多要素認証（MFA）｜パスワードが漏れても守る二重ロック

パスワードは、どれだけ強くても漏れるときは漏れます。そこで「もう一段の鍵」を足すのが多要素認証（MFA）。今すぐやるべき最強の基本対策です。

3つの「要素」を組み合わせる

← 図は横にスクロールできます →

• 知識要素：本人だけが知っている（パスワード、暗証番号）
• 所持要素：本人だけが持っている（スマホ、セキュリティキー）
• 生体要素：本人自身（指紋、顔）

このうち2つ以上を使うのが多要素認証。パスワード（知識）が盗まれても、スマホ（所持）が無ければログインできません。

方法ごとの強さ

もう少し詳しく（背景）

多要素認証（MFA）の「要素」には、大きく3種類あります——知識（パスワードなど本人が知っていること）、所持（スマホやセキュリティキーなど本人が持っているもの）、生体（指紋や顔など本人自身）¹。これらを2つ以上組み合わせるのがMFAで、片方が漏れてももう片方で守れるのが強みです。よくある「SMSで届く数字コード」も所持要素の一種ですが、SIMスワップ（電話番号の乗っ取り）や偽サイトでコードごと盗まれる弱点があります²。だから近年は、偽サイトに入力しても盗まれない仕組み（認証アプリのTOTPや、より安全なパスキー）が推奨されています。「パスワード＋もう一要素」にするだけで、乗っ取りの大半は防げます。

つぎに読むなら

• パスキー：パスワードのない認証
• 安全なパスワード
• フィッシングを見抜く

Footnotes

1. 認証の3要素は「知識（Something you know）・所持（Something you have）・生体（Something you are）」。異なる種類を組み合わせるほど、まとめて破られにくくなる。 ↩

2. SMSコードは手軽だが、電話番号を乗っ取るSIMスワップや、偽サイトにコードを転送させる中継攻撃に弱い。認証アプリやパスキーのほうが安全性が高い。 ↩