- パスワードだけじゃなくて、スマホのコードや指紋など「別の証明」を追加することで、パスワードが漏れても侵入を防ぐ仕組みだよ。
- パスワード漏洩だけではアカウントを乗っ取れない状態を作れるから、銀行・メール・クラウドサービスなどセキュリティが求められるあらゆる場面で採用されている。
- パスワードを使い回していたアカウントが漏洩した瞬間に全部乗っ取られていたリスクが、2FAを設定するだけで激減する体感は実際に導入してみないとわからない。
【深掘り】これだけ知ってればOK！
2ファクタ認証（2FA）は「知識（Something you know）」「所持（Something you have）」「生体（Something you are）」という3つの認証要素カテゴリのうち、異なる2種類を組み合わせることで成立する。パスワード（知識）＋SMS OTP（所持）が最も普及している組み合わせだが、SIMスワッピング攻撃に対して脆弱であることが指摘されている。より安全な実装としては、TOTP（Time-based One-Time Password）アプリ（Google AuthenticatorやAuthy等）を使う方法や、FIDO2規格に準拠したハードウェアセキュリティキー（YubiKey等）による認証が推奨されている。
企業の情シス・セキュリティ担当の観点では、2FAの導入にあたってユーザビリティとセキュリティのトレードオフ設計が重要になる。認証が煩雑すぎると従業員がSSOを回避して Shadow IT に走るリスクがある。現実解として「リスクに基づく適応型認証（Adaptive MFA）」が普及しており、普段と異なる場所・デバイス・時間帯からのログインのみ追加認証を要求し、通常のアクセスは1要素で通過させる設計が効率と安全性のバランスを取りやすい。
特に企業の管理者アカウントや特権ユーザーアカウントでのロックアウトは業務停止に直結する。緊急アクセス用アカウント（Break Glass Account）の設計と、バックアップコードを暗号化してパスワードマネージャーやオフラインの安全な場所に保管するプロセスを、2FA導入と同時に整備することが必須だ。
よくある誤解
SMSで届くコードを使えば2FAの安全性は十分だという誤解
SMS 2FAはSIMスワッピング（キャリアを騙して電話番号を別SIMに移す攻撃）やSS7プロトコルの脆弱性を突かれると突破される。NISTはSP 800-63Bの2017年改訂でSMS OTPを「制限付き認証器」に分類し、より安全なTOTPアプリやFIDO2への移行を推奨している。
2ファクタ認証を設定すれば後は何もしなくていいと思っていないか？
2FAはあくまでも認証フェーズの防御層であり、フィッシングサイトに誘導されてOTPを入力させるリアルタイムフィッシング攻撃には効果が薄い。定期的なログイン履歴の確認・パスキー移行の検討など、継続的なセキュリティ管理が必要だ。
会話での使われ方
スマホを機種変したらGoogleAuthenticatorのコードが消えてログインできなくなりました。
個人ユーザーがサポートデスクにアカウントロックアウトを訴えている場面。バックアップコード未保存が原因。
SMS認証でいいじゃないですか、なんでアプリ認証にこだわるんですか。
中小企業のIT担当者がセキュリティコンサルタントに2FAの方式選定について疑問を投げかけている場面。
適応型認証を入れてから、不審なログイン試行の9割をブロックできるようになりました。
大手企業の情報セキュリティ部長が社内セキュリティレビュー会議で成果を報告している場面。
【まとめ】3つのポイント
- 2FAの効果はパスワード漏洩リスクをほぼ無力化する点にある：クレデンシャルスタッフィング攻撃の成功率をSMS 2FAだけで61%から1%以下に低下させられる。
- SMS OTPよりTOTPアプリやFIDO2ハードウェアキーが安全：SIMスワッピング攻撃に弱いSMS認証からの脱却が、NISTを含む標準策定機関でも推奨されている。
- バックアップコードの保管は2FA導入と同時に設計する：端末紛失時のロックアウト対策として、バックアップコードを暗号化して安全な場所に保存するプロセスを導入フローに組み込む。
よくある質問
-
Q2ファクタ認証のTOTPアプリにはどんなものがありますか？
-
A
Google Authenticator・Authy・Microsoft Authenticatorが代表的です。Authyはマルチデバイス同期とバックアップ機能があるため端末紛失リスクへの対策がしやすいです。
-
Q会社全体に2FAを導入するにはどうすればいいですか？
-
A
IdP（Okta・Azure AD等）のMFA機能を使ってSSOと組み合わせるのが現実的です。全アプリへの個別導入ではなく、認証のゲートウェイを一本化するアーキテクチャが管理コストを下げます。
-
Qフィッシング攻撃に対して2FAは有効ですか？
-
A
TOTPやSMS OTPはリアルタイムフィッシング（偽サイトで入力させたOTPをそのまま本物サイトへ中継する手法）には効果が薄いです。フィッシング耐性を持つのはFIDO2/WebAuthnによるパスキー認証です。
-
Q2ファクタ認証と2ステップ認証との違いは何ですか？
-
A
2ファクタ認証は異なるカテゴリの認証要素（知識・所持・生体）を2種類組み合わせることを指しますが、2ステップ認証はパスワード＋メールリンクのように同一カテゴリ（どちらも知識系）を2回確認するだけで厳密には2FAではない場合があります。
【出典】参考URL
https://pages.nist.gov/800-63-3/sp800-63b.html：NIST SP 800-63B — 電子認証ガイドライン
https://fidoalliance.org/what-is-fido/：FIDO Alliance — FIDO2・パスキー公式解説
コメント