認証アプリ・SMS・パスキーを徹底比較：二要素認証はどれを使うべき？

二要素認証とひと口に言っても、その中身はひとつではありません。6桁のコードが書かれたSMS、認証アプリのコード、「ログインしようとしているのはあなたですか？」という確認、そしてパスキー。どれも2つ目の要素として数えられますが、防げる攻撃はまったく違います。ここでは代表的な方法を比較し、どのアカウントにどれが向いているかを整理します。

警戒すべき攻撃

アカウント乗っ取りの多くは、次の3つのいずれかから始まります。

• パスワードの使い回し。 あるサイトから漏えいしたパスワードが、ほかのあらゆるサイトで試されます。これは、2つ目の要素があればどの方法でも防げます。
• フィッシング。 偽のログインページがパスワードを盗み、最近ではワンタイムパスワードまで盗み取って、数秒のうちに本物のサイトで両方を使います。
• SIMスワップ。 攻撃者が携帯電話会社をだまして、あなたの電話番号を自分が管理するSIMに移します。それ以降、あなた宛てのSMSや通話は攻撃者に届くようになります。

優れた2つ目の要素は、後者の2つにも耐えられるものであるべきです。各方法の差が出てくるのはここからです。

SMSのコード

サービスからSMSでコードが届き、それを入力する方法です。

• メリット： どんな携帯電話でも使え、何もインストールする必要がありません。同じ電話番号のまま機種変更すれば、そのまま使い続けられます。
• デメリット： SIMスワップや電話番号の乗り換えを悪用した攻撃に弱く、ロック画面のプレビューにコードが表示されてしまうこともあります。また、パスワードと同じくらい簡単にフィッシングで盗まれます。海外や電波の届かない場所では受信できないこともあります。

こうしたリスクがあるため、NISTのデジタルアイデンティティガイドラインでは、SMSと音声通話を制限付き（restricted）の認証手段に分類しています（SP 800-63B）。それでもパスワードだけの状態よりはずっと安全で、銀行によってはSMSしか選べないこともあります。SMSに頼る場合は、暗証番号の設定や、電話番号の不正な転出（ポートアウト）を防ぐ保護を追加できるか、携帯電話会社に問い合わせてみましょう。

メールのコード

受信トレイに届くコードやマジックリンクです。

• メリット： どこでも使え、なじみがあります。
• デメリット： 安全性はメールアカウント次第で、そのメールアカウント自体の2つ目の要素としては役に立ちません。受信トレイに侵入されれば、そのメールに頼っているすべてのサイトのコードが相手の手に渡ります。

同じNISTのガイドラインでは、メールは特定の端末を所持していることを証明できないため、帯域外（アウトオブバンド）認証に使ってはならないとしています。メールのコードは本当の意味での2FAではなく、アカウント復旧の手段と考えましょう。

認証アプリ（TOTP）

スマートフォンのアプリが、サービスと共有するシークレットをもとに30秒ごとに新しいコードを生成します。シークレットは通常、QRコードで受け渡されます。アルゴリズムはオープンなTOTP標準なので、ひとつのアプリで何千ものサービスに対応できます。まだ設定していない方は、2FA設定のステップバイステップガイドで手順を詳しく紹介しています。

• メリット： SIMスワップの影響を受けず、オフラインで使えて無料。2FAを提供しているほぼすべてのサービスが対応しています。
• デメリット： 巧妙な偽サイトにコードを入力させられ、リアルタイムで中継されるおそれは残ります。また、シークレットが1台のスマートフォンにしかない場合、それをなくすとアカウント復旧の手続きが必要になります。

Ringのようなアプリは、シークレットを暗号化してiPhone内に保管し、ネット接続なしでコードを生成します。そのため通信途中で傍受されるものはなく、電話番号にも結びついていません。ただし、フィッシングに無敵になるわけではありません。コードを入力する前に、アドレスバーを確認しましょう。

プッシュ通知による承認

コードの代わりに、サービスがアプリやサインイン済みの端末に確認通知を送り、「承認」をタップする方法です。

• メリット： とても便利で、よくできた仕組みならログインの試行元も表示されます。
• デメリット： プッシュ方式はたいてい、その提供元のアカウントでしか使えません。また、攻撃者は「MFA疲労（MFA fatigue）」攻撃に悪用します。通知を何度も何度も送りつけ、うんざりした相手が止めたい一心で「承認」をタップするのを待つ手口です。

