多要素認証（MFA）とは？ITが苦手でもわかる仕組みと導入方法
「多要素認証を設定してください」と言われても、ITに詳しくない方にとっては「何をどう設定すればいいのか分からない」というのが正直なところではないでしょうか。この記事では、専門用語をできるだけ避けながら、多要素認証（MFA）の仕組みと、中小企業がまず何から取り組めばよいかを解説します。
多要素認証（MFA）とは何か
IPA（情報処理推進機構）は多要素認証を、「記憶情報（パスワードなど）」「所持情報（スマートフォンなど）」「生体情報（指紋など)」のうち、2つ以上の要素を組み合わせて本人確認を行う認証方法と説明しています。
普段私たちが使っているID・パスワードによるログインは、この「記憶情報」だけに頼った認証です。パスワードは、フィッシング詐欺やデータ漏えいなどによって第三者に知られてしまうことがあります。しかし、パスワードに加えて「スマホに表示される確認コード」のような別の要素も必要にしておけば、パスワードだけが漏れても、攻撃者はログインできません。これが多要素認証の基本的な考え方です。
「鍵」にたとえるとイメージしやすい
多要素認証を、家の鍵に例えて考えてみましょう。パスワードだけのログインは、玄関に鍵が1つしかない状態です。その鍵（パスワード）を誰かに盗まれたり、コピーされたりすると、家の中に自由に入られてしまいます。
一方、多要素認証を設定した状態は、玄関の鍵に加えて、家の中にもう1つ扉があり、そこには自分のスマートフォンでしか開けられない鍵がかかっているイメージです。たとえ玄関の鍵（パスワード）を盗まれても、2つ目の鍵（スマートフォン）を持っていない攻撃者は、その先に進むことができません。この「鍵を2つにする」という発想が、多要素認証の本質です。
効果はどれくらいあるのか
「本当にそんなに効果があるのか」と思う方のために、具体的な数字を紹介します。Microsoftが2019年に公表した調査では、多要素認証を利用しているアカウントは99.9%以上の確率で不正利用による侵害を防げるとされています。また、Googleとニューヨーク大学・カリフォルニア大学サンディエゴ校の共同研究（2019年）では、電話番号を登録してSMSで確認コードを受け取る設定だけでも、自動化されたボットによる攻撃を100%、大規模なフィッシング攻撃を96%、特定の個人を狙う標的型攻撃も76%ブロックできたと報告されています。パスワードだけの状態と比べると、多要素認証を設定するだけで防御力が大きく変わることが分かります。
代表的な認証方法とその違い
多要素認証にはいくつかの方式があり、それぞれ手軽さと安全性のバランスが異なります。
- SMS認証：登録した携帯電話番号にショートメッセージでコードが届く方式。手軽ですが、後述する弱点があります
- 認証アプリ：スマートフォンに専用アプリ(Google Authenticator、Microsoft Authenticator等)を入れ、そこに表示される数字を入力する方式。無料で使え、SMS認証より安全性が高いとされています
- 生体認証：指紋や顔など、スマートフォンやパソコンに搭載されているセンサーを使う方式。対応端末があれば手軽に導入できます
- ハードウェアキー：YubiKeyのような専用の物理デバイスを使う方式。最も安全性が高いとされますが、デバイスの購入費用がかかります
- パスキー：FIDOアライアンスとW3Cが規格化した、パスワード自体を使わない新しい認証方式。端末の生体認証やPINでサインインでき、秘密の情報がサーバー側に送られないため、フィッシング詐欺への耐性が非常に高いとされています
なぜSMS認証は「非推奨」になりつつあるのか
手軽なSMS認証ですが、近年はセキュリティの専門機関から弱点が指摘されるようになっています。米国国立標準技術研究所(NIST)は、SMSによる確認コードを「制限付き認証手段」に分類し、電話番号を乗っ取る「SIMスワップ」攻撃のリスクを踏まえた対策や、利用者への注意喚起を条件としています。IPAも、SNSアカウントの乗っ取り事例などを通じて、SMS認証コードを詐取する手口に注意を呼びかけ、可能であればパスキーなどへの移行を推奨しています。
とはいえ、「SMS認証は危険だから使わない方がいい」というわけではありません。何も設定していない状態と比べれば、SMS認証だけでも十分に効果があります。まずは今使える方法で導入し、余力ができたらより安全な方式に切り替えていくという考え方で問題ありません。
