多要素認証（MFA）
「パスワードを盗まれたら、それだけで入られてしまうの？」
もう一つの確認が侵入を減らす理由と、承認するときの注意を見てみましょう。
01リスク
同じ鍵がもう一本
漏れる可能性パスワードを知られたら、それだけで入られてしまう？
02対策
別の要素も確かめる
異なる要素を組合せパスワードに加えて、手元のスマホでも本人を確かめよう。
03効果
鍵一本では足りない
漏洩時の追加の壁パスワードだけが盗まれても、もう一つの確認が壁になるね。
04残る注意
知らない通知は拒否
方式ごとの限界だまされて承認したら危険。身に覚えのない通知は拒否！
なぜパスワード1つでは不安なのか
パスワードは漏洩や推測で他人に渡ることがあります。ここでは認証アプリの使い捨て確認コード（OTP）を足す例で、異なる要素を組み合わせる意味を見ます。MFAの方式によって、フィッシングへの強さも異なります。
パスワード＋OTPのMFAの例
- 焦点
各工程・分岐・レーンをクリックすると、その仕組みの説明がここに表示されます。
この図をテキストで読む
業務フロー図「多要素認証（MFA）の仕組み」。レーン3本、工程8個。 【レーン（担当）】（左から右） - ログインする人: 本人 / なりすまし - 認証システム: 二段階の関所 - 通さない: 止める結果 【図の符号】色つきの工程=焦点 【工程】（上から下へ。担当 → 工程名） ── フェーズ: 第一関門（知っているもの） ── 1. ログインする人: ログイン〔開始・終了〕 2. ログインする人: ① パスワードを入力〔データ〕（知っているもの） 3. 認証システム: パスワードを確認〔分岐〕（第1段階：知っているもの） はい → ② ワンタイムコードを入力 いいえ → アクセス拒否 4. 通さない: アクセス拒否〔開始・終了〕（パスワードが違う） ── フェーズ: 追加確認（持っているもの） ── 5. ログインする人: ② ワンタイムコードを入力〔データ〕（持っているもの） 6. 認証システム: コードを確認〔分岐〕（第2段階：持っているもの） はい → アクセス成功 いいえ → 侵入を阻止 7. 通さない: 侵入を阻止〔開始・終了〕（パスワードだけでは通れない） ── フェーズ: 入場 ── 8. ログインする人: アクセス成功〔開始・終了〕（本人として入れる）
突然の承認通知が来たら
仕事をしていない時間に「ログインを承認してください」と通知が来たとします。通知を消したくて承認すると、別の人のログインを手伝ってしまうかもしれません。自分で始めた操作かどうかが、最初の確認点です。
- 1
承認せず、公式の経路で確認する
身に覚えのない要求は拒否します。通知のリンクに頼らず、普段使うアプリや公式サイトから履歴を確認します。
- 2
社内窓口へ報告する
時刻や表示内容を伝えます。パスワード漏洩の可能性も調べますが、通知だけで原因を決めつけず、必要な失効・変更を行います。
手入力のコードも渡さない
偽サイトに入力したOTPを、攻撃者が有効な間に本物のサイトへ送ってログインする手口があります。対応するサービスでは、パスキー等のフィッシング耐性がある方式を優先します。
スマホをなくす前に備える
MFAに使うスマホをなくすと、パスワードが分かっていても仕事に入れなくなることがあります。機種変更や紛失が起きる前に、予備の認証手段やリカバリーコードを用意します。コードは端末の紛失と一緒に失わない、会社が認めた安全な場所で保管します。
復旧の手順も、本来のログインと同じように守る必要があります。窓口で誰が本人確認をするのか、古い認証手段をどう外すのかまで確かめます。MFAを通った後のセッションも盗まれ得るので、端末の保護やセッションの失効は引き続き必要です。
押さえておきたい用語
- 多要素認証（MFA）
- 認証の3要素
- ワンタイムコード（OTP）
- 二段階認証
- 認証アプリ