2FAのコードが入ったスマホをなくしたら？アカウントに再ログインする方法

認証アプリのコードが入ったスマートフォンをなくすと、デジタル生活のすべてから締め出されたような気分になります。でも、たいていはそうではありません。多くのサービスはまさにこうした事態を想定しているので、少し根気よく取り組めば、すべてのアカウントに戻れます。ここでは取り組むべき順番と、二度と大ごとにしないための対策を紹介します。

まずはスマートフォンそのものへの対処

初期化ではなく紛失や盗難の場合は、コードのことを心配する前に、まず端末を守りましょう。

• ほかのAppleデバイスやiCloud.comから「探す」を使い、スマートフォンの位置を確認したり、紛失としてマークしたり、遠隔で消去したりします。
• 携帯電話会社に連絡してSIMを停止してもらい、SMSのコードを含め、あなた宛てのSMSや通話をほかの人が受け取れないようにします。
• パスコードを知られているかもしれない場合は、できるだけ早く別の端末から、メインのメールとApple Accountのパスワードを変更します。

ロックされたiPhoneに侵入するのは困難です。さらに認証アプリをFace IDでロックしておけば、たとえロック画面を突破されてもコードは守られます。

コードが簡単に戻ってこない理由

認証アプリのコードは、端末に保存されたシークレットから生成されます。Ringはシークレットを暗号化してiPhoneにのみ保管し、サーバーにはコピーを置きません。ほかの誰もシークレットを持っていないことこそが重要なのです。その反面、新しい端末や初期化した端末は空の状態から始まり、古いコードをどこかからダウンロードすることはできません。

そのため、復旧はアプリ側ではなく各サービス側で行います。アカウントが自分のものであることをサービスに証明すると、古い認証アプリの登録が解除され、新しい認証アプリを設定できるようになります。アカウントごとに以下の方法を順に試してください。最初はメインのメールアドレスから。ほかのすべてをリセットする鍵になることが多いからです。

リカバリーコードを使う

2FAを有効にしたとき、多くのサービスでは使い捨てのバックアップコードが発行されています。保存してあれば、これが最も早い方法です。

1. ログインページを開き、いつもどおりパスワードを入力します。
2. 2FAの画面で、バックアップコードを使う、または別の方法を試すといった選択肢を探します。
3. 保存してあるコードのひとつを入力します。各コードは一度しか使えないので、使ったら線を引いて消しておきましょう。

ログインできたらすぐにセキュリティ設定を開き、古い認証アプリを削除して、新しいリカバリーコードを発行します。

サインインしたままの端末を使う

ノートパソコンやタブレット、仕事用のパソコンが、まだ多くのアカウントにログインしたままになっているかもしれません。開いているセッションからセキュリティ設定に直接アクセスできることが多く、そこから2FAを新しいスマートフォンに切り替えられます。セキュリティ設定を変更する前にパスワードの再入力を求めるサービスもありますが、2つ目の要素まで求められるとは限りません。

サインイン済みの端末そのものを2つ目の要素として扱うエコシステムもあります。同じApple Accountでサインインしている別のAppleデバイスでは、そのアカウントの確認コードを受け取れます。Googleも、Googleアカウントにログインしているほかのスマートフォンやタブレットにログインの確認を送れます。

別の2つ目の要素を試す

2FAの設定時にバックアップの方法を追加していたなら、今こそそれを使うときです。ハードウェアセキュリティキー、SMS用の信頼できる電話番号、あるいは別の端末に入れた2つ目の認証アプリなどです。2FAの画面で、別の方法を選ぶリンクを探してください。

アカウント復旧の手続きを行う

どれもうまくいかない場合でも、大手サービスの多くにはアカウント復旧の手続きがあります。細かい部分は異なりますが、おおむね次のような流れです。

• 所有者であることの証明に役立つ情報を求められます。復旧用のメールアドレスや電話番号、以前のパスワード、アカウントを作成したおおよその時期、最近の利用状況などです。身分証明書の提出を求めるサービスもあります。
• 数日に及ぶ待機期間が設けられることがあります。たとえばAppleは、アカウントの復旧に数日、あるいはそれ以上かかる場合があるとしています。この待ち時間は、本当の所有者が不正なリクエストに気づいて止められるようにするためのものです。
• 早さよりも正確さが大切です。できれば以前そのアカウントで使ったことのある端末とネットワークを使い、わかることに答え、何度も手続きをやり直すのではなく、サービスの案内に従いましょう。

サポートに問い合わせる

セルフサービスの復旧手段がないサービス、たとえば多くの小規模サイトや暗号資産取引所、一部の銀行などでは、サポートに直接問い合わせましょう。本人確認があるはずですが、それは障害ではなく、むしろ良い兆候です。仕事用のアカウントなら、たいていはIT管理者が2FAをリセットしてくれます。

相手には注意してください。詐欺師はまさにこうした状況にある人を狙い、サポート担当者になりすまします。連絡先は、必ずサービスの公式ウェブサイトや公式アプリに記載されたものだけを使いましょう。また、向こうから連絡してきた相手には、ワンタイムパスワードやリカバリーコードを決して教えないでください。

新しいスマートフォンをきちんと設定する

アカウントへのアクセスを取り戻すたびに、次のことを行いましょう。

1. アカウントのセキュリティ設定から、古い認証アプリや紛失した端末を削除します。
2. 2FAをもう一度有効にし、新しいスマートフォンの認証アプリで新しいQRコードを読み取ります。
3. 新しいリカバリーコードを発行し、スマートフォンとは別の場所に保管します。
4. 最近のサインイン履歴とアクティブなセッションを確認し、心当たりのないものはすべてサインアウトします。スマートフォンが盗まれた場合は特に重要です。

二度と締め出されないために

スマートフォンをなくしても、緊急事態ではなく「ちょっと面倒なこと」で済むようにしておきましょう。そのためには、いくつかの習慣が役立ちます。

• すべてのアカウントのリカバリーコードを保存する。 印刷するか書き留めて、スマートフォンとは別に自宅の安全な場所に保管します。そのスマートフォンがなくても開けるなら、パスワードマネージャーでもかまいません。
• 重要なアカウントには2つ目の方法を追加する。 ハードウェアセキュリティキー、信頼できる電話番号、またはサインイン済みの別の端末です。2FAの方法の比較では、アカウントの種類ごとにどのバックアップが適しているかを解説しています。
• 一覧を作っておく。 2FAを有効にしているすべてのアカウントと、その認証方法、リカバリーコードの保管場所をまとめたシンプルなリストです。Ringのフォルダを使えば、どのアカウントを保護済みかがひと目でわかりますが、リストそのものはスマートフォン以外の場所に保管してください。
• 機種変更は計画的に。 買い替えるときは、古いスマートフォンがまだ使えるうちに、新しいスマートフォンで各アカウントの2FAを設定します。古いスマートフォンを消去するのは、すべてのアカウントの移行が終わってからにしましょう。
• 年に一度チェックする。 日にちを決めて、リカバリーコードがまだ見つかるか、バックアップ用の電話番号が最新かを確認します。

まだ何も起きていない方へ

今日、10分だけ時間をとってください。メインのメール、Apple Account、パスワードマネージャーのリカバリーコードを探すか再発行し、安全な場所に保管しましょう。初めて2FAを有効にする方は、設定ガイドでリカバリーコードの保存も含めた手順を紹介しています。