しないのです。

弱点は端末を失ったときです。対策は明快で、パスキーは必ず2つ以上の端末に登録しておくか、パスワードマネージャーの同期機能で複数端末に行き渡らせておきます。1台にしか登録していない状態での機種変更は、締め出しの典型パターンです。

二段階認証に対応していないサービスをどう守るか

設定したくても、そもそも機能が用意されていないサービスがあります。放置すると、そこが最も弱い環（わ）になります。

パスワードはパスワード生成ツールでその場で作れます。強度の目安はパスワード強度チェッカーで確認できます。

コードが弾かれるときの原因

設定したのにログインできない、という状況は焦ります。原因はほぼ次の4つに収まります。

時刻ずれは想像以上に多い原因です。認証アプリ側にも時刻補正機能があるので、そちらでも直せます。

機種変更・紛失に備える

二段階認証を設定したあと、最も多いトラブルが「スマートフォンを替えたらログインできなくなった」です。設定した直後に、備えまで済ませてください。

回復用コードの保管方法

最も避けるべきは、認証アプリと同じ端末に回復用コードを保存することです。その端末を紛失した時点で、両方を同時に失います。紙かパスワード管理ツールに保管してください。

機種変更の前に、必ず古い端末が手元にあるうちに移行してください。認証アプリの多くは移行機能を備えていますが、旧端末を初期化・返却したあとでは使えません。パスワード管理の考え方はパスワード管理にまとめています。

認証方法ごとの強さの違い

「二段階認証を有効にした」だけでは、方法によって守られる度合いが違います。

SMSでも、設定していないよりは大幅に安全です。まずは有効にすることが先で、より強い方法へはあとから移行できます。

認証アプリのコードでも、偽サイトに自分で入力してしまえば突破されます。コードを求められたら、そのページのURLが正規のものかを必ず確認してください。見分け方はフィッシング詐欺の見分け方にまとめています。

まとめ

二段階認証は「パスワード漏えい時代の標準装備」です。まずはメール→金融→SNSの順に、認証アプリ方式(またはパスキー)で設定し、バックアップコードを保管する。この30分の作業が、アカウント乗っ取りという最悪の事態からあなたを守ります。