多要素認証（MFA）とは何か

多要素認証（MFA: Multi-Factor Authentication）は、ログイン時に「1つ以上の追加要素」を求める仕組みです。ここでいう“要素”は、一般に知識（例：パスワード）、所持（例：認証アプリや端末）、生体（例：指紋や顔）など、性質の異なるカテゴリに分けて考えられます。一般論として、同じカテゴリに偏るほど、攻撃者が突破したときの影響が大きくなりやすくなります。

よくある多要素認証の種類と、どう機能するか

MFAは要素の種類の組み合わせで整理できます。典型的には次のようなパターンが見られます。

所持要素：認証アプリのワンタイムコード

スマートフォン等の認証アプリが、時間に応じたワンタイムコードを生成し、ログイン時に入力させる方式です。攻撃者がパスワードを入手しても、追加の要素（アプリで生成されるコード）が必要になるため、侵入の難度が上がります。

所持要素：ハードウェアトークン

鍵型や小型端末などでワンタイムコードを使う方式、または規格に基づき端末そのものを使って認証する方式などがあります。特定の運用形態によって強度が変わりますが、少なくとも“パスワードだけ”よりは追加のハードルを設けられます。

所持要素：SMSのワンタイムコード

電話番号宛にコードを送る方式です。導入はしやすい一方で、攻撃者が電話番号周りの情報を悪用できる状況や、通信手段に関わる妨害が起きる状況ではリスクが増える可能性があります。つまり「SMSは常に安全」と断言できるものではありません。

生体要素：指紋・顔など

端末の生体認証（スマートフォンの指紋認証など）を使い、アカウントへの追加要素として扱うケースがあります。生体は“単独で強い”というより、他の要素（知識や所持）と組み合わせ、かつ端末のロックや管理が適切であることが重要です。

“ワンステップ”に見える方式：プッシュ通知

端末に通知が届き、承認操作を促す方式です。承認が無条件に自動化されないよう運用されているか、ユーザーが誤承認しにくい設計になっているかで、実効性が変わります。

制限と例外：セキュリティは「設定の作法」で決まる

MFAの効果は、単に“有効化したかどうか”だけでなく、次のような点で大きく左右されます。

  1. 例外（MFA免除）の条件 例えば「特定端末では毎回不要」「一定時間内は不要」といった免除が強く働くと、攻撃者が端末やセッションを握った場合の影響が増えることがあります。

  2. 回復手段（リカバリ） アカウントを取り戻す手段（回復用メール、電話番号の変更、バックアップコード等）が弱い／誤った運用になっていると、MFAを設定していても別経路で突破される可能性があります。

  3. 要素の組み合わせの質 知識と所持を組み合わせるなど、カテゴリの違いが確保されているほど一般に堅くなります。