二段階認証と多要素認証の違いは？ 仕組みとApple・Google・Microsoftでの設定方法

IDとパスワードだけのログインでは、パスワードを知られた時点で他人に入られてしまいます。警察庁は事業者向けに「パスワードだけの認証はもう限界です」と呼びかけ、利用者にもパスキーその他の多要素認証を活用するよう勧めています。IPAによると、多要素認証を設定していれば、IDとパスワードを不正に使われても、それだけではログインできないため、不正ログインの防止に効果があります。

二段階認証と多要素認証の違い

• 多要素認証：「知っているもの（パスワードなど）」「持っているもの（スマホなど）」「本人自身に関するもの（指紋、顔など）」の3つの要素のうち、2つ以上を使う認証です。2つの要素を使うものは二要素認証とも呼ばれます。
• 二段階認証：認証を2回に分けて行うものです。同じ要素で2段階に分ける場合もそう呼びます。総務省は、同じ要素を2回使うより、異なる要素を2回使うほうがセキュリティのレベルは高くなるとしています。

呼び方はサービスによってさまざまで、Appleは「2ファクタ認証」、Googleは「2 段階認証プロセス」（2 要素認証とも呼ばれる）と呼んでいます。

方式ごとの強さ

• SMSや音声通話の確認コード：多くのサービスで使えて手軽です。ただしGoogleは、コードがテキスト メッセージや音声通話で送られる場合、電話番号を利用するハッキングに対して脆弱になるおそれがあるとしています。マイクロソフトは、SMS認証がフィッシング攻撃やSIMスワップ攻撃に弱いとして、個人のMicrosoft アカウントで認証と回復の方法としてのSMSを段階的に廃止し、パスキーと確認済みのメールに切り替えています。
• スマホに届くログインの確認や認証アプリ：Googleは、パスキーを使わない場合、確認コードを入力するより、スマホに届くGoogleからのメッセージをタップする方法を勧めています。
• パスキー：パスワードの代わりに、指紋、顔認証、画面ロックでログインする方式です。書き留めたり誤って他人に渡したりできず、フィッシングへの保護を強化できます（Google）。偽サイトでは認証できないため、警察庁も事業者にパスキーの導入を勧めています。
• ハードウェア セキュリティ キー：ログインのときに接続する小型の機器で、パスキーと並んでフィッシング対策を強化できます（Google）。

警察庁によると、令和元年ごろから、リアルタイム型フィッシングで二段階認証を突破する手口が横行しています。コードを入力する方式でも、偽サイトに入力してしまえば突破されることがあるということです。金融庁も、証券会社などでパスキー認証のようなフィッシングに耐性のある多要素認証の必須化が進んでいるとして、提供が始まったら速やかに設定するよう呼びかけています。

Apple・Google・Microsoftでの設定

• Apple Account（2ファクタ認証）：iPhoneやiPadの「設定」で「[ユーザ名]」＞「サインインとセキュリティ」を選び、2ファクタ認証をオンにします。ほとんどのアカウントでは最初から使われています。新しいデバイスで初めてサインインするときは、パスワードと6桁の確認コードが必要になります。
• Google アカウント（2 段階認証プロセス）：Google アカウントの［セキュリティとログイン］を開き、［Google にログインする方法］で［2 段階認証プロセスを有効にする］を選びます。パスキーは myaccount.google.com/signinoptions/passkeys で作成できます。
• Microsoft アカウント：account.microsoft.com/security の［セキュリティ］タブにサインインし、［サインイン方法を管理］から、認証アプリやパスキーなどの方法を追加します。最大10種類まで追加できます。

どこから始めるか迷ったら、ネットバンキング、証券、通販、キャッシュレス決済などお金に関わるサービスと、ほかのサービスの連絡先にしているメールから設定しましょう。

締め出されないために

• Googleでは、スマホをなくしたときのために、8桁のバックアップ コードを印刷またはダウンロードして安全な場所に保管できます。
• Googleの2 段階認証プロセスに新しい電話番号を追加すると、信頼できる番号として確認されるまで最長で7日かかることがあります。
• Appleで2ファクタ認証を新しく有効にした場合、登録から2週間以内ならセキュリティを低くするオプションを選べます。作成時から2ファクタ認証を使っているアカウントでは解除できません。
• 確認コードは誰にも教えないこと。Googleが電話でコードの確認を求めることはありません。IPAには、知り合いになりすましたDMでSMSの認証コードを聞き出され、アカウントを乗っ取られる相談が多く寄せられています。

パスワードの扱いも見直す

多要素認証とあわせて、パスワードは長く、使い回さないことが大切です。総務省は、パスワードを複数のサービスで使い回さないよう求め、流出した事実がなければ定期的に変更する必要はないとしています。覚えきれないときは、パスワード管理ツールの利用も推奨しています。警察庁は、ログイン履歴やログインアラートの機能も活用するよう勧めています。

パスワードは知られてしまうことがあります。もう1つの鍵は、別の種類のものにしておきましょう。