多要素認証（MFA）とは？パスワードだけに頼らないログイン対策
パスワードを長く複雑にしていても、フィッシング、使い回し、漏えいした認証情報の悪用によって、メールやクラウドサービスのアカウントが侵害されることがあります。
そこで重要になるのが、多要素認証（MFA：Multi-Factor Authentication）です。これは、パスワードだけでなく、手元の端末や生体認証など、別の種類の確認を組み合わせてログインする仕組みです。
ただし、「MFAを有効にすれば何でも同じ」ではありません。認証コードを偽サイトへ入力させるフィッシングや、スマートフォンへの承認通知を何度も送る手口には、従来型のMFAだけでは対応しきれない場合があります。
多要素認証とは
認証には、大きく次の3種類があります。
| 要素 | 例 |
|---|---|
| 知っているもの | パスワード、PIN |
| 持っているもの | 認証アプリ、セキュリティキー、登録済みの端末 |
| 本人自身の特徴 | 指紋、顔などの生体認証 |
異なる種類を二つ以上組み合わせるものが多要素認証です。たとえば、パスワードを入力したあとに認証アプリのコードを求める方式は、「知っているもの」と「持っているもの」を組み合わせています。
同じ種類を重ねるだけでは、多要素認証にはなりません。例えば、パスワードを二回入力する、二つの秘密の質問に答える、といった方法はどちらも「知っているもの」です。
なぜメールアカウントで優先すべきなのか
メールは、パスワード再設定の連絡先になっていることが多く、クラウドストレージ、電子契約、会計、採用、顧客管理などの入口にもなります。
メールアカウントを奪われると、過去のやりとりを読まれるだけではありません。攻撃者が本人になりすまして取引先へ連絡したり、受信した再設定メールを使って別のサービスへ侵入したりするおそれがあります。
まずは、次の順番で多要素認証を必須化するのが実務的です。
- 管理者アカウント
- メール、クラウドストレージ、VPNなど社外から使う入口
- 経理、購買、経営層、品質・薬事など重要情報を扱う利用者
- 全利用者
MFAの方式には違いがある
SMS・メールで届く認証コード
導入しやすく、パスワードだけより安全です。一方で、偽のログイン画面にコードを入力させられたり、電話番号の乗っ取りなどが起きたりするリスクがあります。利用できる方式がこれだけの場合でも、まず有効化する価値はありますが、最終形とは考えない方がよいでしょう。
認証アプリのコード・承認通知
認証アプリで一定時間ごとに変わるコードを使う方式や、スマートフォンへ届く通知を承認する方式です。SMSより管理しやすい場合がありますが、コードを偽サイトへ入力させる攻撃や、通知を連打して誤って承認させる攻撃には注意が必要です。
承認通知を使う場合は、ログイン画面に表示された番号とスマートフォン側の番号を照合する「番号照合」が利用できるか、確認しましょう。予期しない承認通知は、決して承認せず、管理者へ報告するルールも必要です。
パスキー・FIDO2セキュリティキー
パスキーやFIDO2セキュリティキーは、端末の生体認証やPIN、物理キーを用いてログインする方式です。Webサイトのドメインと結び付けて認証するため、偽サイトへ誘導されても正規サイト用の認証情報を渡しにくいという特徴があります。
NISTは、認証コードを手入力する方式をフィッシング耐性があるものとは見なしていません。WebAuthn／FIDO2は、正規の接続先と結び付けて認証する方式の例として説明されています。
すべてのサービスがパスキーに対応しているわけではないため、すぐに全社統一できないこともあります。その場合も、少なくとも管理者や重要アカウントから、対応状況を確認して段階的に進めるのがよいでしょう。
導入時に見落としやすい運用
多要素認証は、設定画面で有効にするだけでは終わりません。
- 例外を把握する：未登録者、共有アカウント、テスト用アカウント、サービスアカウントが対象外になっていないか確認します。
- 古い認証方式を止める：古いメールソフト向けの認証やアプリパスワードが残っていると、MFAを回避する入口になる場合があります。
- 復旧手順を決める：スマートフォンの紛失・機種変更時に、誰がどのように本人確認し、認証方法を再登録するかを決めます。退職者の個人電話番号やメールアドレスを復旧先に残さないことも重要です。
- 予備手段を管理する：管理者が認証手段を失った場合に備え、利用条件を定めた緊急用アカウントや予備の認証手段を用意します。普段使いにはしません。
- ログを確認する：拒否された承認通知、短時間の連続ログイン失敗、通常と異なる国・端末からのログインを確認できるようにします。
認証コードを入力してしまった場合
偽サイトへパスワードや認証コードを入力してしまった場合は、パスワード変更だけで終わらせないことが重要です。
- 直ちに情報システム担当者または決められた窓口へ連絡する
- パスワードを変更し、既存のログイン状態を失効させる
- メールの自動転送、受信ルール、外部アプリ連携、追加された認証手段を確認する
- 同じパスワードを使っている他サービスも確認する
早く報告すれば、被害を小さくできる可能性があります。個人の責任を問うよりも、すぐに共有できる運用を作ることが大切です。
5分セルフチェック
- 管理者アカウントを含め、全利用者に多要素認証を必須化している
- メール、VPN、クラウドストレージなど外部から使う重要サービスを把握している
- MFA未登録者・例外アカウントを定期的に確認している
- 古い認証方式やアプリパスワードを必要最小限にしている
- 管理者・重要アカウントには、パスキーやFIDO2などフィッシングに強い方式を検討している
- 認証端末の紛失・機種変更・退職時の手順が決まっている
- 不審な承認通知や認証コード入力を、すぐ報告できる
AIGISのメールセキュリティ診断では
AIGISでは、単に「MFAがあるか」だけでなく、次の点を確認します。
- 全利用者、管理者、共有・テスト・サービスアカウントを含む適用範囲
- SMS、認証アプリ、パスキー、セキュリティキーなど認証方式の強さ
- 旧式認証、アプリパスワード、例外設定の有無
- 不審なログインや承認通知の検知・通報
- 端末紛失・退職・認証情報入力後のセッション失効と復旧手順
多要素認証は、パスワードが漏れてもすぐに入られない状態を作るための基本です。 その上で、重要アカウントからフィッシングに強い方式へ移行し、例外や復旧手順まで管理することが、実際の被害を減らします。