多要素認証（MFA）とは何か

多要素認証（MFA）は、ログインや重要操作を行う際に「複数の要素」を組み合わせて本人であることを確認する仕組みです。典型的には、(1)知識（パスワードなど）、(2)所持（認証アプリのコードや専用端末など）、(3)生体（指紋・顔など）、(4)所在・環境（端末やネットワークの条件）といった要素のうち、複数を使います。

目的はシンプルで、仮にパスワードが漏れても、それだけで侵入を完結させにくくする点にあります。オンラインの「安全を保つ」ことは、攻撃者が突破に要する条件を増やし、被害の成立確率を下げることです。

どう役に立つのか：オンラインでの具体例

MFAが役立つ場面は、攻撃の成立条件が「単一要素の突破」から「複数要素の突破」に変わるときです。具体例を挙げます。

  1. フィッシングでパスワードが盗まれた場合 攻撃者が偽サイトなどでパスワードを入手しても、ログイン時に追加の要素（認証アプリのワンタイムコード等）が必要なら、侵入が止まる可能性があります。つまり「盗めた＝入れた」ではなくなります。

  2. パスワードの使い回しが悪用された場合 別サイトで漏れたパスワードを使い回すと、同じ資格情報を狙う攻撃に遭いやすくなります。ただしMFAが有効に設定されていれば、攻撃者側が追加の要素も用意できない限り、ログインの完了を阻止できる余地が増えます。

  3. 乗っ取り後の被害拡大を抑える場合 MFAはログインだけでなく、メールアドレス変更や支払い情報の更新など「重要操作」にも適用できるケースがあります。この場合、侵入直後に行われがちな設定変更を遅らせたり、追加の確認を挟ませたりできます。

  4. “正規ユーザーっぽい操作”を減らす場合 攻撃者が大量のログイン試行をしても、追加要素が必要だと成功率が下がります。特に、要素がリアルタイムに発行されるタイプでは、攻撃者が事前に用意できる材料の範囲が狭まります。

仕組みの理解：要素とチャネルで強さが変わる

MFAは「複数要素」であること自体が重要ですが、実際の強さは“何を要素にするか”“それをどの経路で使うか”で変わります。ここが誤解されやすい点です。

  • ワンタイムコード（認証アプリ等）型：一定時間ごとに変わるコードを求めるため、単にパスワードを持っているだけでは不十分になります。
  • SMS型：便利ですが、運用や状況によっては追加の突破が成立してしまう可能性があります。具体的にどの程度弱くなるかは前提条件に依存するため、ここでは「方式によって強さが一様ではない」という点だけ押さえてください。
  • 生体・端末連携型：ユーザー本人の状態や端末の条件を使うため、要素の性質が異なります。

また、MFAには「解除されやすい状態」があると弱くなります。 たとえば、一定期間ログイン済みだと追加確認が省略される設計や、回復（リカバリ）手順が単一要素に寄っている設計などです。