Written by WizLANSCOPE編集部
目 次
多要素認証とは、ユーザーの身元確認のため、「知識情報」「所持情報」「生体情報」のうち、2つ以上の要素を組み合わせるセキュリティ手法です。
サイバー攻撃は年々高度化し、長く複雑なパスワードの設定だけでは不正アクセスを防ぐことが困難になっています。
このような変化から、多要素認証の導入は、セキュリティを強化するうえで必要不可欠な対策といえます。
本記事では、多要素認証の概要や2段階認証との違い・認証の種類や活用が推奨されるサービスなどについて、それぞれ「例」を用いながら、わかりやすく解説いたします。
▼本記事でわかること
- 多要素認証の概要
- 多要素認証と他のセキュリティ手法の違い
- 多要素認証の必要性
- 多要素認証のメリット
「なぜ多要素認証が必要なのか」「多要素認証を導入することでどのようなメリットがあるのか」などを知りたい方はぜひご一読ください。
多要素認証（MFA）とは？
「多要素認証（Multi Factor Authentication/MFA）」とは、システムやサービスへのログイン時に、「知識情報」「所持情報」「生体情報」3つの認証要素のうち、2つ以上の認証要素を組み合わせて、認証をおこなうセキュリティ方法です。
▼多要素認証の例
- パスワード（知識情報）を入力後、スマートフォンアプリの認証コード（所持情報）を入力してログインする
- キャッシュカード（所持情報）をATMに読み込ませ、暗証番号（知識情報）を入力して金銭を引き出す
従来はIDやパスワードを活用した「知識情報のみ」による認証が一般的でした。
しかし、近年のサイバー攻撃の発生件数の増加・高度化に伴い、より強固なセキュリティを構築し、認証の安全性を高める必要性が生じています。
「多要素認証」であれば、2つ以上の認証要素を組み合わせるため、万が一パスワードやIDが漏洩しても、アカウントの乗っ取りや不正アクセスのリスクを最小限に抑えること可能となります。
企業や組織には、積極的に多要素認証を導入し、安全性の高い認証方法を確立することが求められています。
多要素認証（MFA）で用いる3つの情報と具体例
多要素認証で用いる3種類の情報を紹介します。
- 知識情報
- 所持情報
- 生体情報
具体例を交えて紹介するので、多要素認証についての理解を深めていきましょう。
知識情報
知識情報とは、パスワードなどの特定のユーザーのみが知っている情報です。
知識情報を用いた認証の例として、パスワード以外に「秘密の質問」や「パターン認証」が挙げられます。
| 秘密の質問 | ・サービスの登録時などにユーザー本人が登録した、本人しか回答を知り得ない質問 ・「母親の旧姓は？」「初めて買ったCDは？」などの質問に対し、事前に回答を登録しておくことで、その回答が認証の鍵となる |
|---|---|
| パターン認証 | ・主にAndroid製のスマートフォンなどで採用されている認証方法 ・利用者本人があらかじめ任意のロック解除パターンを登録しておき、ロックを解除する際は、そのパターン通りに画面を指でなぞる作業が必要となる |
基本的に、知識情報は「本人以外は知り得ない情報である」ということを前提として運用されます。
実装も容易なため、多くのシステムやサービスで活用されています。
ただし、パスワードの構造が単純すぎたり、他人に推測されやすい環境下で管理していたりすると、簡単に認証が悪用される危険性があります。
運用する際は、十分な注意が必要です。
所持情報
所持情報とは、利用者本人が所持している情報のことで、スマートフォン、セキュリティキー・ICカードなどが該当します
たとえば、スマートフォンを活用した認証方法では、Google AuthenticatorやMicrosoft Authenticator、SMSを利用した「ワンタイムパスワード」が挙げられます。
画面に表示されているコードや送られてきたコードを入力することで認証する方法です。
また、金融機関でよく利用されている「ハードウェアトークン」と呼ばれるワンタイムパスワードの認証方法も、所持情報に該当します。
ハードウェアトークンは、金融機関が提供するアプリ上でワンタイムパスワードを表示させ、そのパスワードを入力して認証する方法です。
所持情報の注意点として、スマートフォンやカード本体が盗まれると、認証を突破されるリスクが挙げられます。
管理体制を整えることはもちろん、リモートロック機能を付けるなど、万一の紛失時も悪用されないための対策が必要です。
生体情報
生体情報とは、指紋や静脈、顔、虹彩など、本人固有の身体情報のことです。
事前に登録されている本人の身体情報と一致しない限りは認証を突破できず、また生体情報は偽装や不正な取得が難しい点から、「知識情報」「所持情報」と比較して、とくに安全性が高いといえます。
ただし、指紋の採取など、物理的に生体情報が盗まれる事例も報告されているため、生体認証を設定しているからといって油断せず、複数の要素を掛け合わせた認証方法を導入することが推奨されます。
多要素認証（MFA）と「2要素認証」「2段階認証」の違い
