多要素認証（MFA）

なぜパスワードだけでは危険なのか

パスワードは「知識」という単一の要素に依存します。ところがパスワードは、フィッシング、使い回しの流出、総当たり、漏洩DBからの突合（クレデンシャルスタッフィング）など、何通りもの方法でまとめて漏れます。一度漏れれば、攻撃者は本人と同じようにログインでき、見分けがつきません。

多要素認証（MFA, Multi-Factor Authentication）は、この弱点を「別の種類の証拠も要求する」ことで補います。たとえパスワードが漏れても、攻撃者の手元に「あなたのスマホ」や「あなたの指紋」がなければ、ログインは成立しません。MFA は特別な技術というより、鍵を1本から2本に増やすという素朴で強力な発想です。

3つの認証要素

認証の「要素」は、性質の違う3つのカテゴリに分けられます。MFA の本質は、この異なるカテゴリから2つ以上を組み合わせる点にあります。

要素	意味	具体例
知識（something you know）	本人だけが知っている情報	パスワード、PIN、秘密の質問
所持（something you have）	本人だけが持っている物	スマホの認証アプリ、SMS、ハードウェアキー
生体（something you are）	本人の身体的特徴	指紋、顔、虹彩

ここで重要なのは「異なるカテゴリを組み合わせること」です。パスワードと秘密の質問は、どちらも「知識」なので2つあっても多要素にはなりません（同じ漏れ方をするため）。パスワード（知識）＋認証アプリ（所持）のように、別々の壊れ方をする要素を足して初めて意味が出ます。

なぜ強いのか：独立した壁を重ねる

MFA の強さは確率で考えると分かりやすくなります。攻撃者が突破するには、複数の独立した要素を同時にすべて破る必要があります。パスワードを盗む手口（フィッシング）と、スマホを物理的に奪う手口は別物なので、両方を同時に成立させるのは桁違いに難しくなります。

実際、主要なプロバイダの調査では、MFA の導入が自動化された不正ログインの大半を防ぐと報告されています。攻撃者にとって「割に合わない標的」になるため、より守りの薄い相手へ移る動機づけにもなります。

• 漏洩DBが無力化：流出したパスワード一覧で総当たりしても、所持要素がなければ前に進めません。
• 総当たりが効かない：所持要素のコードは短時間で切り替わるため、推測の試行が間に合いません。
• 被害の局所化：1サービスのパスワードが漏れても、MFA があれば即時のアカウント乗っ取りには直結しません。

TOTP とパスキー：実装の主役

実務で広く使われるのが TOTP（Time-based One-Time Password）です。認証アプリ（Google Authenticator など）が、サーバと共有した秘密鍵と現在時刻から30秒ごとに変わる6桁コードを生成します。サーバ側も同じ計算をして照合するため、通信なしで一致を確認できます。手軽で広く普及していますが、コード自体は人が入力する文字列なので、偽サイトに入力させられると盗まれます（フィッシング耐性は限定的）。

TOTP = HOTP(共有秘密鍵, floor(現在時刻 / 30秒))
# 30秒ごとに値が変わる6桁コード。サーバと端末が同じ秘密鍵を持つ前提

さらに強いのが **パスキー（FIDO2 / WebAuthn）**です。端末内の秘密鍵で「このサイト（ドメイン）に対する署名」を生成する公開鍵暗号方式で、入力する文字列が存在しないのが要点です。署名は登録元のドメインに紐づくため、偽サイトでは原理的に成立せず、フィッシングに強いのが最大の利点です。生体認証（指紋・顔）で手元の鍵を解錠する形が一般的で、利便性も高くなります。

方式	仕組み	フィッシング耐性	評価
SMS コード	電話番号宛にコード送信	弱い	無いよりは良いが、SIMスワップ等で奪われやすい
TOTP（認証アプリ）	時刻＋秘密鍵で6桁生成	限定的	手軽で普及。偽サイト入力には弱い
パスキー（FIDO2）	ドメイン紐づけの署名	強い	現状の最有力。入力する文字列が無い

導入時に押さえること

MFA は「足せば終わり」ではなく、運用設計まで含めて初めて機能します。

• リカバリ手段：端末を紛失した場合に備え、バックアップコードや予備の要素を用意します。ここが甘いと、リカバリ経路がそのまま攻撃の抜け穴になります。
• 登録フローの保護：MFA を後付け登録する画面こそ攻撃者に狙われます。本人確認を強めに行ってください。
• 疲労攻撃への注意：プッシュ通知を連打して「うっかり承認」を狙う手口があります。番号照合（number matching）型のプッシュやパスキーで回避します。

MFA はパスワードを置き換えるのではなく、漏洩を前提にした上乗せの防御です。土台となるパスワード自体の安全な保管はパスワードの安全な保存、ログイン状態をどう保持するかはWeb認証の仕組み、認証と認可の役割分担は認証と認可の違いで整理できます。