2 段階認証とは何ですか? また、どのように保護されますか?

インフォマテックデジタル » Recursos » 2段階認証：アカウントを保護するための完全ガイド

2 段階認証では、パスワードに 2 回目の検証が追加されるため、攻撃者が認証情報を知っていてもアカウントを乗っ取ることがはるかに困難になります。
2FA 方式には複数の種類 (SMS、認証アプリ、プッシュ通知、物理キー、生体認証、アクセスキー) があり、セキュリティと利便性のレベルが異なります。
電子メールアカウント、ソーシャルメディア、メッセージング、クラウドストレージ、オンラインショッピングで 2 段階認証を有効にすると、個人情報の盗難のリスクが大幅に軽減されます。
2FA を最大限に活用するには、安全な方法を組み合わせ、信頼できるデバイスのみを選択し、検証コードを第三者と共有しないことをお勧めします。

2段階認証によるセキュリティ

二段階認証（二段階検証、2FAとも呼ばれる）は、アカウントの安全性を確保したい場合に必須となるセキュリティ対策の一つとなっています。データ漏洩、パスワード盗難、フィッシング攻撃の増加に伴い、一つの認証方法だけに頼り続けるのは、率直に言って危険な行為です。

このシステムは、お客様のアカウントにさらなるセキュリティ層を追加します。パスワードに加えて、お客様だけが所有または生成できる2要素認証が必須となります。これは、一時的なコード、モバイル通知、指紋認証、物理的な鍵、あるいはパスワード不要のアクセスキーなどです。有効化は見た目よりもずっと簡単で、その見返りとして、アカウントが不正に乗っ取られるリスクを大幅に軽減できます。

2段階認証とは具体的に何でしょうか?

ロビンソンリストの大規模漏洩警報: 600.000 人を超えるユーザーのデータが侵害される可能性があります。

二段階認証、または二要素認証（2FA）とは、ログイン時に2つの異なる認証情報が必要となるシステムです。1つはあなたが知っている情報（パスワードやPIN）、もう1つはあなたが持っているもの、またはあなた自身（携帯電話、セキュリティキー、指紋、顔など）です。これらの要素を組み合わせることで、たとえ攻撃者があなたのパスワードを入手したとしても、アクセスすることは非常に困難になります。

実際には、通常、次のような手順で処理が行われます。まず、通常どおりユーザー名とパスワードを入力します。次に、アクセスを許可する前に、サービスは2段階目の認証を要求します。これは、ワンタイムパスワード（OTP）、承認が必要なプッシュ通知、生体認証、またはセキュリティキーの使用などです。この2段階目の認証を行わないと、アクセスはブロックされます。

この2つ目の要素は通常、あなただけがアクセスできるものに基づいています。例えば、あなたの携帯電話、特定のアプリ、USB/NFCキー、あるいはあなた自身の身体（指紋や顔）などです。こうすることで、たとえ誰かがダークウェブのフォーラムでパスワードを購入したり推測したり、総当たり攻撃を仕掛けたりしても、2つ目の要素が欠けているため、アクセスすることはできません。

そのため、メール、ソーシャルメディア、メッセージングプラットフォーム、クラウドストレージサービス、オンラインバンキング、支払いデータを保存する店舗やマーケットプレイス、あるいは機密情報が外部に流出することを望まないあらゆるサービスなど、機密性の高いアカウントには二段階認証が強く推奨されます。

二段階認証の仕組みは、認証要素の一つ（最も一般的なパスワード）が漏洩した場合でも、ログインを完了するにはもう一方の認証要素が必要になるというものです。この二重の障壁のおかげで、二段階認証を有効にしているユーザーはアカウント乗っ取りのリスクを大幅に軽減できます。

2段階認証の例

2段階認証の実際の仕組み

Google、Microsoft、その他のプラットフォームなどのサービスで二段階認証を有効にすると、ログインプロセスが若干変更され、複雑になりすぎることなくセキュリティが強化されます。設定によっては、ログイン状況に応じて異なる種類の二段階認証が求められる場合があります。