多要素認証と似ている認証方法に「2要素認証」と「2段階認証」があります。
3つの認証方法の違いを解説します。
2要素認証と多要素認証の違い
「2要素認証」は多要素認証の一部であり、「知識情報」「所持情報」「生体情報」のうち、2種類を選んで認証をおこなう方法です。
多要素認証は3種類すべてを用いるケースもありますが、2要素認証の場合は、任意の2種類が選択されます。
2段階認証と多要素認証の違い
「2段階認証」とは、IDとパスワードを活用した知識情報による認証の後に、追加で認証をおこなう方法です。
前述の「2要素認証」は、必ず異なる2つ以上の要素を組み合わせて認証をおこなう必要があります。
一方で「2段階認証」の場合は、IDとパスワードで認証した後に、「秘密の質問」で認証をおこなうなど「知識情報＋知識情報」といった同一の要素を組み合わせることが可能です。
2段階認証も一定セキュリティの強化にはつながりますが、より高い安全性を確保するためには、複数の認証要素を掛け合わせる多要素認証や2要素認証のほうが効果的です。
多要素（MFA）認証の必要性
多要素認証の必要性が高まっている背景には、主に以下の2点が挙げられます。
- セキュリティの確保が年々困難になっているため
- クラウドサービスの普及が進んでいるため
それぞれ解説します。
セキュリティの確保が年々困難になっているため
認証を強化するためには、長く複雑なパスワードの設定が欠かせません。
しかし、IT技術の発展に伴い、さまざまなサービスがWeb上で提供されるようになった現在、個々人が管理しなければいけないパスワードの数は増えています。
その結果、長く複雑なパスワードをすべてのアカウントごとに設定・記憶するのは現実的ではなく、同じパスワードを使い回してしまうケースも少なくありません。
また、サイバー攻撃の中には、想定されるすべてのパスワードを総当たりで試行し、認証突破を試みる「ブルートフォース攻撃（総当たり攻撃）」があります。
長く複雑なパスワードは解読に時間はかかるものの、突破のリスクを完全に排除することはできません。
このような背景から、ワンタイムパスワードや生体認証などを組み合わせた「多要素認証」の導入で、セキュリティを強化する必要性が高まっています。
クラウドサービスの普及が進んでいるため
新型コロナウイルス感染症や働き方改革の影響で、リモートワークを導入する企業が増加し、これに伴い、クラウドサービスの利用も急速に拡大しました。
IDC（International Data Corporation）が2025年2月に公開した「国内パブリッククラウドサービス市場調予測」によれば、2024年の国内パブリッククラウドサービス市場は、前年比26.1％増の4兆1,423億円となっています。
出典：IDC｜国内パブリッククラウドサービス市場予測を発表（2025年2月20日）
クラウドサービスは業務の効率化を支援する一方で、社外とネットワークを共有する特性上、外部からの不正アクセスリスクが高まるという懸念もあります。
このようなリスクを低減するためにも、多要素認証の導入が求められています。
多要素認証（MFA）のメリット
多要素認証を導入することで、以下のようなメリットが期待できます。
- セキュリティ強化
- パスワード管理の負担軽減
- コンプライアンスの遵守
ひとつずつ解説します。
セキュリティ強化
多要素認証は複数の要素を組み合わせる認証方法のため、ID・パスワードのみで認証をおこなう方法と比較して、不正ログインのリスクを低減できます。
とくに指紋認証や顔認証といった生体認証を組み合わせている場合、攻撃者が認証を突破するのは難しいでしょう。
パスワード管理の負担軽減
ID・パスワードのみの認証では、セキュリティを強化するために、長く複雑なパスワードをサービスごとに設定したり、定期的にパスワードを更新したりする必要があります。
しかし、このようなパスワード管理の負担が増えると、パスワードの使いまわしが発生しやすくなり、かえってセキュリティリスクを高めてしまいます。
一方で多要素認証の場合は、生体情報や所持情報を組み合わせて認証できるため、パスワード管理の負担を軽減しつつ、高い安全性を確保できます。
コンプライアンスの遵守
金融機関などの業界によっては、多要素認証の導入が法的に義務付けられている場合があります。
また、国によってはコンプライアンス要件として多要素認証の導入が求められているケースも珍しくありません。
多要素認証を導入・運用することは、セキュリティポリシーの維持だけでなく、コンプライアンスの遵守にもつながります。
多要素認証（MFA）の活用例
多要素認証は以下のようなサービスで活用されていることが多いです。
- クラウドサービス
- ソーシャルメディア
- VPN
- オンラインショッピング
- オンラインバンキング
ここでは、上記の5つのサービスにおける多要素認証の活用例を紹介します。
クラウドサービス
近年、多くの企業が日々の業務にクラウドサービスを活用しています。
