2要素認証（2FA）とは？

要点2要素認証（2FA）とは、アカウントへのアクセスを許可する前に2種類の本人確認を要求するセキュリティ方法です。
一般的な2段階認証（2FA）の種類には、SMSコード、認証アプリ、ハードウェアトークン、生体認証、メールコード、そして新しい標準であるパスキーがあります。
2FAは、パスワードが盗まれたり推測されたりしても、不正なアクセスのリスクを大幅に低減します。
特に、フィッシング詐欺やアカウント侵害の結果が深刻になり得るため、金融や暗号資産（crypto）アカウントでは重要です。
はじめにパスワードだけでは、オンラインアカウントの信頼できる防御にはもはやなりません。データ漏えい、弱いパスワードの選択、資格情報詰め込み（クレデンシャル・スタッフィング）攻撃によって、単一のパスワードは、多くのユーザーが想定しているよりも簡単に侵害され得ることが示されてきました。そこで登場するのが2要素認証（2FA）です。
2要素認証（2FA）は、パスワードに加えてセキュリティの第2の層を追加します。仮に誰かがあなたのパスワードを入手しても、2つ目の要素がない限りアカウントにアクセスできません。これにより、2FAは今日利用可能な中でも最も効果的で手軽なセキュリティ対策の一つになっています。
2要素認証（2FA）はどのように機能しますか？2FAは、アクセスを許可する前に2種類の別々の検証を求めることで機能します。これらの2つの要素は、異なるカテゴリから取得されます：
知っていること：通常はパスワードまたはPINです。
持っていること：ワンタイムコードを生成または受信するスマートフォン、ハードウェアトークン、またはセキュリティキーです。
自分自身のこと：指紋や顔のスキャンなどの生体データです。
ほとんどの2FAの設定では、最初のカテゴリ（あなたのパスワード）と2つ目（ワンタイムコード）を組み合わせます。攻撃者があなたのパスワードを知っても、第2の要素へのアクセスがなければログインできません。この組み合わせにより、不正アクセスのハードルが大幅に上がります。
なぜ2要素認証（2FA）が必要なのですか？パスワードにはいくつかの脆弱性があります。総当たり攻撃では、機械的に組み合わせを試して当たるまで続けられます。オンラインサービスでのデータ漏えいでは、多数の資格情報が一度に露出する可能性があります。同じパスワードを使い回していると、あるサイトで漏えいが起きた場合に他の多くのサイトにも影響が及びます。暗号資産の詐欺やソーシャルメディアのプラットフォームを狙うなど、注目度の高いアカウントの乗っ取り（侵害）事例では、有名人であっても狙われ得ることが実証されています。
2FAはこれらのリスクを完全にはなくしませんが、悪用しにくくします。攻撃者は、同時にあなたのパスワードを盗み、かつ第2の要素も入手する必要があり、パスワードだけを盗むよりもかなり難しいためです。
2要素認証（2FA）の種類1. SMSベースの2FASMSベースの2FAは、パスワードを入力した後に、登録済みの電話番号へワンタイムコードを送信します。広く対応しており、特別なアプリやハードウェアは不要です。とはいえ、攻撃者が携帯キャリアに対してあなたの番号を自分が管理するSIMへ移すように仕向ける「SIMスワップ」攻撃の影響を受けやすいです。SMSベースの2FAは2FAなしよりはましですが、利用可能な選択肢の中では最も弱いと考えられています。
2. 認証アプリGoogle AuthenticatorやAuthyのようなアプリは、30秒ごとに更新される時間ベースのワンタイムパスワード（TOTP）を生成します。これらはインターネットや携帯回線がなくても機能するため、SMSより信頼性が高くなります。また、SIMスワップの脆弱性にもさらされにくいです。主な制限は、インストールした端末に紐づくため、バックアップなしで携帯電話を紛失するとアカウントから締め出される可能性があることです。
3. ハードウェアトークンハードウェアトークンは、YubiKeyなどの物理デバイスで、認証用のコードを生成または認証の確認を行います。オフラインで動作し、ほとんどのリモート攻撃に耐性があるため、最も安全な選択肢の一つとされています。代わりに、コストとデバイスを持ち運ぶ必要があります。ハードウェアを紛失または破損した場合、ユーザーは新しいものと交換し、バックアップの復旧手段が必要になります。
4. 生体認証生体認証の2FAは、指紋や顔認識などの身体的特徴を使って身元を確認します。この方法はユーザーフレンドリーで迅速、コード入力も不要です。最大の懸念は、生体データがどのように保存され保護されるかです。侵害された指紋は、パスワードのように変更できません。ほとんどの最新スマートフォンには、生体認証が組み込まれています。
5. メールベースの2FAメールベースの2FAは、登録済みのメールアドレスにワンタイムコードを送信します。馴染みがあり、追加のアプリやデバイスは不要です。デメリットは、メールの受信トレイが単一障害点になることです。誰かがあなたのメールにアクセスできれば、2FAを迂回される可能性もあります。他の選択肢が利用できない場合に最も適しています。
6. パスキーとFIDO2パスキーは、FIDO2仕様に基づいて作られた新しい認証方式です。パスワードと別のコードの代わりに、パスキーは端末に保存された暗号鍵ペアを使用します。生体認証またはPINで端末を使って認証し、サーバーはあなたの秘密鍵を受け取りません。この方式は、偽のサイトで入力してしまうように“だまし込めるパスワードやコード”が存在しないため、フィッシングに強いです。Google、Apple、Microsoftなどの主要プラットフォームは、2023年以降にパスキー対応を順次展開し始めました。
2要素認証（2FA）はどこで利用できますか？2FAは、機密情報を扱うほとんどのサービスで利用できます。一般的なカテゴリには次が含まれます：
メールおよびメッセージングプラットフォーム
ソーシャルメディアのアカウント
オンラインバンキングおよび金融サービス