例えば、Googleアカウントの場合、この機能を有効にすると、パスワードに加えて2段階認証を行うか、パスキーを直接使用してログインできます。携帯電話やコンピューターに対応したパスキーを使用する場合は、デバイス自体がロック解除方法（PIN、指紋認証、顔認証など）で本人確認を行うため、実際にはパスワードを入力する必要はありません。

アクセスキーを使用してログインする場合、デバイス自体と生体認証情報またはPINが、従来のパスワードとPINの組み合わせに代わるものとして扱われることを理解しておくことが重要です。これらのキーは登録済みのデバイスにのみ存在するため、書き留めたり、誤って転送したり、電話で共有したりすることはできません。

パスワードを引き続き使用する場合、サービスは後ほど2つ目の要素の入力を求めます。例えば、GoogleやMicrosoftは、デバイス、位置情報、通常のログイン方法に基づいて、その時々で最も適切な方法を選択します。つまり、スマートフォンに通知が表示されたり、一時的なコードの入力を求められたり、物理的なセキュリティキーの使用を要求されたりすることがあります。

さらに、多くのシステムは適応型認証を採用しています。つまり、通常とは異なるログイン（新しいデバイス、異なる国、一般的でないアプリなど）を検出すると、認証プロセスを強化します。例えば、見慣れないノートパソコンからログインする場合、リスクの高いアプリケーションにアクセスする場合、または会社が管理していないデバイスから接続する場合、常に2段階認証を要求する場合があります。

最も一般的に使用される2段階認証方法

この2段階認証を完了する方法はいくつかありますが、セキュリティや利便性のレベルはそれぞれ異なります。理想的には、利用可能なオプションをよく理解し、自分に最適な方法と保護したいアカウントの種類に合った方法を選択することをお勧めします。

Google DNS vs Digi: スピード、セキュリティ、そしてより良い代替手段

最も一般的な認証方法の一つは、SMS認証です。ユーザー名とパスワードを入力すると、サービスから携帯電話に6桁のコードがSMSで送信され、それをログイン画面に入力します。この方法は高速で、追加のアプリも不要、誰でも利用できますが、2つの大きな欠点があります。電話番号を共有する必要があることと、SIMスワッピングなどの攻撃に対して脆弱であることです。

音声通話認証システムも非常によく似ており、事前に設定した電話番号に電話がかかってきて認証コードを受け取ります。SMSメッセージを受信できない場合に有効ですが、同じリスクも抱えています。誰かがあなたの電話番号を複製した場合、その人もその電話を受けてしまう可能性があるのです。

もう一つの定番方法は、メール認証です。パスワードを入力すると、サービスからコードまたは一時的なリンクがメールアドレスに送信されます。使い方は簡単ですが、重大な弱点があります。誰かがあなたのメールアドレスにアクセスした場合、そこに送信されたすべてのコードも入手できてしまうのです。さらに、同じデバイスでログインしている場合は、見た目ほどセキュリティは強化されません。

一部のサービスでは、パスワードの後にセキュリティ質問を二段階認証の要素として利用しています。これは、パスワード入力後に、事前に設定した情報（最初の学校名、出生地など）を尋ねるものです。しかし、質問があまりにも分かりやすかったり、身近な人が答えを知っていたりすると、この方法は信頼性が低くなります。そのため、現在では主要なセキュリティ対策としては不適切な方法とみなされています。

プッシュ通知と認証アプリケーション

最も便利で安全な方法の一つは、モバイル端末のプッシュ通知を利用することです。GoogleやMicrosoftなどのプラットフォームは、スマートフォンに通知を送信します。ログインを承認する場合は「はい」をタップし、本人でない場合は「いいえ」をタップするだけです。通常、アカウントへのアクセスに使用されているデバイスや、場合によっては大まかな位置情報などの詳細情報も表示されます。

