二段階認証とは｜設定する優先順位と方式ごとの強さの違い

二段階認証は「別の種類の証明」を足すこと

本人確認の材料は、大きく3種類に分けられます。知識（自分だけが知っているもの）、所持（自分だけが持っているもの）、生体（自分の身体そのもの）です。二段階認証が効くのは、このうち種類の違う2つを組み合わせるからです。

パスワードと秘密の質問はどちらも「知識」なので、片方が漏れる状況ではもう片方も危うくなります。強さの差が生まれるのは、パスワード（知識）に、手元のスマホ（所持）を組み合わせたときです。攻撃者はパスワードを知っていても、手元の端末までは持っていないからです。

方式ごとの強さと使い勝手

二段階認証と一口に言っても、方式によって守れる範囲が違います。特に「フィッシングに耐えられるか」で大きく差が出ます。

SMSが弱いとされるのは、電話番号そのものを他人に移されてしまう手口があるためです。とはいえ「SMSでもゼロよりはるかにまし」なのも事実で、設定しない理由にはなりません。選べるなら認証アプリ以上を、選べないならSMSでも設定する、という順で考えてください。

どのサービスから設定するか

全部やろうとすると途中で力尽きます。乗っ取られたときの被害の広がり方で優先順位をつけると、少ない手間で守れる範囲が大きく変わります。

見落とされがちなのが1行目のメールです。ほとんどのサービスは「パスワードを忘れた」からメールで再設定できてしまうため、メールを守らずに他だけ固めても、裏口が開いたままになります。着手する順番としては、メール、端末アカウント、お金まわり、の3つを最初の週に済ませるのが現実的です。

機種変更・紛失で詰まないための準備

二段階認証で最も多いトラブルは、攻撃ではなく自分が締め出されることです。スマホを機種変更したら認証アプリが空になっていた、というのは典型例です。設定した直後に、次の3つを済ませておいてください。

1. 1

   ①バックアップコードを保存する

   二段階認証を有効にすると、10個前後の使い捨てコードが表示されます。これが最後の逃げ道です。印刷して保管するか、パスワード管理アプリのメモに保存します。スクリーンショットをスマホの写真フォルダに残すのは、端末を失ったときに一緒に失うため不十分です。

2. 2

   ②予備の手段を2つ以上登録する

   認証アプリだけでなく、別の端末やSMSも登録しておきます。1つしか経路がない状態は、その1つを失った瞬間にアカウントを失う状態です。

3. 3

   ③機種変更は「旧端末が使えるうち」に移行する

   多くの認証アプリはアカウント同期や引き継ぎ機能を持っています。旧端末を初期化・返却する前に、移行を済ませてください。移行し忘れたまま端末を手放すのが、最も復旧が難しいパターンです。

二段階認証でも防げないこと

二段階認証は万能ではありません。防げる攻撃と防げない攻撃を知っておくと、他にどこを固めるべきかが見えてきます。

• 防げる：どこかから流出したIDとパスワードの組み合わせを使い回す攻撃（リスト型攻撃）
• 防げる：総当たりでパスワードを推測する攻撃
• 防げにくい：偽サイトでパスワードとコードを同時に入力させ、その場で本物に流し込む手口（パスキーやセキュリティキーなら防げる）
• 防げない：端末そのものが乗っ取られ、ログイン済みのセッションを操作される場合
• 防げない：本人がサポートを装う相手にコードを教えてしまった場合

3つ目に挙げた偽サイト経由の手口に対して構造的に強いのが、パスキーとセキュリティキーです。これらは「どのサイトに対する認証か」を仕組みとして確認するため、ドメインが違う偽サイトでは認証そのものが成立しません。対応しているサービスでは、優先して有効にする価値があります。

そして土台になるのは、やはりパスワードです。サービスごとに違うランダムな文字列を使っていれば、1か所の流出が他に波及しません。パスワード生成ツールでは長さと文字種を指定して即座に作成でき、生成はブラウザ内で完結します。二段階認証を設定するタイミングで、そのサービスのパスワードも作り直しておくと無駄がありません。

よくある質問

二段階認証と二要素認証は違うものですか？

厳密には、二要素認証は「知識・所持・生体のうち種類の異なる2つ」を使うもの、二段階認証は「2回に分けて確認する」ことを指します。パスワードと秘密の質問はどちらも知識なので、二段階ではあっても二要素ではありません。日常的にはほぼ同じ意味で使われますが、選ぶときは種類が違う組み合わせかを意識すると安全です。

認証アプリはどれを使えばいいですか？

6桁のコードを表示する仕組み（TOTP）は共通の規格なので、どのアプリでも同じように使えます。選ぶ基準は、機種変更時の移行やバックアップに対応しているかどうかです。移行手段のないアプリだと、端末を失った時点で復旧がバックアップコード頼みになります。

スマホをなくしたらログインできなくなりますか？

バックアップコードを保管していれば、それで入れます。保管していない場合は、サービスの本人確認手続きによる復旧になり、日数がかかることも、復旧できないこともあります。だからこそ、有効化した直後にバックアップコードを保存しておくことが重要です。

毎回コードを入れるのが面倒です。省略できますか？

多くのサービスには「この端末を信頼する」という設定があり、自分専用の端末ではコード入力を一定期間省略できます。共用パソコンやネットカフェでは絶対に有効にしないでください。省略の設定は、端末を手放すときに解除するのも忘れずに。