二段階認証を設定したのに、認証アプリを入れたスマホを紛失、故障、初期化するとログインできなくなることがあります。これは異常ではなく、追加認証が「その端末を持つ人」を確かめる仕組みでもあるためです。その非常時に使う選択肢の一つが、バックアップコードです。
スマホを失うと、本人も追加認証を通れなくなる
二段階認証は、パスワードに加えて、認証アプリが表示する確認コード、端末への通知、セキュリティキーなどを求める仕組みです。パスワードだけを知る第三者がログインしにくくなる一方、正規の利用者も追加認証の手段を出せなければ先へ進めません。
そこで多くのサービスは、設定時などにバックアップコードを表示します。これは通常の二段階認証が使えないときに入力する非常用のログイン手段です。複数のコードが発行され、一つずつ使い切る形式もあります。ただし、発行数、再表示や再発行の可否、使用後や再発行後の扱いはサービスごとに異なります。
バックアップコードは、万能の本人確認書類ではありません。パスワードと組み合わせて使われることが多く、漏れれば第三者のログインに使われるおそれがある認証の秘密情報です。パスワードと同じように、安易に共有したり、見える場所へ置いたりしないことが必要です。
保管先は「共倒れしないか」で選ぶ
考えるべきなのは、盗まれにくさだけではありません。スマホが手元にない日に、そのコードへ本当に到達できるかが重要です。保管先は、次の三条件で点検すると判断しやすくなります。他人が容易に見られないこと。スマホの紛失・故障時にも取り出せること。自分が保管場所を思い出せることです。
スクリーンショットやスマホ内のメモは、表示をすぐ確認できる点では便利です。しかし、認証アプリと同じスマホだけに置くと、紛失、故障、初期化で一緒に失う可能性があります。写真のクラウド同期を使っていても、同期先へログインするために同じスマホの認証が必要なら、共倒れになることがあります。端末内の画像を残すなら、唯一の保管先にはしないほうがよいでしょう。
パスワードマネージャーの各アカウントの記録に、バックアップコードを保存する方法もあります。別の端末から取り出せる可能性があることが利点です。一方で、マネージャー自体にログインできなくなった場合を考える必要があります。固有で強いマスターパスワードを使い、マネージャーの二段階認証や復旧方法を確認したうえで、対象サービスのコードと同じ一点だけに依存しないようにします。
紙の控えを自宅の施錠できる場所に保管する方法は、ネットワーク経由で画像が広がる心配を減らせます。ただし、机の上など見える場所に置く、財布に入れて持ち歩く、紙を撮影して画像を残すと、リスクは変わります。同居人に見られる事情がある人、渡航中や災害時に自宅へ戻れない人にとっては、紙だけでは取り出しにくい場合もあります。
一つに決めず、性質の違う経路を組み合わせる
一般的には、保護設定を確認したパスワードマネージャーと、自宅の施錠保管に置く紙の控えのように、性質の異なる二つの経路を検討する方法があります。片方が使えない事態でも、もう片方に到達できる可能性を残すためです。ただし、共同利用の家族アカウントや、保管場所の秘密性が特に重要な環境では、誰が見られるかを優先して個別に決めます。
会社や学校のアカウントは、組織の管理者や定められた復旧手順が優先されることがあります。バックアップコードを個人の判断で共有場所に保存してよいとは限りません。金融、行政、医療など重要なサービスでも、登録メール、復旧用電話番号、本人確認、ログイン済み端末など、コード以外の条件が復旧に影響する場合があります。
コードを使った後と、再発行した後に確認すること
バックアップコードは、保管した時点で終わりではありません。使い切りのコードなら、使用済みのものは次回に使えません。紛失した可能性があるとき、第三者に見られた心配があるとき、再発行したときは、サービスの設定画面でコードの有効状態を確認します。新しいコードを発行した場合に古いコードがどう扱われるかも、サービスによって異なります。必要なら、保管した控えを新しい内容へ更新します。
今日できる点検は「別端末で届くか」
まず、利用頻度または重要度の高いアカウントから、二段階認証の設定画面でバックアップコードの有無を確認します。コードがあれば、認証アプリと同じスマホの写真、メモ、ダウンロードフォルダだけに置いていないかを見直します。
次に、スマホを失った場面を想定し、別の端末から保管先へ到達できるかを確かめます。この確認では、実際のコードをサービスへ入力する必要はありません。保管先を開けること、保管場所を思い出せることを確認すれば十分です。スマホを失った場合は、端末の探索や遠隔ロックなどの対応と並行して、アカウントの保護と復旧手順を落ち着いて確認しましょう。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。