このシステムには2つの明確な利点があります。まず、 6桁のコードをコピーするよりも通知をタップする方がはるかに簡単です。次に、認証が電話回線だけでなくデバイスとアカウントに紐付けられているため、電話番号に依存する攻撃（SIMカードのクローン作成、SMS転送など）に対する脆弱性が低くなります。

企業は、ロック解除されたスマートフォンを手に取るだけで不正アクセスされるのを防ぐため、デバイスのPINコードや指紋認証を要求するなど、追加の確認手段をこれらの通知に組み込むことがよくあります。企業環境では、Microsoft Entraソリューションや同様のツールを使用することで、状況に応じたルールを設定でき、ユーザーに過度の不便をかけることなくセキュリティを強化できます。

同時に、Google Authenticator、Microsoft Authenticator、Authy、Duoなど、コード生成アプリも数多く存在します。これらのアプリは、数秒ごとに変化する時間ベースのワンタイムパスワード（OTP）を生成し、動作にモバイル通信やデータ接続を必要としません。

これらのアプリでは、通常、 2段階認証を有効にする際にサービスから提供されるQRコードをスキャンします。その後、アプリはログインするたびに入力する必要のあるコードを生成するようになります。この方法は、コードがデバイス上で直接生成され、モバイルネットワークを経由しないため、遠隔操作によるコードの盗難が非常に困難になるため、強く推奨されるソリューションです。

アクセスキー、セキュリティキー、生体認証

近年、パスキーは従来のパスワードに代わる、現代的で安全な認証方法として人気を集めています。パスワードを覚える代わりに、指紋認証、顔認証、またはデバイスのPINコードでログインします。システムは一対の暗号鍵を作成します。1つはサーバーに、もう1つはデバイスに保存され、アクセスを許可した場合にのみ、これらの鍵が組み合わされます。

これらのアクセスキーは、スマートフォン、コンピューター、あるいはハードウェアセキュリティキーに作成できます。利点は、入力ミスや、複数の場所で使い回す可能性のあるパスワード、テクニカルサポートを装った詐欺師に教えてしまう可能性のあるパスワードが存在しないことです。これらは、フィッシング攻撃に対する現在利用可能な最も強力なセキュリティ対策の一つです。

これらに関連するのがハードウェアセキュリティキーです。これは小型の物理デバイス（多くはUSB、NFC、またはBluetooth接続）で、指示に従ってスマートフォン、タブレット、またはコンピューターに接続したり、近づけたりします。家の鍵のように機能し、これがないとアクセスできません。大企業や上級ユーザーは、特に機密性の高いアカウントを保護するためにこれらを使用します。

生体認証も第二要素として重要な役割を果たします。多くの携帯電話やノートパソコンは既に指紋認証や顔認証によるログインに対応しており、Windows Helloのようなソリューションは、この種の認証をオペレーティングシステム自体に統合しています。このように、知っている情報（パスワード）と自分自身の特徴（指紋、顔）を組み合わせることで、セキュリティレベルを高めることができます。

こうした手法を最新のアクセスポリシーと組み合わせることで、組織は個人情報盗難攻撃へのリスクを最小限に抑え、パスワード不要のアクセスを容易にし、ユーザーがデバイスを切り替えたりアカウントを復旧する必要がある場合でも、比較的スムーズなユーザーエクスペリエンスを維持することができます。

PCとAndroid間でクラウドサービスを使わずにローカルでフォルダを同期する方法

代替方法: SMS、QR コード、バックアップコードなど

完璧とは言えないものの、SMSや音声通話で送信されるコードは、特に特定のアプリの使用に慣れていないユーザーにとって有効な選択肢です。システムは、設定済みの電話番号に6桁のコードを送信します。ユーザーはそのコードを入力するだけで本人確認が完了します。

