二要素認証（2FA）
Two-Factor Authentication
二要素認証（2FA）とは？
二要素認証（2FA：Two-Factor Authentication）とは、2つの要素を組み合わせてユーザー認証を行うことで、セキュリティを強化する仕組みです。
仮に一方の認証要素（例えばパスワード）が流出しても、もう一方の認証要素が揃わないとログインは成功しないため、不正アクセスを防ぐ効果が高まります。
認証の3つの要素
二要素認証は、以下の「認証の三要素」のうちの異なる2つを組み合わせて行います。
- 知識情報（Something You Know）:本人しか知り得ない情報（パスワード、PINコード、秘密の質問の答えなど）。
- 所持情報（Something You Have）:本人しか持っていないもの（スマートフォン、セキュリティトークン、ICカードなど）。
- 生体情報（Something You Are）:生物固有の情報または特性（指紋、顔、虹彩など）。
二要素認証（2FA）のメリット
- 不正ログインの防止：仮にどちらかの認証情報が漏洩しても、もう一方の認証情報がなければ第三者はアクセスできません。
- アカウント乗っ取りリスクの低減：フィッシング詐欺やパスワードリスト攻撃などへの耐性が向上します。
- セキュリティ意識の向上：従業員がセキュリティ対策に積極的に関与するきっかけになります。
- ガイドラインへの対応：セキュリティ基準の厳しい業界や規制（例：SOC2、各種ガイドライン）に対応するための一歩となります。
二要素認証（2FA）が抱える課題
高いセキュリティ効果を持つ二要素認証ですが、導入・運用面での課題も存在します。
- 利便性の低下と生産性のロス
認証方法によっては手順が増えるため、ユーザーはログインのたびに手間を感じ、生産性が低下する可能性があります。
- 特定の認証方法におけるセキュリティリスク
スマートフォンを利用したSMS認証やメール認証は二要素認証の一手段としてしばしば用いられていますが、それぞれ認証情報傍受やアカウント突破のリスクが残ります。OTP（ワンタイムパスワード）認証を突破する「リアルタイムフィッシング」という攻撃手法も登場しています。
- 認証デバイス紛失時のリスク
スマートフォンやセキュリティトークンなどの所持要素を紛失した場合、ユーザー自身がログインできなくなり、IT部門での対応が必要となります。
一般的な二要素認証（2FA）の方式
一般的な二要素認証としては、知識情報（パスワードなど）と所持情報（スマートフォンなど）を組み合わせる方法が多くみられます。
ここでは、所持情報として広く普及している認証方式をセキュリティ強度の低いものから順に紹介します。
| 認証方式 | 仕組み | 利便性 | 課題・リスク |
|---|---|---|---|
| Eメール認証 | 登録メールアドレスにワンタイムコードを送信。 | 高い | 最もセキュリティが低い。メールアカウントが侵害されると簡単に突破される。 |
| SMS認証 | 携帯電話のSMSにワンタイムコードを送信。 | 高い | SIMスワップ攻撃に脆弱。コードの遅延や不達の問題が生じる。 |
| 認証アプリ (TOTP) | 専用アプリ（Pocket CloudGate、Google Authenticator、 Microsoft Authenticatorなど）が時間ベースでコードを生成。 | 中程度オフラインで利用可能。 | SMSより安全だが、スマートフォン紛失時のリカバリーが複雑。 |
| プッシュ通知認証 | スマートフォンアプリ（Pocket CloudGateなど）に通知を送り、「承認」をタップ。 | 高い 操作が最も簡単。 | フィッシング耐性が高いが、MFA疲労攻撃のリスクがある。 |
| 物理セキュリティキー (FIDO) | USBトークン（YubiKey）などの物理キーを端末に挿入・タッチして認証。 | 中程度最も安全性が高い（フィッシング耐性）。 | キーの紛失や破損のリスクがある。 |
FAQ（よくある質問）
- Q1. 二段階認証（2SV）と二要素認証（2FA）は何が違いますか？
2SV（Two-Step Verification）は認証を2回に分けて行う仕組みで、同じ種類の要素（例：パスワードと秘密の質問）でも成立します。一方、2FA（Two-Factor Authentication）は必ず異なる2種類の認証要素（知識、所持、生体）を組み合わせる必要があり、2SVよりも強固なセキュリティを提供します。
- Q2. SMSを使った二要素認証は安全ですか？
A2. SMS認証は手軽ですが、セキュリティリスクの指摘や利便性に対する課題があります。具体的には、携帯キャリアを騙してSIMカードの情報を抜き取るSIMスワップ攻撃や、認証コードが届くまでのタイムラグなどです。特にセキュリティを重視する企業においては、SMS認証よりも、専用アプリを使ったワンタイムパスワード（OTP）や、フィッシング耐性の高いパスキー（FIDO）への移行が推奨されます。
