多要素認証（MFA）で守れるもの

多要素認証（MFA：Multi-Factor Authentication）は、アカウントへのログインや重要な操作を、複数の種類の「認証要素」で確認する仕組みです。パスワードが漏れたり推測されたりしても、すべての要素がそろわない限り不正ログインを成立しにくくするのが主な目的です。

ここでいう「認証要素」は、一般に次のように整理できます。

  • 知識：パスワード、秘密の質問など
  • 所持：スマートフォンの認証アプリ、セキュリティキーなど
  • 生体：指紋、顔など

MFAは「守る対象」を一つに絞りません。アカウントの乗っ取りだけでなく、メールやクラウド、各種オンラインサービスでの情報アクセスを間接的に守る役割も持ちます。

仕組み：ログイン時に何が起きるか

基本の流れはシンプルです。まずパスワードなどの要素で入口を作り、その後に別の要素で追加確認を行います。例えば、次のような構成があり得ます。

  • パスワード入力 → 認証アプリでコード入力
  • パスワード入力 → セキュリティキーをタッチ
  • パスワード入力 → 生体認証（端末側）と連携

重要なのは、攻撃側が「パスワード」だけを入手しても、同じ画面や手順の中で追加要素を突破できない限り、アクセスに至りにくい点です。逆に言えば、MFAでも突破されるケースはあり得ます。たとえば、追加要素の受け取り先（端末やメール、連携先）が攻撃者に渡ってしまう場合は、効果が薄れることがあります。

制限と注意点：万能ではない

多要素認証は強力ですが、いくつかの限界があります。ここを理解しておくと、過信を避けて運用の質を上げられます。

1) 「要素の強さ」は一様ではない

同じMFAでも、使う要素の種類によって耐性は変わります。たとえば、端末や認証アプリに基づく方式と、通信経路を使う方式では、攻撃の成立条件が異なります。一般論として、可能なら「第三者が入手しにくく、取り回しにくい要素」を選ぶ考え方が有効です。

2) 端末や連携先が弱点になる

認証が成立するには、受け取り先や連携先（端末、認証アプリ、回復用メール、バックアップ手段など）が正しく管理されている必要があります。端末が不正に操作される、回復用の経路が乗っ取られる、などが起きると、MFAがあっても攻撃が成立し得ます。

3) 回復手段の設定が未整備だと詰む

MFAを有効にした後に機種変更や紛失が起きると、復旧手順が重要になります。バックアップコードや予備の要素がない状態だと、正当な利用者側がログインできなくなるリスクが上がります。ここは「セキュリティ」と「利便性」の両面で、見落としやすいポイントです。

なお、MFAは法的・規約上の要件やサービスごとの仕様に依存することがあります。どの要素が使えるか、どう設定するかは各サービスの画面・ヘルプに従って確認してください。