しかし、SMSや通話で送信されるコードは、誰かがあなたの電話番号にアクセスした場合、傍受される可能性があることを覚えておくことが重要です。SIMスワッピング（SIMカードのクローン作成）や通話転送などの攻撃によって、これらのメッセージや通話が攻撃者が制御するデバイスに転送される可能性があります。したがって、全く保護対策を講じないよりは多少のセキュリティは確保できますが、より強力な代替手段がある場合は、これらの方法は理想的とは言えません。

Googleなどのプラットフォームで使用されている別のシステムは、QRコード認証です。場合によっては、コンピュータ画面にQRコードが表示され、画面の指示に従って携帯電話でスキャンし、本人確認または電話番号の認証を行う必要があります。このプロセスは、SMSに頼らずデバイスとサーバー間で直接やり取りが行われるため、番号ベースの攻撃に対して非常に安全です。

ほとんどのサービスでは、バックアップコードまたは復旧コードも提供しています。これらは、2段階認証を有効にした際に生成される文字列で、携帯電話や主要な認証方法にアクセスできなくなった場合に使用できます。これらのコードは、安全な場所（普段使用している脆弱なメールアカウントとは別の場所）に保管し、決して誰にも共有しないことが非常に重要です。高度なセキュリティプログラムの中には、情報漏洩を防ぐために、これらのコードのダウンロード自体を許可しないものもあります。

最後に、独自のコード生成機能を内蔵したプラットフォームやアプリもあります。例えば、Facebookアプリ自体に、新しいデバイスでログインする際に一時的なコードを生成する機能を有効にすることができます。このコンセプトは専用の認証アプリと非常によく似ていますが、特定のサービスに限定されています。

2段階認証を有効にする: 一般的な手順

各サービスには独自のメニューと名称がありますが、ほとんどの場合、共通の手順を踏むことになります。一般的な流れを理解しておけば、オプション名が多少異なっていても迷うことはないでしょう。

まず、保護したいアカウント（メール、ソーシャルネットワーク、メッセージングアプリ、クラウドストレージ、ゲームプラットフォーム、オンラインストアなど）にログインしてください。信頼できるデバイスから、普段使用しているユーザー名とパスワードでサインインしてください。

次に、セキュリティ設定またはアカウント設定のセクションに移動します。これらのセクションは、「セキュリティ」、「プライバシーとセキュリティ」、「サインインとセキュリティ」、「アカウント」などと呼ばれていることがよくあります。たとえば、Googleアカウントの場合はメインダッシュボードに表示され、多くのソーシャルネットワークではアプリの設定の中にあります。

そのセクション内で、「二段階認証」「二要素認証」「ログインセキュリティ」など、類似のオプションを探してください。それをクリックすると、その機能を有効化できます。その際、設定を変更しているのが本人であることを確認するため、サービス側からパスワードの再入力を求められる可能性が高いです。

次のステップは、使用する第2要素認証の種類を選択することです。SMS、通話、認証アプリ、物理キー、プッシュ通知、生体認証などから選択できます。一部のサービスでは、複数の認証方法を一度に設定できるため（例えば、コードアプリとバックアップとしてのSMS）、デバイスを紛失した場合でも困ることはありません。

セットアップウィザードが完了すると、通常、プラットフォームはログインテストを行うか、選択した方法で送信されたコードを入力してプロセスを確認するよう求めます。多くのサービスでは、バックアップコードをダウンロードまたは保存するオプションも提供しており、将来の緊急事態に備えて、これらのコードを書き留めるか、信頼できるパスワードマネージャーに保存しておくことをお勧めします。

2段階認証のセキュリティ、リスク、限界

二段階認証がアカウント盗難の減少に効果的であることは、十分に立証されている。大手テクノロジー企業が発表した調査によると、侵害されたアカウントの大多数は、攻撃時に二段階認証が有効になっていなかったことが示されている。

例えば、Googleは二段階認証がアカウント乗っ取りを防ぐ最も効果的な対策の一つであると述べており、Microsoftは侵害されたアカウントのほぼ99%が二段階認証を設定していなかったと報告している。つまり、この機能を有効にするだけで、攻撃対象領域を大幅に縮小できるのだ。