これらのサービスの認証方法は、知識情報によるものが一般的ですが、なかには多要素認証を採用するものも増えています。
たとえばWordやExcelなどを提供するMicorosoft 365や、サーバーやストレージを提供するAWSなどでは、多要素認証を設定してセキュリティを強化するための仕組みを提供しています。
ソーシャルメディア
一部のソーシャルメディアでも多要素認証は採用されています。
たとえば、X（旧Twitter）では、パスワードに加えて、「ショートメール（SMS）※」「認証アプリ」「セキュリティキー」などを組み合わせる「2要素認証」を採用しています。
SNSアカウントに不正ログインされると、アカウントに登録している情報の不正な閲覧やなりすましといった被害が懸念されるため、多要素認証の設定が推奨されます。
※現在利用できるのは有料ユーザーのみ
VPN
VPN（仮想専用通信網）サービスでも、多要素認証を活用する例が増えてきています。
リモートワークの普及で多くの企業がVPNを導入・構築するようになり、これと同時に、VPNを狙ったサイバー攻撃も増加傾向にあります。
VPN経由での不正アクセスや情報漏洩を防止するためには、従来のID・パスワードの入力に加えて、追加の認証要素を加えたVPNアクセスが求められます。
オンラインショッピング
オンラインショッピングのアカウントで、パスワードが流出し、不正ログインされると、身に覚えのない商品の購入や、カード・個人情報の窃取といった被害につながるリスクがあります。
このような事態を防ぐために、多くのECサイトでは多要素認証が導入されています。
たとえば大手ECサイトのAmazonでは、次の3つの方法が提供されています。
- Eメールアドレスまたは携帯電話番号に送信される6桁の認証パスコード
- Amazonモバイルアプリ
- アカウントに関する秘密の質問
オンラインバンキング
ATMでは「キャッシュカード＋暗証番号」による2要素認証が採用されていますが、オンラインバンキングでも同様に、多要素認証が活用されています。
ID・パスワードによる知識情報の認証に加え、支払い時にはワンタイムパスワードの入力を求めるなど、スマートフォンを用いた認証を組み合わせるのが、近年の一般的な方法です。
多要素認証の最適化に「LANSCOPE プロフェッショナルサービス」
「クラウドサービスの多要素認証」の最適化には、LANSCOPE プロフェッショナルサービスが提供する「クラウドセキュリティ診断」の利用がおすすめです。
本サービスは、CISベンチマークやJPCERT・IPAなどの発信する情報を常に収集し、診断ルールへ反映しているため、いつでも最新のセキュリティやルールに則った診断を受けることができます。
対応可能なクラウドサービスは多岐にわたり、幅広いお客様のクラウド設定に関する不安解消をサポートします。
▼対応可能なクラウドサービスの診断一覧
- Microsoft 365 セキュリティ診断
- Google Workspace セキュリティ診断
- Salesforce セキュリティ診断
- Amazon Web Services（AWS）セキュリティ診断
- Microsoft Azure セキュリティ診断
- Google Cloud Platfor （GCP）セキュリティ診断
- Zoom セキュリティ診断
- Box セキュリティ診断
- Slack セキュリティ診断
「クラウドサービスの設定が把握しきれない」「最適な認証設定がわからない」など、クラウドサービスの設定に関して不安がある企業・組織の方は、ぜひ LANSCOPE プロフェッショナルサービスが提供する「クラウドセキュリティ診断」の実施をご検討ください。
中小企業の情シス1,000人に聞いた
「クラウドサービスのセキュリティ対策」実態調査結果を発表！
急増中のクラウド経由の情報漏洩にどう対策している？クラウドサービスを利⽤している企業様の対策状況や課題を調査しました。
まとめ
本記事では「多要素認証」をテーマに、概要や必要性、メリットなどを解説しました。
本記事のまとめ
- 多要素認証とは、システムやサービスのログイン時に、知識情報（パスワードなど）、所持情報（スマートフォンなど）、生体情報（指紋など）のうち、2つ以上の要素を活用して認証をおこなうセキュリティ手法
- 多要素認証の必要性が高まっている背景には、「セキュリティの確保が年々困難になっていること」「クラウドサービスの普及は進んでいること」などが挙げられる
- 多要素認証を導入することで、「セキュリティ強化」「パスワード管理の負担軽減」「コンプライアンスの遵守」といったメリットが期待できる
クラウドサービスの業務利用が拡大している昨今、多要素認証の導入は欠かせないセキュリティ要件のひとつです。
ぜひ本記事も参考にしながら、「自社のクラウドサービスやVPN、SNS等の認証設定はどうなっているか」の確認や多要素認証の導入を進めてはいかがでしょうか。
また「多要素認証（MFA）」の設定を含め、クラウドサービスの知っておきたい設定ポイントについてまとめた、以下の資料もご活用ください。
おすすめ記事
