多要素認証（MFA）とは

多要素認証（MFA）とは

多要素認証（MFA：Multi-Factor Authentication）とは、ログインのときに異なる種類の要素を2つ以上組み合わせて本人確認する方式です。認証の要素は次の3種類に分けられます。

• 知識情報: 本人だけが知っているもの（パスワード、暗証番号）

• 所持情報: 本人だけが持っているもの（スマートフォン、ICカード、セキュリティキー）

• 生体情報: 本人の身体的な特徴（指紋、顔、静脈）

パスワードが漏れても、攻撃者が本人のスマートフォンや指紋まで手に入れるのは難しいため、不正ログインの多くを防げます。

二段階認証との違い

二段階認証は「認証を2回に分けて行う」ことを指し、要素の種類は問いません。たとえば「パスワード」と「秘密の質問」は2段階ですが、どちらも知識情報なので多要素認証にはなりません。

一方、「パスワード」と「スマートフォンに届く確認コード」は、知識と所持という別々の要素なので、二段階認証であり多要素認証でもあります。セキュリティの強さで見るべきなのは、段階の数よりも「要素の種類が違うか」です。

方式によって強さが違う

多要素認証にもいくつかの方式があります。

SMSやメールで届くコード: 手軽だが、偽サイトに入力させるフィッシングには弱い

認証アプリのワンタイムパスワード: SMSより安全だが、やはりフィッシングで盗まれることがある

パスキー・セキュリティキー（FIDO2）: 正規のサイトでしか使えない仕組みのため、フィッシングに強い

日本証券業協会は、2025年に相次いだ証券口座の乗っ取り被害を受けて、同年10月にガイドラインを改正し、ログインや出金などの重要な操作でパスキーなど「フィッシングに耐性のある多要素認証」を必須にするよう会員の証券会社に求めました。

中小企業で優先すべきアカウント

すべてを一度に変える必要はありません。被害が大きくなりやすい順に設定してください。

Microsoft 365やGoogle Workspaceなどの業務用メール・クラウド

ネットバンキングや会計ソフト

Webサイトの管理画面やサーバー

業務委託先や外部スタッフに発行したアカウント

最後の項目は見落とされがちです。2025年10月にランサムウェア被害を受けたアスクルの調査報告では、例外的に多要素認証を適用していなかった業務委託先の管理者アカウントが侵入口になったと推定されています（詳しくはランサムウェア）。

具体例

社員15名の会計事務所では、Microsoft 365の多要素認証を「推奨」にとどめていたため、半数が未設定でした。設定を必須に切り替え、全員のスマートフォンに認証アプリを入れる作業を朝礼後の30分で済ませています。顧問先から預かる情報の扱いについて、説明しやすくなったという効果もありました。

多要素認証はゼロトラストの土台になる対策です。ほかの基本対策は中小企業のセキュリティ対策ガイドにまとめています。

関連サービス

Swaaabでは、社内で使っているクラウドサービスやAIツールのアカウント管理の見直しを含めて、AIセキュリティ対策支援を行っています。