Google Authenticatorを紛失したら？バックアップ・同期・復元の仕組み

Google Authenticatorのコードを保存していたスマートフォンがなくなった場合、その後どうなるかは、紛失する前にどのような設定をしていたかによって異なります。コードは同期されていましたか？バックアップコードは保存していましたか？また、そのサービスにはほかの方法で再びアクセスする手段がありますか？

ここでは、この3つの対策がそれぞれどのように機能するのか、どれも設定していなかった場合にできること、そして事前に備える方法を説明します。具体的な手順はサービスごとに異なるため、この記事では基本的な仕組みを解説し、各サイトの手順についてはそのサイトのヘルプセンターをご確認ください。

アプリに保存される情報と、スマートフォンを紛失した場合の問題

Google Authenticatorは、アカウントでコードを生成するために使われるシークレットを保存し、スマートフォン上でコードを生成します。Googleによると、インターネット接続やモバイル通信がなくてもコードを生成できます。これは便利ですが、コードの生成に必要な情報が端末内にあるということでもあります。そのため、シークレットがほかの場所にも保存されていない限り、端末を紛失すると問題になります。

第1の対策：Googleアカウントとの同期

Googleによると、Googleアカウントにログインすれば、すべての端末間でコードを同期できます。また、新しい端末でログインすると、コードは自動的に同期されます。Googleは、コードが転送中および保存中に暗号化されると説明しています。Googleアカウントを使わずにアプリを利用している場合、コードはその端末にのみ保存され、ほかの場所では利用できません。

スマートフォンを紛失した場合、この違いが重要になります。同期済みのコードは、新しい端末でログインすると復元されます。一度も同期または移行していないコードは、アプリから復元できません。Googleのヘルプページによると、アプリを設定したすべてのサイトにアクセスし、古いコードを削除して、新しい端末を再登録する必要があります。手動での移行も可能ですが、Googleによると古い端末が必要なため、まだ手元にある場合に限り利用できます。

同期にはトレードオフがあります。Googleアカウントがコードにアクセスするための手段となるため、アカウント自体の保護がより重要になります。Googleは、2段階認証の追加方法を登録し、パスキーの利用を検討するよう推奨しています。ログイン後にコードが見つからない場合は、正しいGoogleアカウントにログインしているか確認するようGoogleは案内しています。

第2の対策：事前に保存しておくバックアップコード

多くのサービスでは、認証アプリを使った認証を有効にすると、1回限りのバックアップコードや復旧キーが発行されます。Googleアカウントのバックアップコードは8桁で、使用するとそれぞれ無効になります。また、新しいコードセットを作成すると、古いコードセットは無効になります。Googleは、バックアップコードを決して共有しないよう案内しており、ログイン時以外にバックアップコードを尋ねることはないとしています。

NISTのデジタルIDガイドラインでは、別の認証手段を紛失した場合に備えて保管する、このような復旧コードを1回限りのシークレットとして説明しています。これらのコードはフィッシング耐性がないため、スクリーンショットやクラウド上のメモではなく、オフラインで保管してください。登録時に表示される設定キーもシークレットです。キーを持っている人は誰でもコードを生成できるため、保存している場合はパスワードと同じように扱ってください。

第3の対策：サービス独自の復旧手続き

同期もバックアップコードもない場合、アクセスを復旧できるのはサービス自体だけです。本人確認が必要になり、場合によっては待機期間が設けられることもあります。Googleの案内によると、普段使っている端末と場所から、アクセス可能な再設定用メールアドレスを使って復旧手続きを行うと、成功しやすくなります。また、2段階認証を設定しているアカウントでは、確認に数日かかる場合があると説明しています。

ほかの追加認証手段も役立ちます。Googleによると、メインのスマートフォンを紛失した場合、アカウントにログイン済みの別のスマートフォン、追加登録した別の電話番号、またはハードウェアセキュリティキーを使って本人確認できます。事前に登録しておく独立したログイン手段が多いほど、復旧手続きに頼らずに済みます。NCSCは、復旧手続きはログインよりも脆弱なことが多く、攻撃者に狙われると指摘しています。そのため、サービスの公式窓口からのみ手続きを始めることが大切です。

紛失ではなく、スマートフォンを盗まれた場合

スマートフォンを盗まれた場合は、第三者が端末上のコードにアクセスできる可能性があり、別の問題が生じます。Googleは、利用可能な場合、スマートフォンのリモート消去機能を使うなどして、ほかの人がコードにアクセスできないようにすることを勧めています。コードが同期されている場合は、Googleアカウントから端末を削除することでコードを削除することもできます。また、Googleは紛失したスマートフォンからログアウトするよう案内しています。アプリを開く前にロック解除が必要な設定にしておくと、事前の対策になります。Googleはこの機能を「Privacy Screen」と呼んでいます。

WEEXからのお知らせ：アクセスを復旧できるのは本物のサービスだけ

WEEXは、「Google Authenticatorを復旧する」と申し出て、認証コード、バックアップコード、QRコード、設定キー、シードフレーズ、または端末へのリモートアクセスを求める相手は、詐欺師であると注意喚起しています。公式サイトまたはアプリのヘルプ窓口のみを利用し、バックアップコードはオフラインで保管してください。Google自身も、メール、電話、メッセージでパスワードや認証コードを尋ねることはないとしています。ここに記載した内容は、いかなる場合も金融上の助言ではありません。

まとめ

認証アプリを紛失した場合に復旧できるかどうかは、コードがアカウントに同期されていたか、バックアップコードを保存していたか、そしてサービス独自の復旧手続きで何が求められるかという3つの要素によって決まります。必要になる前に少なくとも2つの対策を設定しておけば、スマートフォンの紛失はアカウントにアクセスできなくなる事態ではなく、単なる不便で済みます。また、本当に利用者を助ける人が、アカウントを守るシークレットを尋ねることは決してありません。

よくある質問

1. Google Authenticatorを入れたスマートフォンを紛失すると、コードはどうなりますか？
Googleアカウントに同期されていれば、新しい端末でログインするとコードが復元されます。一度も同期または移行していない場合、アプリからコードを復元することはできません。バックアップコードを使うか、サービスの復旧手続きを利用する必要があります。

2. 古いスマートフォンがなくてもコードを取り戻せますか？
Googleアカウントに同期されていた場合に限り可能です。Googleによると、手動での移行には古い端末が必要です。

3. バックアップコードはGoogle Authenticatorのコードと同じものですか？
いいえ。バックアップコードは、通常の追加認証手段を利用できない場合に備えてサービスが発行する1回限りのコードです。Googleによると、各コードは使用すると無効になります。

4. アカウントの復旧にはどれくらい時間がかかりますか？
サービスによって異なります。2段階認証を設定しているアカウントについては、Googleは復旧に数日かかる場合があると説明しています。

5. 正規のサービスが、認証アプリの復旧のためにコードやQRコードを求めることはありますか？
いいえ。Googleによると、ログイン時以外にバックアップコードを尋ねることはなく、メール、電話、メッセージでパスワードや認証コードを尋ねることもありません。