認証アプリの設定はどれくらい難しいのか
「アプリを使う」と聞くと難しそうに感じるかもしれませんが、基本的な流れはシンプルです。
- スマートフォンに認証アプリ（Google Authenticator、Microsoft Authenticator等）を無料でインストールする
- 設定したいサービス側の画面に表示されるQRコードを、認証アプリのカメラ機能で読み取る
- 以降ログインするたびに、認証アプリに表示される数字をログイン画面に入力する
一度設定してしまえば、ログインのたびに増える手間は「アプリを開いて数字を入力する」数秒程度です。IT担当者がいない会社でも、この3ステップさえ覚えてしまえば、社内全員に展開することは十分可能です。
身近なサービスでの設定方法
多くの中小企業が使っているサービスでも、多要素認証は比較的簡単に有効化できます。
- Microsoft 365：管理センターで「セキュリティの既定値」を有効にすると、SMS・電話・認証アプリ・生体認証などから選んで多要素認証を導入できます
- Google Workspace：管理コンソールの「セキュリティ」→「認証」→「2段階認証プロセス」から、組織全体に多要素認証を有効化・必須化できます
いずれも管理者が一度設定すれば、組織全体に適用できる仕組みになっています。社内にIT担当者がいない場合でも、契約しているサービスのサポート窓口に相談すれば、設定方法を案内してもらえることが多いです。
中小企業がまず取り組むべき3ステップ
- 重要なアカウントから優先的に設定する：会社のメール、クラウド会計・給与ソフト、SNSの管理者アカウントなど、乗っ取られた際の被害が大きいアカウントから着手する
- 認証アプリでの多要素認証を全社ルール化する：無料で導入でき、SMS認証より安全性が高い認証アプリを、まず標準的な方法として社内に周知する
- 経営者・管理者アカウントはより強固な方式も検討する：特に権限の大きいアカウントについては、ハードウェアキーやパスキーの導入も選択肢に入れる
基本的なセキュリティ対策の全体像については、別記事「中小企業が最低限やるべきサイバーセキュリティ対策5選」でも解説しています。あわせてご覧ください。
よくある質問
Q. スマートフォンを紛失したら、ログインできなくなりませんか？
多くのサービスでは、多要素認証の設定時に「バックアップコード」を発行できます。このコードを印刷または安全な場所に保管しておけば、スマートフォンを紛失した場合でも、バックアップコードを使ってログインし、設定を再設定できます。
Q. すべてのサービスに設定する必要がありますか？
理想的にはすべてのアカウントに設定することが望ましいですが、まずは前述のとおり、乗っ取られた際の被害が大きい重要なアカウントから優先的に設定していけば十分です。
Q. 導入に費用はかかりますか？
認証アプリや生体認証は、基本的に追加費用なしで利用できます。ハードウェアキーを導入する場合のみ、デバイスの購入費用（1台あたり数千円程度が一般的です）がかかります。
Q. 社員に反発されそうで不安です。どう伝えればよいですか？
「面倒な作業が増える」と受け止められがちですが、ログインのたびに増える手間は数秒程度であることを具体的に伝えることが有効です。また、Microsoftの調査で「MFA利用アカウントは99.9%以上侵害されにくい」と報告されているように、具体的な数字を示しながら「会社の情報を守るための対策」であることを説明すると、納得を得やすくなります。現場への伝え方の工夫については、別記事「現場がDXに反対する理由と対処法」も参考にしてください。
参考にした主な調査・資料
- IPA「不正ログイン対策特集ページ」
- Microsoft「Your Pa$$word doesn’t matter—but MFA does!」
- Google Security Blog 多要素認証の効果に関する研究
- NIST SP 800-63B（日本語訳）
- FIDOアライアンス「パスキー」
- Microsoft Learn「多要素認証を設定する」
- Google Workspace ヘルプ「2段階認証プロセス」
まとめ
多要素認証は、パスワードだけに頼る認証と比べて、不正ログインを防ぐ効果が数字の上でも大きく異なります。専門的な知識がなくても、認証アプリを使った設定であれば無料かつ短時間で導入できるため、まずは重要なアカウントから着手してみることをおすすめします。
