二要素認証（2FA）がすべてのアカウントに必要な理由

パスワードだけに頼るのは、ひとつの失敗ですべてが崩れる状態です。推測されたり、あとで侵害されたサイトで使い回していたり、本物そっくりの偽ログインページに入力してしまったりすると、それを手にした人は誰でも、あなたとしてサインインできます。二要素認証、略して2FAは、知っていることとは無関係な二つ目の確認を加えます。スマートフォンや物理キーのような持っているもの、あるいは指紋のような自分自身の特徴です。

その結果、盗まれたパスワードだけでは足りなくなります。パスワードを知っている攻撃者でも、認証アプリのコード、セキュリティキーのタップ、信頼済みデバイスでの承認が必要です。一般的なアカウントへの攻撃の多くは、自動化された機会便乗型です。この追加の一手間で、狙われやすい層から外れ、乗っ取りはずっと難しくなります。

2FAは、良いパスワードの代わりにはなりません。パスワードマネージャーに保管した、長くて固有のパスワードに重ねてこそ、最も効果を発揮します。両者は互いの弱点を補い合います。固有のパスワードは、他所での漏えいによる被害を抑え、二つ目の要素は、それでもパスワードが漏れたときにあなたを守ります。

認証アプリは、QRコードを読み取ったときにサービスとアプリが共有した秘密情報から、通常は6桁の短いコードを、通常は30秒ごとに新しく生成します。オフラインで動作し、たいてい無料で、主要なプラットフォームの大半が対応しているため、多くの人にとって妥当な標準の選択肢です。

ハードウェアのセキュリティキーは、サインインの際にタップしたり差し込んだりする、小型のUSB、NFC、Bluetooth機器です。パスキーも同じ原理ですが、スマートフォンやパソコンの中にあり、指紋、顔、端末のPINで解除します。どちらも本物のウェブサイトのアドレスに結びついているため、そっくりのフィッシングサイトには反応しません。そのため、一般のユーザーが使える最も強力な選択肢です。

プッシュ通知は、すでにログイン中の端末でサインインを承認するよう求めます。SMSや音声のコードは、ワンタイムコードを電話番号に送ります。バックアップコードは、普段の方法が使えないときの緊急用に、使い切りのコードを並べた一覧です。多くのサービスでは複数の方法を有効にでき、実際にそうすべきです。メインの方法をひとつと、少なくともひとつのバックアップを用意しましょう。

SMSのコードは、第二要素がないよりはるかに良いのですが、電話番号に依存しており、その電話番号は完全には自分の管理下にありません。SIMスワップでは、犯罪者が携帯電話会社の担当者を説得したり買収したりして、あなたの番号を自分の持つSIMカードへ移します。その瞬間から、あなた宛てのコードはすべて相手の電話に届きます。

SMSコードは、パスワードと同様にフィッシングされることもあります。偽のログインページがコードを求め、攻撃者が数秒のうちにそれを本物のサイトへ転送するのです。もっとありふれた形でアクセスを失うこともあります。たとえば、ローミングなしで旅行するとき、キャリアを変えたとき、プリペイド番号を失効させて、あとで別の人に割り当てられたときなどです。

サービスが認証アプリ、セキュリティキー、パスキーに対応しているなら、そちらに切り替え、SMSはバックアップとしてだけ残すか、サービスが許すなら完全に外してください。SMSしか選べない場合は、番号そのものを守りましょう。多くのキャリアでは、アカウントのPINや番号移転のロックを設定でき、無断での番号移転を難しくできます。

すべてを解錠するアカウントから始めましょう。まずは、パスワード再設定のリンクを受け取るメインのメールアドレス、次にApple、Google、Microsoftのアカウント、パスワードマネージャー、お金や大切なデータを扱うアカウントです。そこが保護できたら、SNS、TelegramやDiscordなどのメッセンジャー、そのほかのアカウントへと進みます。

