二段階認証（2FA、二要素認証とも呼ばれます）は、ログイン時に2種類の異なるものを求めてアカウントを守る仕組みです。パスワードのように「知っているもの」と、スマホの認証アプリに表示される6桁のコードのように「持っているもの」です。たとえパスワードが盗まれても、2つ目の要素がなければログインできません。
一般の人が取れるセキュリティ対策の中でも特に効果が高く、設定も数分で済むことがほとんどです。このガイドでは、二段階認証の仕組み、選ぶべき方法、そして自分が締め出されないためのコツを解説します。
パスワードだけでは不十分な理由
パスワードはさまざまな経路で漏れます。複数のサイトで同じパスワードを使い回す人は多く、Webサイトは不正アクセスを受け、フィッシングページは偽のフォームにログイン情報を入力させます。一度パスワードが知られると、誰でもそれをあなたのメールやSNS、ネットショップのアカウントで試せてしまいます。
二段階認証は2つ目の鍵を追加します。攻撃者はあなたの端末のコードも必要になるため、盗んだパスワードだけでは足りなくなります。特に使い回しや漏えいしたパスワードを狙う、よくある乗っ取りの多くがずっと難しくなります。
2つ目の要素の主な種類
2つ目の要素の強さは、すべて同じではありません。よく使われるのは次の方法です。
- 認証アプリ。 Google AuthenticatorやMicrosoft Authenticatorなど対応アプリが、30秒ごとに新しい6桁のコードを生成します。コードはスマホの中で作られるため、電話回線を通りません。
- SMS認証。 コードがショートメッセージで届きます。二段階認証なしよりはずっと良いですが、SMSは傍受されたり転送されたりする可能性があります。たとえばSIMスワップ詐欺では、犯罪者が携帯電話会社をだましてあなたの電話番号を自分のSIMカードに移します。
- プッシュ通知。 スマホのアプリに「ログインしようとしていますか？」と確認が届く方式です。便利ですが、心当たりのない確認は絶対に承認しないでください。
- セキュリティキーとパスキー。 物理的なキーや端末に保存されたパスキーは、フィッシングに強いよう設計されているため、最も強力な選択肢のひとつです。対応状況はサービスによって異なります。
多くの人にとって、認証アプリは強力で実用的な選択です。サービスがSMSにしか対応していない場合でも、オンにしておきましょう。パスワードだけよりずっと安全です。
認証アプリの仕組み
認証アプリで二段階認証をオンにすると、WebサイトにQRコードが表示されます。このQRコードには秘密鍵が入っています。認証アプリで一度読み取れば、それ以降はアプリとWebサイトの両方が、共有した秘密鍵と現在時刻から同じ6桁のコードを計算します。
コードは30秒ごとに変わるので、肩越しに見られたコードもすぐに使えなくなります。また、コードはスマホの中で計算されるため、インターネットに接続していなくてもアプリは使えます。
重要な注意点がひとつあります。設定用のQRコードは機密情報です。それを読み取った人は誰でも、あなたのコードを生成できてしまいます。スクリーンショットを撮ったり、共有したり、他人から見える状態で画面に表示したままにしたりしないでください。
二段階認証の設定手順
メニューはサービスごとに違いますが、手順はだいたい同じです。
- スマホに認証アプリをインストールします。
- 保護したいアカウントにログインし、セキュリティ設定を開きます。
- 「二段階認証」「2段階認証プロセス」「二要素認証」などの項目を探し、認証アプリを選びます。
- 画面に表示されたQRコードを認証アプリで読み取ります。
- アプリに表示された6桁のコードを入力し、動作を確認します。
- サービスから提示されるバックアップコードを保存します（次の章を参照）。
- 一度ログアウトしてログインし直し、問題なく使えるか確認します。
まずは最も重要なアカウントから始めましょう。メインのメール（他のサービスのパスワードをリセットできるため）、銀行、SNS、クラウドストレージ、支払い情報を登録しているアカウントです。QR-THでもアカウント設定から認証アプリによる二段階認証をオンにでき、あなたのQRコードや短縮リンクを他人に書き換えられないよう守れます。
バックアップコード：アカウントに戻るための鍵
二段階認証で最も多いトラブルは、ハッキングではなくスマホの紛失です。スマホをなくした、盗まれた、壊れた、買い替えた、という場合には、別のログイン手段が必要になります。
そのためにあるのがバックアップコードです。多くのサービスは、二段階認証をオンにしたときに使い捨てのコードの一覧を提供します。各コードは、アプリのコードの代わりに1回だけ使えます。
安全に保管しましょう。
- 印刷して、自宅の安全な場所に紙で保管する、または
- 信頼できるパスワード管理アプリに保存する、そして
- 認証アプリと同じスマホの中だけに保存しない。
各バックアップコードは1回しか使えません。使ったら線を引いて消しましょう。残りが少なくなったら、多くのサービスでは新しいセットを発行でき、古いコードは無効になります。
締め出されずにスマホを機種変更する
古いスマホを初期化したり、売却・下取りに出したりする前に、認証アプリのコードを新しいスマホに移しましょう。アプリによっては移行やクラウドバックアップの機能がありますが、アカウントごとに二段階認証を設定し直す必要があるものもあります。
安全な進め方は次のとおりです。
- すべてのアカウントが新しいスマホで使えると確認できるまで、古いスマホを使える状態で残しておく。
- 移行できないアカウントは、ログインして二段階認証をいったんオフにしてから再度オンにし、新しいスマホで新しいQRコードを読み取る。
- 古い端末を初期化する前に、各アカウントをテストする。
よくある二段階認証の失敗
- コードを他人に教える。 本物の銀行やお店、サポート窓口が二段階認証のコードを読み上げるよう求めることはありません。求めてくる相手は、ほぼ確実に詐欺師です。
- 身に覚えのない確認を承認する。 自分が始めていないログイン要求が来たら拒否し、パスワードを変更しましょう。
- メッセージ内のリンクから開いたページにコードを入力する。 フィッシングサイトはコードも聞いてきます。Webサイトには直接アクセスしましょう。
- バックアップコードを保存しない。 保存は1分で済み、アカウント復旧にかかる何日分もの手間を省けます。
日常の対策は スマホのセキュリティ対策 を、ログイン情報を盗もうとする QRコード詐欺 の見分け方もあわせてご覧ください。
FAQ
二段階認証は本当に必要？
メールや銀行、SNSなど重要なアカウントには必要です。盗まれたパスワードや使い回しのパスワードを狙う多くの攻撃を防げます。
認証アプリはSMSより安全？
一般的にはそうです。認証アプリのコードはスマホの中で生成されますが、SMSのコードは傍受されたり、SIMスワップ詐欺で転送されたりする可能性があります。それでもSMSは、二段階認証なしよりは安全です。
スマホをなくしたらどうなる？
保存しておいたバックアップコードでログインし、新しいスマホで二段階認証を設定し直します。バックアップコードがない場合は、サービスのアカウント復旧手続きが必要になります。
二段階認証のコードを知られたらアカウントを乗っ取られる？
コードの有効時間は短いですが、詐欺師がリアルタイムでコードを聞き出せば悪用される可能性があります。コードは誰にも教えないでください。
二段階認証は数分で設定でき、アカウントをはるかに破られにくくします。今日のうちにメールと銀行で有効にし、QR-THのアカウントも二段階認証で守りましょう。詳しくは よくある質問 もご覧ください。