多要素認証（MFA）とは何か

多要素認証（MFA: Multi-Factor Authentication）は、アカウントへのログイン時に「1つだけ」ではなく「複数の要素」を用いて本人確認を行う仕組みです。ここでいう要素は、たとえば「知っているもの（パスワードなど）」「持っているもの（認証アプリが入った端末や認証用のデバイスなど）」「本人の特徴（生体など）」のように分類されます。

多要素認証のねらいは、たとえパスワードが推測されたり漏えいしたりしても、その後の追加要素によって不正ログインの成功確率を下げることです。つまり、攻撃者が“1つの突破口”だけで入れる状態を減らします。

なぜ重要なのか：攻撃の前提が崩れる

オンライン上の本人確認は、攻撃者が「ユーザー名とパスワードさえ手に入れればログインできる」という前提に立って成り立つ場面があります。多要素認証では、パスワード以外の要素も必要になるため、その前提が崩れます。

たとえば、パスワードが流出しても、追加要素が用意されていなければログインを成立させにくくなります。結果として、パスワード漏えい・使い回し・推測といった“単一失敗点”への依存を下げ、全体の防御力を底上げできます。

仕組みを理解するための簡単なモデル

多要素認証を、次の流れとして考えると理解しやすくなります。

  1. ログインしようとする
  2. サービス側が追加の確認を要求する
  3. ユーザーが、指定された追加要素を提示する
  4. 要素が揃った場合にのみログインが許可される

ポイントは「追加要素の種類」だけでなく、「その要素が攻撃者にとって同じ条件で再現できるか」です。たとえば、攻撃者がパスワードだけ入手しても、追加要素を同じタイミングや同じ方法で用意できない場合、防御が働きやすくなります。

また、多要素認証の設定はサービスごとに異なります。