ログイン画面に表示された数字を通知側に入力する「番号の一致（ナンバーマッチング）」があれば、よく確かめずに承認してしまうことはずっと起こりにくくなります。いずれにしてもルールはシンプルです。自分で始めた覚えのない承認リクエストは、絶対に承認しないでください。

ハードウェアセキュリティキー

USBポートに差し込んだり、スマートフォンにかざしてNFCで使ったりする小さなキーです。最新のキーはFIDO2とWebAuthnという標準規格を採用しています。

• メリット： フィッシングに強いこと。キーは本物のウェブサイトのドメインに結びついたチャレンジに署名するため、偽サイトは使い回せるものを何も得られません。入力するものもなく、電池もネット接続も不要です。
• デメリット： 購入費用がかかり、予備を含めて最低2本必要です。すべてのサービスが対応しているわけでもありません。2本ともなくすと、アカウント復旧の手続きに逆戻りです。

CISAのガイダンスでは、FIDO/WebAuthnを広く利用できるフィッシング耐性のある多要素認証（MFA）として挙げ、組織に移行を促しています（CISAファクトシート）。

パスキー

パスキーはセキュリティキーと同じFIDO標準に基づいていますが、認証情報はスマートフォンやパスワードマネージャーの中に保存され、Face ID、Touch ID、または端末のパスコードでロックを解除して使います。多くのサイトでは、2つ目のステップを追加するのではなく、パスワードそのものを置き換えます（FIDO Alliance）。

• メリット： ハードウェアキーと同様にフィッシングに強く、覚えることも入力することもありません。同期されるパスキーなら、認証情報マネージャーを通じて新しい端末にも引き継がれます。
• デメリット： サービスごとの対応状況にまだばらつきがあり、安全性はパスキーを同期するアカウントに左右されます。異なるプラットフォームやブラウザをまたいで使うと、わかりにくいこともあります。

サイトがパスキーに対応していて、信頼できる認証情報マネージャーを使っているなら、パスキーは現時点で最も強力かつ便利な選択肢です。

アカウントごとの使い分け

各サービスで選べる最も強力な方法を使いましょう。ただし、完璧を求めるあまり何もしないのでは本末転倒です。

• メインのメール、パスワードマネージャー、Apple Account、Googleアカウント。 ほかのすべてをリセットできるアカウントです。対応していればパスキーかセキュリティキーを使い、バックアップとしてリカバリーコードか2つ目の方法を用意しておきましょう。
• 仕事用のアカウント。 勤務先のポリシーに従ってください。最近はセキュリティキーやパスキーを必須にしている組織も多くあります。
• 暗号資産取引所や証券会社。 認証アプリかセキュリティキーを使いましょう。選べる限り、SMSは避けてください。
• 銀行。 SMSか独自アプリしか選べないところが多くあります。銀行のアプリがあればそれを使い、携帯電話会社側で電話番号を保護しておきましょう。
• SNS、開発者向けツール、クラウドストレージ、ショッピング。 認証アプリが最もバランスの良い選択です。
• SMSしか選べないサービス。 それでも有効にしましょう。パスワードの使い回しによる攻撃は防げます。

認証アプリが現実的な第一選択である理由

パスキーやハードウェアキーはフィッシングに対してより強く、利用できる場面では最も重要なアカウントに使うべきです。しかし、ほぼどこでも、無料で、ハードウェアを買うことも特定のプラットフォームに縛られることもなく有効にできる方法といえば、今でもTOTPです。SMSのようなSIMスワップのリスクがなく、受信トレイに依存せず、オフラインでも使えます。

あらかじめ備えておくべき弱点は、端末をなくすことです。すべてのアカウントのリカバリーコードを保存し、重要なアカウントには2つ目の方法を追加し、いざというときのために2FAのコードが入ったスマートフォンをなくしたときの対処法にも目を通しておきましょう。どんな方法でもアカウントを絶対に破られないものにはできませんが、適切に選んだ2つ目の要素があれば、あなたのアカウントはほかのアカウントよりずっと狙われにくくなります。