当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
概要
多要素認証（MFA：Multi-Factor Authentication）は、パスワードだけに依存せず、異なる種類の認証要素を組み合わせて本人確認を行う認証方式である。 近年の不正アクセスやアカウント侵害の多くは、パスワードの漏洩、使い回し、またはフィッシング詐欺によって発生している。そのため現在では、企業内システムのみならず、クラウドサービス、オンラインバンキング、各種SNSなどにおいて効果の高い基本対策の一つとして広く推奨されている。 なお、「2FA（二要素認証）」や「二段階認証」という言葉はしばしば同じ意味で使われるが、裏側の実装やセキュリティ強度という観点においては、厳密には異なる概念である。
技術的背景と仕組み
なぜパスワードだけでは不十分なのか
従来の認証は、ユーザーIDとパスワードという単一の防衛線のみで構成されていた。 しかし現在では、以下の技術的・心理的攻撃手法により、インターネット経由で認証情報が容易に窃取されるケースが増加している。
- フィッシング詐欺： 偽のログイン画面に誘導し、ユーザー自身に入力させる。
- 情報漏洩： 利用している外部サービスからパスワードハッシュが漏洩する。
- パスワードリスト攻撃： 他サイトで漏洩したIDとパスワードのリストを使い、別サービスへのログインを自動試行する。
- マルウェア感染： キーロガーや情報窃取型マルウェア（インフォスティーラー）により、キーボード入力やブラウザ保存の資格情報を抜き取る。
攻撃者がパスワードを入手してしまうと、認証システム側は本人のログインか攻撃者によるログインかを区別できずアクセスを許してしまうため、パスワードが破られることを前提とした「追加の本人確認手段」が必要となった。
認証要素の3分類
多要素認証を成立させるためには、以下の異なる3つの種類の要素（ファクター）から、複数を組み合わせる必要がある。
- 知識要素（You Know）： 本人だけが「記憶している」情報。
- 例：パスワード、PINコード、秘密の質問
- 所持要素（You Have）： 本人だけが「持っている」物理的な物体またはデバイス。
- 例：スマートフォン、認証アプリ、セキュリティキー、ICカード
- 生体要素（You Are）： 本人自身の「身体的・行動的特徴」。
- 例：指紋認証、顔認証、虹彩認証、声紋認証
MFA（多要素認証）とは
上記3分類の認証要素のうち、「異なる種類の要素」を複数組み合わせる認証方式の総称。
- 例：パスワード（知識） ＋ 認証アプリ（所持）、パスワード（知識） ＋ 指紋認証（生体） 仮にフィッシング等でパスワードが流出しても、攻撃者はユーザーのスマートフォン（所持）や指紋（生体）の認証を突破できないためログインできない。複数の性質の異なる壁を同時に突破しなければならないため、不正ログインに対する耐性が大幅に向上する。
2FA（二要素認証）とは
2FA（Two-Factor Authentication）はMFAの一種であり、3分類のうち「異なる種類の認証要素を2つ」利用する方式をピンポイントで指す。
- 例：パスワード（知識） ＋ スマートフォン認証（所持） 現在の一般利用者向けWebサービスやSaaSでセキュリティ向上策として提示される設定の多くは、この2FAに該当する。
二段階認証との違い
二段階認証（Two-Step Verification）は、単に「認証の手続きを段階的に2回行うこと」のみを意味する。要素の種類は問わない。
- 例：第1段階でパスワード（知識）を入力し、第2段階で「秘密の質問の答え（知識）」を入力する。 上記は認証を2回経ているため「二段階認証」ではあるが、要素としてはどちらも「知識要素」に該当する。この場合、端末がキーロガー等に感染していれば両方同時に窃取されるため、セキュリティ強度の向上は限定的となる。 したがって、技術的な定義としては以下の関係性が成立する。
- 二段階認証 ≠ 必ず2FA（要素の種類が同じであれば2FAとは呼べない）
- 2FA ⊂ MFA（2FAはMFAという大きな概念の一部である） 実務上、サービス側のUI表記において両者を同義（MFAの意味）として曖昧に扱っているケースも多いが、設計時には要素が分離されているかを厳密に確認する必要がある。
