二段階認証 (2FA)とは

概要

二段階認証 (Two-Factor Authentication, 2FA) は、ログイン時にパスワードだけでなく、もう 1 つの認証要素を追加で要求するセキュリティ対策である。「知っているもの (パスワード)」に加えて「持っているもの (スマートフォン)」や「自分自身の特徴 (指紋)」を組み合わせることで、パスワードが漏洩しても第三者がログインできない状態を作る。

主な認証方式

二段階認証にはいくつかの方式がある。SMS 認証は、登録した電話番号に送られる 6 桁のコードを入力する方式で、最も普及している。ただし、SIM スワップ攻撃 (携帯会社を騙して SIM カードを再発行させる手口) で突破されるリスクがある。

認証アプリ (Google Authenticator、Authy など) は、30 秒ごとに変わるワンタイムパスワードを生成する方式で、SMS より安全性が高い。FIDO2/WebAuthn は、指紋認証や顔認証などの生体情報、またはセキュリティキー (YubiKey など) を使う方式で、フィッシング耐性が最も高い。パスキー (Passkey) はこの技術を基盤としており、Apple、Google、Microsoft が推進している。

なぜ二段階認証が必要なのか

パスワードだけの認証が危険な理由は 3 つある。第一に、多くの人がパスワードを使い回している。1 つのサービスからパスワードが漏洩すると、同じパスワードを使っている他のサービスも芋づる式に突破される。第二に、フィッシングサイトにパスワードを入力してしまうリスクがある。第三に、単純なパスワードは総当たり攻撃で解読される。

二段階認証を有効にすると、パスワードが漏洩しても、攻撃者はもう 1 つの認証要素 (スマートフォンや指紋) を持っていないためログインできない。Google の報告によると、SMS ベースの二段階認証だけでも、自動化された攻撃の 100%、フィッシング攻撃の 96% を防げるとされている。

SNS アカウントと二段階認証

質問箱を運営する SNS アカウントには、必ず二段階認証を設定すべきである。質問箱のオーナーアカウントが乗っ取られると、過去の Q&A がすべて改ざん・削除される可能性がある。フォロワーとの信頼関係も一瞬で崩壊する。

X、Instagram、TikTok など主要な SNS はすべて二段階認証に対応している。設定は各 SNS のセキュリティ設定画面から数分で完了する。認証アプリ方式を選択し、バックアップコードを安全な場所に保管しておくことを推奨する。スマートフォンを紛失した場合にバックアップコードがないとアカウントにアクセスできなくなるため、この手順は省略しないこと。

アカウントセキュリティを強化する方法を学びたい方は、多要素認証の関連書籍も参考になります。