マルチファクタ認証とは何か

マルチファクタ認証（MFA）は、ログイン時などの認証で「複数の要素（ファクタ）」を組み合わせて本人であることを確かめる方式です。代表的には、知識（例：パスワード）、所持（例：認証アプリやワンタイムコードを生成する端末）、生体（例：指紋・顔）などがあり、これらを組み合わせることで、どれか一つが破られても即座に侵入が成立しにくくします。

ここで重要なのは、「パスワードが漏れても守り切れる」というより、「漏れた場合の被害を小さくする可能性を上げる」という捉え方です。攻撃者が別の要素まで同時に突破できる場合や、設定・運用が甘い場合には効果が下がり得ます。

仕組みをシンプルに理解する（要素・フロー・評価）

MFAの基本的な流れは、次のように考えると整理しやすいです。

  1. サインイン要求が来る
  2. まず第1の要素で認証を試みる（例：パスワード）
  3. 条件が満たされると第2の要素（またはそれ以降）を追加で求める
  4. すべての要素が一致・成立した場合にアクセスを許可する

また、MFAの強さは「第2要素が何であるか」「その要素を攻撃者がどう奪えるか」によって左右されます。例えば、同じワンタイムコードでも、攻撃者が途中で奪える形と、奪いにくい形では前提が変わります。さらに、復旧用の経路（アカウント復元、予備コード、登録端末の変更など）が弱いと、MFAが有効でも迂回される可能性が出ます。

評価の観点としては、次をセットで見るのがおすすめです。

  • 第2要素の種類（知識以外を含むか）
  • それを要求する場面（毎回か、条件付きか）
  • 復旧・変更の手続きがどうなっているか
  • ログや通知で異常を検知できるか

制限と“効かない”ケースを理解する

MFAは万能ではありません。効果が下がりやすい代表的な状況は、主に次のパターンに分かれます。

  • 第2要素が攻撃者に渡る場合 たとえば、利用者が騙されて認証情報を入力してしまう（フィッシングなど）と、MFAの導入前後で実質的な抵抗が減ることがあります。

  • 復旧手段が強度不足の場合 「パスワードを忘れた」「端末を失った」などのときに使う復旧経路が単独で完結してしまう場合、MFAの効果が迂回される可能性があります。

  • 設定が条件付きで、常用の場面に適用されない場合 例えば「新しい端末だけ」「一部の操作だけ」など、要件が限定されると、侵入のタイミングや攻撃の狙いによっては防御が追いつかないことがあります。

  • 運用ミスが残る場合 認証端末を他人と共有している、ログイン通知を放置している、復旧用のコードを安全に保管していないなどは、MFAの価値を損なう要因になり得ます。

したがって、最終的に守りたいデータの価値と、実際に起こりうる手口の現実に合わせて、「MFAがどの場面で、どれだけ働くか」を見立てる必要があります。なお、個々のサービスや製品によって仕様は異なるため、ここでは一般化した理解として扱います。