多要素認証（MFA）とは何か

多要素認証（MFA）は、ログインや重要な操作のときに、1種類ではなく複数の「要素」を求める仕組みです。要素には大きく分けて、知識（例：パスワード）、所持（例：認証アプリの端末やトークン）、生体（例：指紋・顔）などがあります。MFAでは、これらの要素の組み合わせにより、仮に1つが漏れても不正アクセスが成立しにくくなります。

ここで大切なのは「安全性をゼロにする」のではなく、「突破の難しさを上げる」点です。たとえばパスワードが漏れても、他の要素が求められるため、攻撃者だけでログインを完了しにくくなります。ただし、すべての攻撃を完全に防げるわけではなく、運用方法や回復手段の設計によって効果が変わります。

仕組み：要素の組み合わせで何が変わるか

MFAの基本は「段階を増やす」ことではありません。実際には、攻撃者が不正に用意しなければならない情報・手段が増えます。例えば、知識要素（パスワード）だけの場合、漏えいした情報がそのまま突破口になります。一方で、所持要素や生体要素も追加されると、攻撃者は追加の要素を同時に用意できない限り完了できません。

また、MFAにはよくある挙動があります。ログイン時に追加確認が入るだけでなく、機能によっては「新しい端末」や「普段と異なる場所」などの条件で再確認が求められることもあります。こうした追加の条件は、攻撃が成立する場面を減らします。

ただし、認証要素が攻撃者に渡り得る形だと、効果が弱まります。たとえば、攻撃者が本人になりすまして認証情報を受け取れる状況があると、MFAがあっても不正につながる可能性があります。つまり「どの要素を使うか」「その要素が攻撃者に奪われにくいか」を意識することが重要です。

制限と例外：MFAでも守りきれない場面

MFAの限界として、まず「回復手段」があります。アカウントにアクセスできなくなったときの復旧（代替手段、リカバリーコード、再発行、担当窓口など）が弱いと、MFAを有効にしていても迂回される恐れがあります。たとえば、回復手段が攻撃者にとって簡単に利用できる設計だと、ログインだけ強化しても全体として守りきれません。

次に「要素の性質」です。要素が実質的に同じ経路で奪われる場合、要素が複数でもリスクが残ります。攻撃の中には、本人の操作を引き出すソーシャルエンジニアリング（だまして操作させる）や、端末自体を乗っ取ってしまうタイプもあります。この場合、MFAがあっても操作を通して成立することがあります。

さらに「設定の不備」も例外になります。MFAが有効になっていると思っていても、重要な操作では適用されていない、または特定の入口だけ無効になっている、といったケースは起こり得ます。どの場面でMFAが効くのかはサービスごとに異なるため、設定画面と動作条件を確認する必要があります。