パスワードだけで大丈夫？多要素認証について調べてみた

① 個人情報の漏洩は身近な問題

最近、企業などで個人情報の漏洩が発生したというニュースを目にする機会があります。

個人情報が漏洩すると、名前や住所などの情報が知られてしまうだけでなく、状況によっては不正ログインや詐欺などの被害につながる可能性もあります。

こうしたニュースを見ると、個人情報を扱う企業だけでなく、普段インターネットを利用している自分自身も、情報を守るための対策を考える必要があると感じます。

そこで今回は、不正アクセスを防ぐための対策の一つである「多要素認証」について調べてみました。

普段、Webサイトやアプリにログインするときは、パスワードを入力することが多いと思います。

しかし、パスワードを設定していれば、それだけで安全なのでしょうか。

例えば、複数のサービスで同じパスワードを使い回していた場合、一つのサービスからパスワードが漏れると、ほかのサービスにも不正ログインされる可能性があります。

また、偽のログイン画面にパスワードを入力してしまい、情報を盗まれるケースもあります。

パスワードを設定することは大切ですが、それだけでは防ぎきれないリスクもあります。

今回は、多要素認証の仕組みや必要性を理解し、自分にできる対策について考えてみます。

② 多要素認証とは何？

多要素認証（MFA）とは、ログインする人が本人であることを確認するために、異なる種類の認証要素を組み合わせる仕組みです。

認証要素には、主に次の3種類があります。

• 知識情報： パスワードやPINなど、本人が知っている情報
• 所持情報： スマートフォンや認証用のセキュリティキーなど、本人が持っているもの
• 生体情報： 指紋や顔など、本人の身体的な特徴

例えば、パスワードを入力したあとに、スマートフォンの認証アプリで本人確認を行う方法があります。

この場合、「本人が知っている情報」と「本人が持っているもの」という異なる種類の認証要素を使っています。

仮にパスワードが第三者に知られてしまっても、追加の認証を突破できなければ、不正ログインを防げる可能性があります。

このように、パスワード以外の確認方法を組み合わせることで、一つの情報が漏れただけでは不正アクセスにつながりにくい仕組みを作ることができます。

ただし、多要素認証を導入すれば、すべての不正アクセスを防げるわけではありません。

偽のログイン画面などを使って追加の認証情報まで盗み取ろうとする攻撃もあるため、ほかの対策と組み合わせることも大切です。

③ 二段階認証とは何が違う？

多要素認証について調べていると、「二段階認証」という言葉も出てきます。

似ているように感じますが、厳密には違いがあります。

二段階認証は、本人確認を2つの段階に分けて行う仕組みです。

一方、多要素認証は、異なる種類の認証要素を2つ以上使用する仕組みです。

例えば、パスワードを入力したあとに、秘密の質問に回答する場合を考えてみます。

どちらも本人が知っている情報なので、確認する段階は2つありますが、認証要素の種類は同じです。

つまり、確認する回数が増えれば必ず安全性が高まるというわけではなく、どのような方法を組み合わせるかも重要になります。

実際のサービスでは、二段階認証という名称でも多要素認証に該当する仕組みが使われている場合があります。

そのため、名称だけで判断するのではなく、どのような方法で本人確認を行っているかを理解することが大切だと分かりました。

④ 不正アクセスを防ぐためにできること

多要素認証以外にも、個人情報やアカウントを守るためにできる対策があります。

まず、サービスごとに異なるパスワードを設定することです。

パスワードを使い回していると、一つのサービスで情報が漏れた際に、ほかのサービスまで被害が広がる可能性があります。

覚えきれない場合は、信頼できるパスワード管理ツールを利用する方法もあります。

次に、多要素認証を利用できるサービスでは、設定を検討することです。

特に、メールや金融関連のアカウントなど、第三者に利用された場合の影響が大きいものは、利用できる認証方法を確認しておきたいです。

さらに、メールやメッセージに記載されたリンクにも注意が必要です。

実在する企業やサービスを装った偽のサイトに誘導され、パスワードなどを入力してしまうことがあります。

心当たりのないメッセージや不自然な要求があった場合は、リンクをすぐに開かず、公式サイトや公式アプリから確認することが大切です。

このほか、OSやアプリを最新の状態に保つことも対策の一つです。更新には、セキュリティ上の問題を修正するものも含まれています。

一つの対策だけに頼るのではなく、パスワードの管理、多要素認証、怪しいリンクへの注意、ソフトウェアの更新などを組み合わせることで、リスクを減らすことにつながります。

⑤ 今後、自分が意識したいこと

今回調べてみて、個人情報の漏洩や不正アクセスは、企業だけが対策すればよい問題ではないと感じました。

企業側のシステムに問題があれば、利用者が気をつけていても情報が漏れてしまう可能性はあります。

一方で、自分のアカウントのパスワード管理や認証方法を見直すことで、防げる被害もあります。

そのため、まずは自分が利用しているサービスについて、多要素認証を設定できるか確認してみたいです。

また、パスワードの使い回しがないかを見直し、怪しいリンクを安易に開かないことも意識したいと思います。

エンジニアとしても、セキュリティ対策は専門家だけが考えるものではなく、システムを利用する人も含めて取り組む必要があるものだと学びました。

まだセキュリティについて十分な知識があるわけではありませんが、身近なニュースをきっかけに仕組みを調べることで、普段の行動を見直すことができます。

今後は多要素認証だけでなく、パスキーなどの新しい認証方法や、企業が個人情報を守るためにどのような対策を行っているのかについても学んでいきたいです。

まずは自分にできることから始め、情報を守るための知識を少しずつ身につけていきたいと思います。