ホーム > News > 多要素認証は「どこから入れるか」で効き目が変わる

多要素認証は「どこから入れるか」で効き目が変わる

  • セキュリティーコラム

「多要素認証は入れていますか」と伺うと、多くの企業が「入れている」と答えます。ただ、どのアカウントから入れたかまで答えられる企業は多くありません。2026年10月には、パスキーを預けたApple AccountやGoogleアカウントが乗っ取られ、証券口座まで不正アクセスされるおそれがあるとして注意喚起が出ました。強い鍵も、置き場所が守られていなければ働きません。多要素認証をどこから、どの方式で入れるべきかを整理します。

目次

パスワードは「漏れる前提」で考える

フィッシング対策協議会の2026年8月の月次報告書（9月18日公開）は、5月から6月にかけて複数のISPで情報漏えいが起き、暗号化されていないパスワードまで漏れていたことに触れています。取得された認証情報が不正に使われたとみられる事例も確認されているとしています。

自社が気をつけていても、利用しているサービスの側から漏れます。同じパスワードを使い回していれば、一か所の漏えいが他の入口にも及びます。警察庁の統計でも、ランサムウェアの侵入経路の4分の3はVPN機器とリモートデスクトップで、漏えいした認証情報などを使った侵入が典型とされています。

IPAは多要素認証について、記憶・所持・生体のうち2つ以上の要素を組み合わせる方式であり、IDと1つ目のパスワードが不正に使われてもログインはできないと説明しています。パスワードが漏れても入口を開けさせない。それが多要素認証の役割です。

多要素認証は、方式によって強さが違う

同じ「多要素認証」でも、方式によって防げるものが違います。米国のCISAが公開したファクトシートを基に整理すると、おおむね次のとおりです。

方式主な弱点強さ
SMSや音声で届くコード偽サイトでの入力、電話番号の乗っ取り（SIMスワップ）弱い
承認ボタンを押すだけのプッシュ通知承認要求の連打、うっかり承認やや弱い
認証アプリのコード、数字照合付きのプッシュ通知偽サイトにコードを入力させる手口中程度
パスキー（FIDO2）偽サイトでは動作しない強い

パスキーが強いのは、正規のサイトに対してしか鍵が使われない仕組みだからです。偽サイトに誘導されても、そもそも入力するものがありません。フィッシング対策協議会も、詐取された認証情報の不正利用への対策として、パスキーなどフィッシング耐性のある多要素認証への対応を求めています。

とはいえ、SMSのコードでもパスワードだけの状態よりは格段に安全です。使えるサービスから順に、強い方式へ寄せていくという考え方で十分です。

パスキーでも乗っ取られる理由

冒頭の事例に戻ります。SMBC日興証券は2026年10月6日、利用者のApple AccountやGoogleアカウントに不正にアクセスされ、そこに保存されたパスキー等を使って証券口座にも不正アクセスされる可能性があるとして注意を呼びかけました。同社システムへの侵入ではなく、Apple社やGoogle社などを装ったメールやSMSで偽サイトに誘導し、ログイン情報を入力させる手口だとしています。

パスキーそのものが破られたわけではありません。多くの場合、パスキーはApple AccountやGoogleアカウントに保存され、端末の間で同期されます。便利な仕組みですが、裏を返せばパスキーを預けている保管庫のアカウントが、すべての鍵をまとめた「鍵束」になっているということです。鍵束の持ち主として入られてしまえば、中の鍵は正規のものとして使われます。

同社が対策の筆頭に挙げているのも、Apple AccountやGoogleアカウントそのものの二要素認証を有効にすることと、身に覚えのないログイン通知や認証要求を承認しないことでした。

入れる順番は「合鍵を握るアカウント」から

管理の手が足りない中小企業では、すべてに一度に入れようとすると止まります。順番を決めてください。基準は、そのアカウントが破られたとき、他のいくつの扉が開くかです。

1. メールアカウント。 ほとんどのサービスは、パスワードの再設定をメールで受け付けます。メールを握られることは、他のアカウントの合鍵を作られることと同じです。Microsoft 365やGoogle Workspaceを使っているなら、管理者アカウントが最優先です。

2. 鍵の保管庫。 業務で使うスマートフォンのApple AccountやGoogleアカウント、社内のパスワードマネージャーです。前章のとおり、ここが鍵束です。社長や経理担当者の個人スマートフォンが業務と地続きになっている会社では、特に見落とされがちです。

3. 外から社内につなぐ入口。 VPN、リモートデスクトップ、クラウドの管理画面です。侵入経路の大半はここでした。

4. その他の業務サービス。 会計、勤怠、ネットバンキングなどです。選べる範囲で強い方式を選びます。

入れた後に崩れやすい3つの穴

1. 例外アカウント。 「役員だけ免除」「共有アカウントなので設定できない」といった例外が、そのまま抜け道になります。共有アカウントは、個人ごとに分けることから始めてください。

2. 身に覚えのない承認要求。 承認ボタンだけの方式では、繰り返し届く要求につい応じてしまうことがあります。自分がログインしていないときの要求は押さない、と全員に周知してください。数字照合が使えるなら有効にします。

3. 端末の紛失と退職。 スマートフォンを失くしたときの復旧手順と、復旧用コードの保管場所を決めておかないと、いざというときに多要素認証を外して乗り切ることになりがちです。退職者の登録端末の削除も、退職時のチェックリストに入れておきます。

AUSの見立て

多要素認証は「入れたかどうか」ではなく「鍵束まで届いているか」で評価すべきだと考えます。JPCERT/CCは2026年10月8日、国内組織で不正アクセスによる情報漏えいが相次いでいるとして注意喚起を出し、漏えいを想定して平時から顧客に多要素認証などの二次被害防止を呼びかけることを挙げました。取引先や利用サービスから認証情報が漏れることは避けられません。そのとき被害を止められるかは、合鍵を握るアカウントに二つ目の鍵がかかっているかで決まります。まずはメールと鍵の保管庫、この2つから確認してください。

まとめと出典

パスワードは漏れる前提で考え、多要素認証で入口を閉じる。方式はSMSより認証アプリ、認証アプリよりパスキーへ。入れる順番は、破られたときに開く扉の多いアカウントから。強い鍵も、預けた保管庫が守られていなければ働きません。メール、鍵の保管庫、外からの入口の順で、今週から点検を始めてください。

※本記事で示した方式ごとの強さは、一般的な特性を整理したものです。対応している方式はサービスごとに異なりますので、各サービスの設定画面や公式の案内で確認してください。

本記事は以下の公開情報に基づいています。

BACK