多要素認証アプリの選び方

多要素認証とは何か、なぜ必要か

多要素認証とは、ID・パスワードだけでなく、もう1つ別の要素（スマートフォンに送られる確認コードなど）を使ってログインする仕組みです。IPA（情報処理推進機構）は、パスワードの作成・管理（教材「パスワード管理の基本」参照）に加えて、多要素認証の設定を推奨しています。IPAの案内によると、多要素認証を設定しておけば、仮にIDと最初のパスワードを第三者に知られてしまっても、それだけではログインできなくなるため、不正アクセスを防ぐ効果があるとされています。

SMS・認証アプリ・パスキーの違い

大阪府警察が公表している解説によると、多要素認証に使われる主な方式には、安全性の違いがあります。

• SMS・メール（評価：1つ星）：登録した電話番号やメールアドレスに確認コードが送られてくる方式です。導入しやすく分かりやすい一方、「SIMスワップ」（他人が自分の電話番号を乗っ取る手口）や、端末に感染したマルウェア（不正なプログラム）に弱いとされています。
• 認証アプリ（評価：2つ星）：スマートフォンのアプリが確認コード（ワンタイムパスワード）を生成する方式です。SIMスワップには強いものの、マルウェアには部分的に弱いとされています。
• パスキー（評価：3つ星）：端末が持つ鍵の情報と、指紋や顔などの生体認証・PINを組み合わせる、最も新しい方式です。SIMスワップやマルウェアへの耐性も高く、特に弱点が見当たらないとされています。

いずれの方式も、フィッシング（偽サイトを使った詐欺。教材「フィッシング詐欺の見分け方」参照）や、漏えいしたパスワードを使い回して試す「パスワードリスト攻撃」への耐性はあるとされています。一方で、SMS・メールと認証アプリは、攻撃者が偽サイトに入力されたコードをその場で中継してしまう「リアルタイム型フィッシング」には弱く、この手口に耐性があるのはパスキーのみとされています。

どれを選べばいいか

大阪府警察の案内では、サービスと自分の端末がパスキーに対応している場合は、まずパスキーの設定を優先することが勧められています。パスキーに対応していないサービスでは、SMS・メールよりも認証アプリの方が安全性が高いとされています。ただし、同じ案内では「SMS・メールによる認証であっても、設定していない状態と比べれば安全性は大きく向上する」とも説明されています。つまり、理想的な方式が使えない場合でも、何らかの多要素認証を設定しておくこと自体に意味があります。

導入時に気をつけたいこと

認証アプリやパスキーは、設定した端末に依存する仕組みです。スマートフォンの機種変更や故障に備えて、サービスごとに用意されている「復旧用のコード」や引っ越し手順を、事前に確認し保管しておくことをおすすめします。復旧手順を確認せずに機種変更してしまうと、自分自身がログインできなくなってしまう場合があります。

何をすべきか（まとめ）

1. サイトの管理画面やよく使うサービスで、多要素認証が設定されているか確認する
2. 対応していればパスキー、対応していなければ認証アプリを優先する（SMS・メールのみの場合も、設定しないよりは設定する）
3. 認証アプリ・パスキーを設定する前に、機種変更時の復旧手順を確認しておく

参考にした公開情報

• 大阪府警察：多要素認証を設定しよう
• IPA：アカウントのセキュリティ対策

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。各サービスでの具体的な設定手順は、利用しているサービスのヘルプページをご確認ください。