暗号資産の取引所アカウント
クラウドストレージおよび職場のツール
利用可能な場所で2FAを有効にすることは、オンラインのセキュリティ体制を強化するうえで最もわかりやすい手順の一つです。
2要素認証（2FA）の設定方法手順はプラットフォームによって異なりますが、基本的な流れは共通しています：
1. 2FAの方法を選ぶどの種類の2FAを使うか決めましょう。認証アプリは多くのユーザーにとって実用的な選択肢で、ハードウェアの購入が不要でありながら、セキュリティと使いやすさのバランスが良いです。
2. アカウント設定で2FAを有効化するサービスにログインし、セキュリティまたはアカウント設定へ移動します。「2要素認証」または「2段階認証」のオプションを探し、表示される手順に従って有効化してください。
3. 検証（認証）設定を完了する認証アプリの場合は、通常アプリでQRコードを読み取り、アカウントと紐付けます。SMSの場合は電話番号を確認します。ハードウェアトークンの場合はデバイスを登録します。
4. バックアップコードを保存する多くのサービスでは2FAを有効にするとバックアップコードが提供されます。これらは、主要な2FAの方法へのアクセスを失った場合に使用できます。印刷して施錠された場所などオフラインで安全に保管するか、パスワードマネージャーに保存しましょう。
2FAを効果的に使うためのヒント2FAを有効にするのは最初の一歩にすぎません。覚えておくべき実践として、次の点があります：ワンタイムコードを、依頼が信頼できる発信元から来ているように見えても、誰にも共有しないでください。正規のログインページを装ってコードをリアルタイムで盗み取るフィッシング詐欺に注意しましょう。ネットワーク通信が傍受される可能性があるため、公衆Wi-Fi上で2FAを使うことは避けてください。
対応しているすべてのアカウントで2FAを有効にしましょう。最もよく使うものだけでなく、すべてです。2FAに使用している端末を変更または紛失した場合は、紐付けているすべてのアカウントで設定をすぐに更新してください。また、どの端末やアプリがアカウントにアクセスできるかを定期的に見直すことも良い習慣です。
よくある質問（FAQ）2FAと2段階認証の違いは何ですか？これらの用語はしばしば同じ意味で使われますが、技術的には異なる場合があります。2段階認証は同じカテゴリの2つの要素（たとえば「パスワード」と「セキュリティ質問」、いずれも「知っていること」）を使うことがある一方、本来の2FAは2つの異なるカテゴリの要素が必要です。実際には、どちらかのタイプとしてラベル付けされている多くのサービスで、パスワードとワンタイムコードの組み合わせが使われています。
SMSベースの2FAは十分安全ですか？SMSベースの2FAは、パスワードだけを使うよりも安全ですが、SIMスワップのリスクがあるため、2FAの選択肢の中では最も脆弱です。暗号資産の取引所アカウントのように価値の大きいアカウントでは、認証アプリまたはハードウェアトークンのほうがより強力な選択肢になります。
2FAの端末を紛失したらどうなりますか？2FA端末へのアクセスを失った場合は、2FA設定時に提供されたバックアップコードを使用するか、サービスのアカウント復旧（アカウント回復）プロセスに連絡してください。このため、設定時にバックアップコードを安全に保存しておくことが重要です。バックアップコードがないと、アカウント復旧は時間のかかる手続きになり得ます。
パスキーは2FAの代わりになりますか？パスキーは、従来の「パスワード＋コード」モデルを置き換えるために設計されており、単なる第2の要素として機能するというよりは、その仕組み自体を置き換えるものです。パスキーを使うと、端末が（生体認証またはPINによって）あなたの身元を確認し、暗号学的な処理により、パスワードなしで認証が行われます。パスキーには、偽のサイトで入力させるために“だまし込めるパスワードやコード”が存在しないため、フィッシングへの耐性が高いのが特徴です。Google、Apple、Microsoftを含む主要プラットフォームは、2023年以降にパスキー対応を段階的に提供し始めました。
最後にひとこと2要素認証（2FA）は、アカウントを守るためにとても実用的に実行できる対策の一つです。パスワードだけは盗まれたり、推測されたり、漏えいしたりする可能性がありますが、2つ目の要素を追加することで、不正アクセスは大幅に難しくなります。認証アプリ、ハードウェアトークン、パスキーのどれを使うかは、あなたのニーズと利用するプラットフォームによって決まります。重要なのは、利用可能な場所では必ず何らかの形の2FAを有効にすること、特に財務に関連付いたアカウントではそうすることです。
さらに読むモバイル端末でよくある詐欺
よくある暗号資産の詐欺5つと、その回避方法
よくあるビットコインの詐欺と、その回避方法
なぜ公衆Wi-Fiは安全ではないのですか
Binanceアカウントのセキュリティを高める5つの方法

免責事項：本コンテンツは、一般的な情報および教育目的のみを目的として「現状のまま」提供されます。いかなる種類の表明または保証も行うものではありません。本内容は、金融・法律その他の専門的助言として解釈されるべきではなく、特定の製品またはサービスの購入を推奨する意図もありません。適切な専門家アドバイザーから、各自の判断に基づいて助言を求めてください。第三者の協力（投稿）が含まれる場合、その見解は当該第三者の協力者に属し、必ずしもBinance Academyの見解を反映するものではありません。デジタル資産の価格は変動する可能性があります。投資した資産の価値は下がることも上がることもあり、投資額を回収できるとは限りません。投資判断の責任はすべてご自身にあります。また、Binance Academyは、お客様が被る可能性のあるいかなる損失についても責任を負いません。詳細は、利用規約、リスクに関する警告、およびBinance Academyの利用規約をご覧ください。