2段階認証を設定する時間が限られているなら、他のアカウントの復旧経路になるメール、Apple、Googleのアカウントから始めます。
すでに不正利用の兆候がある場合は、設定追加より先に、公式窓口で被害を止める手続きを進めます。
冒頭の優先順位
2段階認証を設定する時間が限られているなら、他のアカウントの復旧経路になるアカウントから始めます。
- メールアカウント、Apple Account、Googleアカウントを設定します。
- 銀行、カード、決済サービスを設定します。
- パスワードマネージャー、クラウドを設定します。
- SNS、ショッピングサービスを設定します。
この順番は、乗っ取られた場合の被害の大きさと、他のアカウントへ影響が広がる経路を基準にしています。
すべてのサービスで同じ認証方法を使えるとは限りません。
利用できる方法の中から、復旧手段を用意できるものを選んでください。
すでに不正利用が疑われる場合
ログイン通知、登録情報の変更、身に覚えのない注文や送金に気づいた場合は、認証設定の追加より先に現在の被害を止めます。
- 通知やメールのリンクを使わず、公式アプリまたは自分で入力した公式URLを開きます。
- ログインできる場合はパスワードを変更し、他の端末からのログイン状態や登録済みの復旧先を確認します。
- 銀行、カード、決済サービスに不審な操作があれば、カード裏面や公式サイトにある窓口へ連絡します。
- フィッシングサイトへ認証情報を入力した場合は、フィッシングメールの見分け方と入力後の対処と不正ログインされた場合の初期対応を確認します。
パスワードを変更できない場合は、各サービスの公式復旧手続きを使います。
不審な操作が続いているときは、設定作業を後回しにせず、金融機関やサービスの窓口へ先に相談してください。
2要素認証と多要素認証の違い
認証要素とは、ログインする人が本人かどうかを確かめる材料です。
- 知識要素：パスワードや暗証番号のように、本人が知っている情報です。
- 所持要素：スマートフォンやセキュリティキーのように、本人が持っているものです。
- 生体要素：指紋や顔の特徴のように、本人の身体的特徴です。
2要素認証は、異なる2種類の認証要素を組み合わせる方式です。
多要素認証は、異なる2種類以上の認証要素を使う方式です。
「2段階認証」はログインの手順を2段階に分ける意味で使われ、2つの手順が異なる認証要素とは限りません。
サービスによって呼び方が違うため、設定画面では「2段階認証」「2要素認証」「多要素認証」「MFA」などの表記を確認します。
認証を追加すると、パスワードだけが漏れた場合に、その情報だけでログインを完了されにくくなります。
設定するアカウントの順番
メールアカウント、Apple、Google
メールアカウントとApple Account、Googleアカウントは、他のサービスの復旧先やログイン手段として使われることがあります。
このアカウントを先に保護すると、パスワード再設定の通知や端末のバックアップなどをまとめて守れます。
設定後は、復旧先メールアドレス、電話番号、信頼できる端末に身に覚えがあるか確認します。
銀行、カード、決済
銀行、カード、決済サービスは、ログイン後の操作が送金や支払いにつながるため、メールアカウントの次に確認します。
認証方法や追加認証の有無はサービスごとに異なります。
設定画面で利用できる認証方法を確認し、ログイン通知や取引通知も有効にできる場合は設定します。
パスワードマネージャー、クラウド
パスワードマネージャーには複数のログイン情報が集まり、クラウドには写真や書類などの個人情報が保存されます。
これらを使っている場合は、保存先のアカウント自体に多要素認証を設定します。
パスワードの使い回しを解消する作業は、パスワード使い回しの危険性と対策で扱います。
SNS、ショッピング
SNSは、乗っ取られると本人になりすました投稿やメッセージに使われるおそれがあります。
ショッピングサービスは、登録済みの支払い方法、配送先、注文履歴に不正な変更がないか確認します。
利用頻度が低いサービスでも、支払い方法や個人情報を登録している場合は優先度を上げてください。
認証方法の選び方
パスキー、セキュリティキー
パスキーは、端末やパスワード管理機能に保存した鍵を使ってログインする方式です。
登録したサービスの識別情報と結びつくため、パスワードや確認コードを偽サイトへ入力する方式よりフィッシングに強い設計です。
セキュリティキーは、USBやNFCなどで端末に接続して使う物理的な認証器です。
パスキーやFIDO2対応のセキュリティキーは、対応サービスで利用できる場合に優先候補になります。
紛失時に備えて、予備のキーやサービスが指定する復旧方法を用意してから登録します。
詳しい導入方法は、物理セキュリティキーYubiKeyとはをご確認ください。
認証アプリ
認証アプリは、アプリに表示されるワンタイムコードを入力する方式です。
SMSを受け取れない場所でも使える場合がありますが、コードを偽サイトへ入力すれば盗まれる可能性があります。
機種変更や紛失に備えて、サービスが発行するリカバリーコードや、認証アプリの移行方法を先に確認します。
プッシュ通知
プッシュ通知は、登録済みの端末にログイン承認を表示する方式です。
自分が開始していないログイン通知は承認せず、サービスが提供している場合は画面に表示された番号の照合を使います。
身に覚えのない通知が繰り返される場合は、パスワードを変更してログイン状態を確認します。
SMS
SMSは、ほかの方法に対応していないサービスでも利用できることがあります。
一方で、電話番号の移転やSIMの不正利用によって、SMSを受け取られるリスクがあります。
認証アプリ、パスキー、セキュリティキーを使える場合は、サービスの仕様と復旧条件を比較して選びます。
設定後の復旧手段
リカバリーコード
リカバリーコードは、スマートフォンや認証器を使えないときのためにサービスが発行する復旧用のコードです。
発行された場合は、画面の案内に従って保存し、スマートフォンだけに置かないようにします。
紙で保管する方法と、アクセス不能になる可能性を考えた安全な保管先を組み合わせます。
コードを使った後の扱いや再発行条件はサービスごとに異なるため、公式の説明を確認してください。
予備端末、予備キー
予備のスマートフォン、信頼できる別の端末、予備のセキュリティキーを登録できるサービスがあります。
登録できる場合は、主端末を失ったときに使えるかを確認してから、主端末の認証設定を変更します。
予備端末やキーを同じバッグに入れると、同時に失う可能性があります。
保管場所を分け、登録状況と復旧手段を定期的に見直します。
多要素認証の限界
多要素認証は、パスワードだけが漏れた場合の不正ログインを防ぎやすくする対策です。
しかし、偽サイトでパスワードとワンタイムコードを続けて入力すると、攻撃者が本物のサービスへ同時に入力する攻撃を受ける場合があります。
認証アプリのコードやプッシュ通知は、フィッシングに対して自動的に強くなるわけではありません。
端末がマルウェアに感染している場合や、復旧手続きの本人確認が弱い場合も、認証設定だけでは被害を止められません。
パスキーやFIDO2対応の認証器はフィッシングに強い設計ですが、端末の保護、復旧手段、サービス側の設定が必要です。
よくある質問
2段階認証に対応していないサービスはどうしますか？
サービスごとに異なるパスワードを使い、登録情報とログイン通知を確認します。
対応状況や提供予定は、サービスの公式サポートへ確認してください。
認証方法を変更する前に何を確認しますか？
新しい認証方法だけでなく、リカバリーコード、予備端末、予備キー、復旧先の連絡先が使えるか確認します。
確認できないまま既存の認証方法を削除すると、端末を失ったときに復旧経路がなくなるためです。
参考資料
最終更新日：