マルチファクタ認証（MFA）とは何か

マルチファクタ認証（MFA）は、ログインなどの本人確認を1種類の情報だけに頼らず、複数の「確認要素」を組み合わせる方式です。代表的な要素は、知識（パスワード等）、所有（スマートフォンの認証アプリ等）、生体（指紋・顔など）といった分類で考えられます。これにより、たとえパスワードが漏れても、別の要素が必要になるため、侵入の成功確率を下げられます。

仕組み：何が追加で求められるのか

多くのサービスでは、ログイン時にまずパスワードを受け付け、その後に追加の確認を求めます。たとえば次のような流れです。

  • 知識要素：パスワードを入力する
  • 所有要素：認証アプリのワンタイムコード、またはプッシュ通知への承認を行う
  • さらに必要に応じて：生体や端末の追加確認を求める

重要なのは、要素が増えるほど「単一の失敗」だけでは突破しにくくなる点です。一方で、MFAが常に完全な防御になるわけではなく、後述のように攻撃の種類や設定状況によって防げる範囲が変わります。

具体的な種類と強度の考え方

MFAには実装方法の違いがあります。一般に、追加要素の「奪われにくさ」「中継されにくさ（攻撃者がその場で悪用しにくいか）」で強度の見え方が変わります。

代表例として、次の違いを押さえると整理しやすくなります。

  • ワンタイムコード方式：一定時間ごとに変わるコードを入力するタイプ
  • プッシュ通知方式：端末に通知が届き、承認するタイプ
  • ハードウェアキー方式：物理キーで承認するタイプ
  • SMSコード方式：携帯電話番号に届くコードを入力するタイプ

ただし、どの方式が「常に最強」と断定できるわけではありません。サービス側の実装（攻撃耐性の設計、確認画面の表示、攻撃を検知して止める仕組みなど）によって結果は変わり得ます。ここは不確実性が残るため、「自分の環境で何が起きるか」を確認する姿勢が重要です。

制限と落とし穴：MFAでも残るリスク

MFAは万能ではありません。特に注意したいのは、次のような「確認のすり抜け」や「運用の穴」です。

  1. フィッシングと中継 攻撃者が偽のログイン画面に誘導し、ユーザーが入力したパスワードや追加コードをそのまま悪用できるケースがあります。MFAでも、コードが攻撃者側で正しく利用されれば突破され得ます。

  2. 回復手段が弱い MFAの代わりに、アカウントの復旧（メール・電話・回復コード等）が簡単に進められる設定だと、結果的に保護が弱まります。

  3. セッション（ログイン状態）の扱い 一度ログインが成立すると、一定期間は追加確認が不要になる設計のことがあります。その間に端末が不正利用されれば、MFAの効果が限定的になる可能性があります。

  4. 端末紛失・誤承認 認証アプリの端末が奪われる、通知が届いたのを誤って承認してしまうなど、運用面のリスクも残ります。