しかし、これは万能薬でもなければ、絶対に失敗しない解決策でもありません。マルウェアやソーシャルエンジニアリングの手法は存在し、2段階目の段階であなたを騙したり、情報を盗んだりするように設計されています。例えば、コードを瞬時に取得するフィッシングページから、銀行、携帯電話会社、テクニカルサポートサービスになりすまして、受け取ったばかりのコードを口述させるように仕向ける自動音声通話（ボイスボット）まで、様々な手口があります。

したがって、鉄則の一つは非常に明確です。認証コードは絶対に誰にも教えないでください。電話、メール、WhatsApp、ソーシャルメディアのダイレクトメッセージなど、いかなる方法でもです。大企業があなたに電話をかけて6桁のコードを尋ねることはありませんし、もし誰かがそうしてきたとしたら、それはあなたのアカウントを乗っ取ろうとしている可能性が高いです。

また、スマートフォンが物理的に盗難され、ロックが解除された場合、プッシュ通知の承認、認証アプリのコード閲覧、ワンタイムパスワード（OTP）を含むSMSメッセージの閲覧など、他人に悪用されるリスクが高まることにも注意が必要です。そのため、デバイスに安全なロック解除コードを設定しておくこと、自動画面ロックを有効にすること、そして可能であれば盗難時に遠隔操作でコンテンツを消去できるようにしておくことが非常に重要です。

信頼できるデバイス、回復、アクセスの継続性

自分のパソコンやモバイル端末にログインするたびにこの手順を繰り返す手間を省くため、ほとんどのサービスでは特定の端末を信頼できる端末として登録できます。通常、2段階認証を入力すると、「この端末では次回から確認しない」や「このパソコンを記憶する」といったメッセージが表示されるボックスが表示されます。

このオプションを有効にすると、その特定のデバイスでは、少なくともしばらくの間、またはCookieを削除したり、グローバルログアウトしたり、キー設定を変更したりするまでは、ログインするたびに2要素認証を入力する必要がなくなります。ただし、このチェックボックスをオンにするのは、誰とも共有しておらず、ご自身で管理しているデバイス（個人の携帯電話、ノートパソコン、デスクトップコンピュータなど）に限ってください。

ビジネスの世界では、セキュリティチームは通常、デバイスが紛失したり、ユーザーが主要なアクセス方法を忘れたりした場合でも、代替手段、バックアップコード、安全なアカウントリセットなど、復旧オプションが用意されるようにポリシーを設計します。その目的は、二要素認証を無効にしたり、不必要なセキュリティ上の制約を設けたりすることなく、ユーザーの接続を維持することです。

あなたの場合、個人レベルでは、サービスが許可している場合は常に複数の認証方法を設定し（例えば、認証アプリをメインの方法とし、SMSやセキュリティキーをバックアップとして）、復旧コードを信頼できるパスワードマネージャーや厳重に保護された紙の書類など、安全な場所に保存するのが最も賢明な方法です。

最終的には、利便性と保護のバランスを見つけることが重要です。つまり、すべての重要なアカウントで 2 段階認証を使用し、利用できる最も安全な方法 (認証アプリ、アクセスキー、セキュリティキー) を選択し、紛失や電話の変更の際にロックアウトされないように回復オプションを手元に置いておくことです。

メインアカウントに2段階認証を導入し、アクセスキー、コードアプリ、プッシュ通知といった最新の認証方法と、基本的なベストプラクティス（コードの共有を避ける、デバイスのセキュリティを確保する、バックアップを取るなど）を組み合わせることで、一般的な攻撃のほとんどに対してはるかに安全な状態を保つことができます。すべてのリスクを排除できるわけではありませんが、アカウントが攻撃者にとって魅力のない、攻撃しにくい標的となることは間違いありません。