この設定は通常、アカウントのセキュリティ設定にあり、2段階認証、二要素認証、ログイン認証といった名前が付いています。認証アプリまたはセキュリティキーのオプションを選び、アプリでQRコードを読み取り、表示されたコードを入力して動作を確認します。サービスがパスキーに対応しているなら、スマートフォンとパソコンに追加しておくと、便利でフィッシングにも強いサインイン方法になります。

設定ページを閉じる前に、バックアップコードを保存し、可能なら二つ目の方法を追加し、復旧用のメールアドレスと電話番号が最新で自分のものであることを確認してください。そのうえで一度サインアウトして再度サインインし、実際に頼る前に、確認画面がどう見えるのかを知っておきましょう。

バックアップコードは、スマートフォンをなくしたり、壊したり、初期化したりしたときに、アカウントへ戻るための手段です。各コードは一度しか使えず、多くのサービスでは、新しい一式を生成すると古いものが無効になります。家の合鍵のようなものだと考えてください。必要なときには欠かせず、なくしてしまえば役に立たず、見知らぬ人の手に渡れば危険です。

保管場所としては、重要書類と一緒にしまった印刷物や、認証アプリの入った電話がなくても開けるパスワードマネージャーの暗号化メモが向いています。向かないのは、メールの受信トレイ、ロックのないメモアプリ、写真ギャラリーのスクリーンショット、コードを生成する端末と同じ端末のファイルです。その一台をなくすと、完全に締め出されてしまうからです。

使ったコードは一つずつ線を引いて消し、残りが少なくなったら新しい一式を生成しましょう。誰かにコードを見られた可能性があるなら、古い一覧が使えなくなるよう、すぐに再生成してください。

同僚からのプロジェクト用アカウントの引き継ぎでも、デジタル商品のマーケットプレイスでの購入でも、誰かからアカウントを手に入れた場合は、以前の保有者がまだアクセスできると考えてください。目標は、自分だけがサインインできる状態にすることです。アカウントは常に、ブランドの利用規約に沿って使ってください。

次の順序で進めます。まずパスワードを新しい固有のものに変更し、復旧用のメールと電話を自分が管理するものに更新し、自分が追加していない認証アプリ、セキュリティキー、信頼済みデバイスを削除します。そのうえで、自分のアプリで2FAを有効にして、新しいバックアップコードを生成します。最後に、有効なセッションを確認し、自分の端末以外はすべてサインアウトします。

rStockでは、納品された内容が注文に紐づく納品記録として注文ページに表示されるため、そこから詳細をパスワードマネージャーへそのままコピーできます。お金は保留され、ストアにすぐには解放されず、納品されたアカウントが説明どおりに動作しない場合は、納品後の限られた期間内に取引トラブルを申し立てられます。まずストアが回答し、合意できなければモデレーターを呼べます。アカウントを早めに保護して確認しておけば、その期間が残っているうちに問題に気づけます。rStockは、この記事に登場するどのブランドとも提携していません。

自分で始めていないプッシュ通知を承認してしまうのは、2FAが破られる有名なパターンです。サインインしていないのに要求が表示されたら、拒否してパスワードを変更してください。すでに誰かがパスワードを知っているからです。電話や連絡でコードの読み上げを求める相手についても同じです。正規のサービスが、ワンタイムコードを誰かに共有するよう求めることはありません。

もうひとつのミスは、2FAでアカウントを守りながら、使わなくなったメールアドレスや使っていない電話番号といった、古くて弱い復旧経路を開けたままにしておくことです。攻撃者は、より弱い扉が開いていれば、最も強い扉を迂回します。スマートフォンやメールプロバイダーを変えるたびに、復旧オプションを見直しましょう。

最後に、新しい電話が届いてから移行を考えるのはやめましょう。端末を交換または初期化する前に、認証コードを移し、新しい端末で動作することを確認してから、古いほうを消去してください。数分の準備が、何時間ものアカウント復旧の手間を省いてくれます。