二要素認証（2FA）を解説：その仕組みと、パスワード1つでは不十分な理由

パスワードは、多くの人が思っている以上にさまざまな場所に存在する秘密情報です。ウェブサイトで入力されたり、複数のアカウントで使い回されたり、ときには他人のデータ漏えいによって流出したりします。そのため、パスワードだけで大切なものを守るのは危うい方法です。

二要素認証では、異なる種類の証明をもう1つ追加するため、パスワードが盗まれても、それだけではログインできません。ここでは、二要素認証とは何か、一般的な第2要素の種類、役立つ理由、そして防げないことについて説明します。

二要素認証とは

二要素認証は、通常2FAと略され、異なる2種類の証拠によって本人であることを証明する仕組みです。NISTのデジタルアイデンティティに関するガイドラインでは、認証要素を3種類に分類しています。パスワードのような「知っているもの」、電話やセキュリティキーのような「持っているもの」、指紋のような「本人自身のもの」です。

2つの要素は、異なる種類でなければなりません。NISTによると、パスワードとPINはどちらも「知っているもの」であるため、2要素とはみなされません。また、多要素認証（MFA）や2段階認証と呼ばれることもあります。CISAは、日常的な使用においてこれらの名称は同じ意味だとし、本人であることを確認するための追加手順を指すと説明しています。

一般的な第2要素の種類

最もよく知られている第2要素は、テキストメッセージで送信されるか、スマートフォンの認証アプリで生成されるワンタイムコードです。ほかには、デバイスに組み込まれた暗号技術を使う物理的なセキュリティキーやパスキーがあります。指紋認証や顔認証も利用できますが、NISTによると、生体認証は物理的なデバイスと組み合わせた場合にのみ、多要素認証の一部として数えられます。

これらの方法の安全性は同じではありません。CISAによると、セキュリティキーやパスキーなどのFIDO標準に基づく認証が最も強力で、フィッシングにも耐性があります。認証アプリのコードはテキストメッセージより安全ですが、それでもフィッシングされる可能性があり、テキストメッセージは一般的な選択肢の中で最も安全性が低い方法です。それぞれの方法を詳しく比較することは、別のテーマになります。

パスワード1つでは不十分な理由

CISAの説明によると、パスワードという「知っているもの」は、使い回されたり、比較的簡単に解読されたり、盗まれたりする可能性があります。同じパスワードを複数のアカウントで使っていると、1件の情報漏えいですべてのアカウントに侵入されるおそれがあります。第2要素があれば、パスワードを入手した攻撃者ももう1つの要素が必要となり、CISAによると、アカウントがハッキングされる可能性を大幅に下げられます。

CISAは、多要素認証が利用できるすべての場所で有効にし、特に重要なアカウントから始めるよう勧めています。まずメール、次に金融サービス、続いてソーシャルメディアやオンラインストアです。また、強力で使い回しのないパスワードを設定し、パスワードマネージャーも併用することを推奨しています。この2つの対策は互いに補完し合うためです。

二要素認証で防げないこと

第2要素を設定すればアカウントの乗っ取りは難しくなりますが、突破不可能になるわけではありません。本物そっくりの偽ログインページでコードを盗み、すぐに悪用されることがあります。また、SIMスワップなどによってテキストメッセージが傍受されたり、転送されたりする可能性もあります。そのため、選ぶ方法が重要であり、コードを入力する前に本物のサイトを開いていることを確認するのも大切な保護策です。

また、あらゆるものを守れるわけではありません。2FAはサービスにサインインするアカウントを保護しますが、暗号資産ウォレットの秘密鍵やシードフレーズはアカウントではないため、保護できません。強力で使い回しのないパスワードの代わりにもなりませんし、スマートフォンを紛失した場合にアクセスを安全に復旧する方法の代わりにもなりません。

WEEXからのお知らせ：有効化してコードを安全に管理しましょう

WEEXは、メールや金融関連のアカウントをはじめ、利用できるあらゆる場所で二要素認証を有効にするようユーザーに呼びかけています。バックアップコードや復旧コードは安全なオフラインの場所に保管し、コードを入力する前にサイトのアドレスを確認してください。ワンタイムコードやシードフレーズは、サポート担当者を名乗る人を含め、誰にも教えてはいけません。正規のサービスがどちらかを尋ねることはありません。

まとめ

二要素認証では、異なる2種類の証明が求められるため、パスワードが盗まれただけではログインできません。第2要素の安全性は方法によって異なり、セキュリティキーやパスキーが最も強く、テキストメッセージが最も弱い方法です。また、いずれの方法も、適切なパスワードや慎重な行動、ウォレットの秘密鍵の保護に代わるものではありません。二要素認証を有効にすることは、アカウントの乗っ取りを防ぎやすくする最も簡単な方法の1つです。

よくある質問

1. 二要素認証とは何ですか？
パスワードだけでなく、パスワードとスマートフォンに届くコードのように、異なる2種類の証明を求めるログイン方法です。

2. 2FAはMFAや2段階認証と同じですか？
日常的には、これらの名称はおおむね同じ意味で使われています。厳密には、MFAは異なる種類の要素を複数使うことを指し、2FAはちょうど2つの要素を使うことを指します。

3. 二要素認証を使えばアカウントはハッキングされなくなりますか？
いいえ。乗っ取りは難しくなりますが、偽ログインページでコードを盗まれたり、テキストメッセージを傍受されたりする可能性があります。そのため、利用する方法と日頃の行動の両方が重要です。

4. パスワードとPINの組み合わせは二要素認証ですか？
いいえ。どちらも「知っているもの」なので、NISTのガイドラインでは1つの要素として扱われます。

5. どのアカウントから二要素認証を設定すべきですか？
CISAは、まずメール、次に金融サービス、続いてソーシャルメディアやオンラインストアから始めることを勧めています。メールはほかのアカウントのパスワード再設定によく使われるため、最初に設定しましょう。