多要素認証（MFA）とは何か

多要素認証（MFA: Multi-Factor Authentication）は、ログインなどの認証時に「1つの情報」だけでなく、複数の別カテゴリの要素を求めることで本人確認の強度を高める考え方です。目的は、仮に単一の要素が漏れたり推測されたりしても、別の要素が追加の防壁になるようにすることです。

一般に、認証要素は次のようなカテゴリで整理されます。

  • 知識（例：パスワード、暗証番号）
  • 所有（例：認証アプリが生成するコード、セキュリティキー、携帯端末）
  • 生体（例：指紋、顔）

MFAは「要素の数」だけでなく、「種類（カテゴリ）の組み合わせ」で意味が大きく変わります。

どう機能するのか：基本モデル

典型的な流れは、次のステップに分かれます。

  1. まずユーザーが最初の要素を提示します（例：パスワード入力）。
  2. サービス側は追加の要素を要求します（例：認証アプリのコード入力、セキュリティキーのタップなど）。
  3. サービス側は、提示された要素が正しいことを確認できた場合にのみ、ログインを許可します。

ここで重要なのは、「どの要素が別カテゴリか」「追加要素がどれだけ攻撃に耐性があるか」です。同じカテゴリの要素を増やしても（例えばパスワードと別のパスワードのみ）、漏えい時のリスク低減が限定的になる場合があります。

制限と例外：MFAでも完全に防げない場面

多要素認証は強力ですが、万能ではありません。代表的な見落としや限界は次のとおりです。

  • フィッシング等で「攻撃者が入力操作を誘導」するケース 利用者が正しい画面でなくても認証情報を入力してしまうと、MFAがあっても攻撃が成立することがあります。この点は、MFAの種類や画面遷移の仕組みによって耐性が変わり得ます。

  • 同一端末・同一経路への依存 追加要素が、最初の要素と同じ端末や同じような攻撃面に強く依存していると、突破の可能性が残ります。

  • 回復手段（アカウント復旧）の弱さ 「要素を失ったときの復旧方法」が緩いと、MFAで守られているはずの入口が迂回されることがあります。復旧用の手段（予備手段、復旧コード、登録端末の扱いなど）を見直すことが重要です。

  • セッションの扱い 一度ログインできるとしばらく追加確認が不要になる設計では、利用中端末が侵害されている場合の影響が残ることがあります。再認証の頻度や条件は、サービスごとに異なります。

以上より、MFAは「強度を上げる仕組み」ですが、「設定と運用で結果が変わる」点に注意が必要です。

実践的な確認方法：自分の設定で見ておくこと

MFAを導入した／使っているつもりでも、設定の弱点があることがあります。確認するときは、次の観点が実用的です。

  • MFAが有効になっているか ログイン時の追加確認が実際に求められる状態かを確認します。設定画面だけでなく、ログアウト後に挙動を確かめる方法が役立ちます。