二要素認証（2FA）とは？
二要素認証（2FA）とは、ID・パスワードといった情報に加えて、スマートフォンや指紋などの異なる確認手段を組み合わせ、2つのステップで本人確認を行うセキュリティ手法です。よく似た言葉に多要素認証（MFA）があります。これは、認証において2つ以上の要素を用いる概念の総称です。2FAはMFAの一部であり、特に「2つの要素」に限定して使用する場合を指します。サービスの性質や重要度に応じて使い分けられる多要素認証の種類も確認しておきましょう。
二要素認証で使われる3つの認証要素
二要素認証は、次の3つの認証要素のうち2つを組み合わせて本人確認を行います。
1. 知識要素
- パスワード
- PINコード
- セキュリティ質問の答え
2. 所有要素
- スマートフォンやトークンで生成されるワンタイムパスワード（OTP）
- ハードウェアセキュリティキー（USBやNFC）
- 認証アプリ（Google Authenticator、Microsoft Authenticatorなど）
3. 生体要素
- 指紋認証
- 顔認証
- 虹彩認証
- 声紋認証
二要素認証と2段階認証の違い
「二要素認証（2FA）」と「2段階認証」は混同されがちですが、意味は異なります。二要素認証は、異なる種類の認証要素を組み合わせて本人確認を行う方法です。例えば「パスワード＋スマートフォンの認証コード」などです。一方、2ステップ認証は認証を2段階で行う仕組みを指し、同じ要素を2回確認する場合もあります。そのため、一般的には二要素認証の方がセキュリティ強度が高いとされています。
| 二要素認証 (2FA) | 2段階認証 | |
|---|---|---|
| 目的 | 異なる2つの認証要素を組み合わせて安全性を高める | 認証プロセスを2段階に分けて安全性を高める |
| 認証要素 | 必ず異なる要素を使用（知識・所有・生体） | 同じ要素を複数段階で使用しても可 |
| セキュリティレベル | 高い（要素が異なるため突破が難しい） | 場合によっては2FAより低い場合もある |
なぜ二要素認証を使うべきか
パスワードだけではアカウントを十分に守ることは難しくなっています。サイバー攻撃では、フィッシング詐欺やクレデンシャルスタッフィングなどの手法を使ってログイン情報を盗み取るケースが多く、SNSアカウントの乗っ取りやメールの不正利用などの被害が報告されています。フィッシング詐欺とは簡単に、正規の企業やサービスを装ったメールやメッセージ、ウェブサイトなどを通じてユーザーをだまし、IDやパスワード、クレジットカード情報などの重要な個人情報を入力させて盗み取る手口のことです。特に日本では、メッセージを装ってログイン情報を盗む手口による情報窃盗が問題になっています。
2要素認証を設定していれば、パスワードが流出しても追加の認証が必要になるため、攻撃者がアカウントにアクセスすることは非常に難しくなります。つまり、2FAはオンラインアカウントを守るための「もう一つの鍵」として機能します。安全なパスワードを設定していても防ぎきれないような高度な攻撃に対抗するための有効な手段といえます。
代表的な二要素認証の方法と仕組み
オンラインサービスでは、さまざまな2FA方式が利用されています。
SMSワンタイムパスワード
ログイン時に登録された電話番号へコードが送信され、それを入力して認証します。導入が簡単で広く利用されていますが、SIMスワップなどの攻撃リスクが指摘されています。また、マルウェアとは、スマホを遠隔操作したり情報を抜き取ったりする悪意あるソフト全般を指しますが、これに感染するとSMSの内容が盗まれる恐れもあります。
認証アプリ
スマートフォンのアプリが一定時間ごとにワンタイムパスワードを生成する仕組みです。SMSより安全性が高く、多くのサービスで推奨されています。
生体認証
生体認証（バイオメトリクス認証）は、指紋や顔などの生体情報を利用して本人確認を行います。スマートフォンやPCのロック解除、アプリログインなどに利用されています。
その他の2FA方法
- ハードウェアセキュリティキー：USBやNFCで接続する物理キーを使って認証する方法。セキュリティは非常に高く、フィッシング攻撃にも強いが、持ち運びが必要で紛失リスクがある。
- メールワンタイムパスワード：登録メール宛に送信されるコードを入力して認証。利便性は高いが、メールアカウントが侵害されるとデータ侵害につながる危険がある。
- プッシュ通知認証：ログイン時にスマートフォンへ通知が届き、承認する方式。利便性が高く簡単に操作できるが、スマホのセキュリティが脆弱だと危険性がある。
- ソフトウェアトークン（OTPジェネレーター）：アプリやPCで生成される一時的なコードを使用。SMSより安全だが、端末紛失時のリカバリーが必要。
アカウントで二要素認証を有効にする方法
多くのオンラインサービスでは、アカウント設定から簡単に2FAを有効化できます。これら一つひとつの積み重ねが、アカウント乗っ取りの原因となるセキュリティの穴を塞ぐことにつながります。日本では、アカウントを悪用したLINE乗っ取りによる詐欺被害が多く報告されているため確認しておくと安心です。主要サービスの設定方法は下記のとおりです。
Apple / Google / X
- 1.設定画面から「パスワードとセキュリティ」（または「ログインとセキュリティ」）を開く。
- 2.「2要素認証」を選択し、電話番号や認証アプリを登録する。
- 3.画面の指示に従って有効化を完了する。
Slack
アカウント設定の「設定」タブを開く。
- 1.「2要素認証」の項目を見つけ、「設定する」をクリックする。
- 2.認証アプリまたはSMSを選択して設定を保存する。
SBI証券
「お客様情報 設定・変更」へ進む。
- 1.「サービス設定」から「デバイス認証サービス」を選択する。
- 2.メール登録を行い、認証設定を完了させる。
LINE
1. LINEの「設定」（歯車アイコン）から「アカウント」をタップ。
2. 「2段階認証」を確認し、他端末からのログイン許可設定を見直す。
3. これにより、日本で多いアカウント乗っ取り被害を防ぐことができます。
よくある質問
ワンクリックでオンラインセキュリティ対策を。
世界をリードするVPNで安全を確保