主な認証方式
- SMS認証： 登録された携帯電話番号へモバイル回線経由で数字の確認コード（OTP/ワンタイムパスワード）を送信する方式。ユーザーの導入ハードルが低い反面、通信キャリアの登録を不正に書き換える「SIMスワップ」や、通知画面ののぞき見によるコード窃取などのリスクが存在する。
- 認証アプリ（TOTP）： スマートフォン等の端末にインストールした専用アプリ上で、30秒〜60秒ごとに自動生成・変化するワンタイムコードを利用する方式（Time-based One-Time Password）。
- 代表例：Google Authenticator、Microsoft Authenticator、Authy ネットワーク通信を必要とせずローカルでコードが生成されるため安定しており、現在最も広く利用されているMFA方式の一つ。
- プッシュ認証： ログイン試行時に、登録されたスマートフォンへ専用アプリ経由で「サインインを許可しますか？」という通知を送り、タップ操作のみで本人確認を完了する方式。手動でのコード入力の手間が省けるため、利便性と業務効率が高い。
- セキュリティキー： USBポートへの挿入やNFC（近距離無線通信）のタッチによって動作する、FIDO規格に準拠した独立した物理デバイスを用いる方式。
- 代表例：YubiKey デバイスそのものと、特定のWebサイトのドメイン名が暗号技術によって強固に紐付くため、一般的なフィッシング攻撃やリバースプロキシ型攻撃に対して高い耐性を持つ。
- パスキー・FIDO2： 近年普及が進む次世代のパスワードレス認証規格。従来の「知識（パスワード）」に依存せず、端末に保存された秘密鍵と端末のロック解除機能（指紋・顔認証・PINなど）を利用して認証する。
メリットとデメリットおよび限界
メリット
- パスワードリスト攻撃やブルートフォース攻撃によるアカウント侵害リスクを大幅に減らすことができる。
- 万が一、従業員のパスワードが他社漏洩等によって外部に露出した場合でも、即座の不正アクセスと被害の拡大を抑制できる。
- 認証アプリやセキュリティキーの併用により、一般的なフィッシング攻撃に対する耐性が向上する。
デメリット
- ログイン時のステップが増えるため、エンドユーザーの利便性が低下し、初期設定やトラブル対応（管理者側の運用負荷）が複雑になる。
- 認証要素となっているスマートフォンの紛失・故障時に、アカウント自体へのログインが不可能になり、手動での復旧手続きやバックアップコードによるレスキューが必要になる。
- 紛失対策として、初期設定時に『バックアップコード（一時復旧用コード）』を紙や別の安全な場所に印刷・保存しておく運用ルールをセットで制定しなければ、端末の紛失と同時にマスターアカウントへのアクセス権を永久に喪失する危険性がある
限界
- SMS認証や従来のワンタイムパスワードの場合、中間者攻撃（リバースプロキシ型フィッシング）により、セッションクッキーごとリアルタイムにパケットを横取りされる高度なバイパス攻撃には耐えられない。
そのため、特に重要なアカウントではSMS認証やTOTPだけで満足せず、可能であればパスキーやFIDO2対応セキュリティキーを優先することが望ましい。
小規模環境での位置づけ
個人事業主、SOHO、小規模事業者において、多要素認証は「導入コストが低く、高い防御効果が期待できる」費用対効果に優れたセキュリティ対策である。 高額な専用ファイアウォールやエンドポイント監視製品を新規導入する前に、まず以下の重要サービスのログイン時や重要操作時に多要素認証（2FA/MFA）を使うようにするだけでもリスクを大きく削減できる。
- メールアカウント
- Microsoftアカウント
- Googleアカウント
- Apple Account
- パスワード管理ツール
- ドメイン管理
- サーバー管理
- クラウドストレージ
- SNSアカウント
- ネットバンク・証券会社
- キャッシュレス決済
関連用語
- パスワード認証
- ワンタイムパスワード（OTP）
- TOTP（Time-based One-Time Password）
- SMS認証
- FIDO2
- パスキー（Passkeys）
- シングルサインオン（SSO）
- IDプロバイダー（IdP）
- ゼロトラストアーキテクチャ