銀行の ATM では、キャッシュカードを持っているだけでも、暗証番号を知っているだけでもお金を引き出せません。両方がそろってはじめて手続きが進みます。ログインのときにこの二重の鍵をかけるのが、二要素認証です。パスワードに加えて、スマホに届く確認コードのような別の手段を組み合わせて本人を確かめます。
パスワードが使い回しや流出で他人の手に渡っていても、スマホまでは持っていかれていなければ、ログインは止められます。社内システムや業務用の SaaS、メールや SNS のアカウント、ネットバンキング、そして何より管理者権限を持つアカウントで効き目が大きい仕組みです。
「二要素」は、種類で数える
ここで数えているのは、確認の回数ではなく種類です。本人確認に使う材料は、大きく3種類に分けられます。
- 知っているもの：パスワード、暗証番号
- 持っているもの：スマホ、キャッシュカード、専用の鍵
- 本人そのもの：指紋、顔
パスワードを入れたあとに、「秘密の質問」にも答える。これって二要素認証だと思う？
2回も確認してるんだし、二要素でしょ？
惜しい！ どっちも「知っているもの」だから、種類としてはひとつなんだ。
確認が2回あっても、同じ種類を重ねただけでは二要素になりません。違う種類を2つ組み合わせることで、片方が盗まれても入れない状態を作ります。2つ以上の要素を組み合わせる方式を総称して多要素認証（MFA）と呼び、二要素認証はその代表例です。
同じ「持っているもの」でも、強さには差があります。SMS で届くコードは、携帯電話番号を乗っ取る SIM スワップ詐欺で突破されたケースがあり、スマホの認証アプリ（TOTP）で表示するコードのほうが安全とされています。
なくしたときの道を先に決めておく
「持っているもの」は、なくしたり壊れたりします。スマホを機種変更するときに認証アプリの引き継ぎを忘れて、自分のアカウントに入れなくなる事故は起きやすいものです。
設定したときに発行されるバックアップコードは、紛失時の最後の鍵なので、スマホとは別の安全な場所に保管しておきます。会社で全員に義務づけるなら、案内のしかたと、スマホを持っていない人や紛失した人への対応ルールを先に決めておきましょう。
二要素でも防げないこと
偽のログイン画面へ誘導し、利用者が入力したパスワードと確認コードをその場で本物のサイトへ流し込む。こうしたフィッシングの手口には、二要素認証でも効き目が薄い場合があります。コードそのものを本人が偽サイトに渡してしまうからです。メールやメッセージのリンクから開いたログイン画面では、URL が本物かを確かめてから入力してください。