多要素認証（MFA）の選び方と導入の勘所。方式比較から運用まで徹底解説

パスワードの漏えいや使い回しに起因する不正ログインは、いまも被害の上位を占めます。攻撃者は、どこかのサービスから漏れたIDとパスワードのリストを使い、他のサービスへ次々とログインを試みます（リスト型攻撃）。パスワードという「知っているもの」一つに頼っている限り、それが漏れた瞬間に守りは崩れます。

多要素認証（MFA: Multi-Factor Authentication）は、パスワードが漏れても、それだけでは突破できない仕組みをつくる、費用対効果の高い対策です。多くのサービスで無料で使え、導入の手間に対して得られる安全性の向上が非常に大きいのが特長です。この記事では、MFAの基本的な考え方から、方式ごとの違い、組織での導入と運用の設計までを実務目線で整理します。

認証の3要素#

多要素認証の「要素」とは、次の異なる種類の証明手段を指します。重要なのは、異なる「種類」を組み合わせることです。同じ種類を2つ重ねても多要素にはなりません（例: パスワードと秘密の質問は、どちらも「知識」要素なので多要素とは言えません）。

二要素認証（2FA）は多要素認証の一種で、ちょうど2つの要素を使うものを指します。一般には「パスワード（知識）＋スマホの認証アプリ（所持）」の組み合わせが広く使われています。

なぜMFAが効くのか#

攻撃者がパスワードを手に入れる経路はたくさんあります。フィッシング、漏えいリストの使い回し、マルウェアによる窃取などです。しかし、これらで得られるのは多くの場合「知識」要素だけです。MFAを有効にしておけば、攻撃者がパスワードを知っていても、手元に被害者のスマートフォンやセキュリティキーがなければログインできません。

つまりMFAは、「一つの要素が漏れても、即座には破られない」という多層防御を、認証という一点で実現する仕組みです。フィッシングの手口と個人向けの対策は

方式ごとの強度と使い勝手#

MFAと一口に言っても、方式によってフィッシング耐性や使い勝手が大きく異なります。

NISTのデジタルID向けガイドライン（SP 800-63B）では、認証方式ごとの考え方や、より強固な認証の採用が論じられています。

SMSの位置づけ#

SMSによるワンタイムコードは、導入が容易で広く普及していますが、SMSの傍受や、電話番号を乗っ取るSIMスワップ攻撃に弱い面があります。

認証アプリ（TOTP）#

スマートフォンの認証アプリが30秒ごとに生成する6桁のコードを使う方式です。電話網に依存しないためSMSより安全で、無料で使え、対応サービスも多い、バランスの良い選択肢です。ただし、偽サイトにコードを入力させられると盗まれうるため、フィッシングに完全に強いわけではありません。

FIDO2 / パスキー#

最も強固な選択肢です。パスキーは、アクセスしているサイトのドメインに技術的に紐づいているため、偽サイトでは原理的に認証が成立しません。これがフィッシング耐性の高さの理由です。利用者は指紋や顔、PINで認証するだけでよく、使い勝手も優れています。対応サービスが拡大しているため、新規導入や更新の際は積極的に採用を検討する価値があります。

プッシュ通知の「承認疲れ」に注意#

プッシュ通知で承認するタイプは便利ですが、攻撃者が何度も承認要求を送りつけ、利用者がうんざりして誤って承認してしまう「MFA疲労攻撃（プッシュ爆撃）」が知られています。対策として、承認時に画面に表示された番号を入力させる方式（番号照合）を選ぶと、安易な承認を防げます。

組織での導入の進め方#

組織全体にMFAを広げるときは、一斉導入で現場を混乱させるより、影響度に応じた段階導入が現実的です。

運用とリカバリーの設計#

MFAの導入でしばしば軽視されるのが、リカバリー（復旧）の設計です。端末を紛失・故障したときにログインできなくなると、業務が止まり、利用者の不満が高まります。一方で、リカバリー手段が甘いと、そこが新たな攻撃経路になります。

特に、管理者へ「MFAをリセットしてほしい」と装って連絡するソーシャルエンジニアリングは現実的な脅威です。復旧時の本人確認を厳格にし、安易なリセットを行わない運用が重要です。

よくある質問#

まとめ#

MFAは、限られたコストで不正ログインのリスクを大きく下げられる、最も費用対効果の高い対策の一つです。方式の違いとリカバリーの設計を押さえたうえで、重要なアカウントから着実に広げていきましょう。認証はWebセキュリティの要であり、OWASP Top 10でも重要なカテゴリです。あわせて