結論から言うと、旧スマホの認証アプリを消すだけでは、二段階認証が新スマホへ引き継がれたとは確認できません。確認すべきなのは、アプリを入れたかではなく、各サービスで使う認証情報を新スマホで使える状態にできたかです。
認証アプリは電話番号ではなく「コードを作るための情報」を使う
認証アプリで広く使われる方式の一つに、時間に応じて短時間だけ有効なコードを表示する仕組みがあります。TOTPと呼ばれるこの方式では、サービスの登録時に共有された秘密鍵と現在時刻を使って、通常は一定間隔で変わるコードを計算します。
これは、電話番号やスマホ固有の情報からコードを作る仕組みではありません。そのため、電話番号を新しいスマホへ移しても、認証アプリのコードが自動で移るとは限りません。以前から使っていたアプリを新端末に入れ直しただけでも、以前のコードが戻るとは限りません。
SMS認証では、電話番号で受け取るメッセージが認証に使われます。一方、認証アプリでは、アプリ内に保存・復元・転送された認証情報が重要です。SMSの受信が難しい場面や番号変更の影響を補う選択肢として認証アプリが使われていますが、機種変更時には別の確認が必要になります。
「アプリを消す」「サービスの登録を変える」「バックアップコードを使う」は別の操作
混同しやすい操作は三つあります。第一に、旧端末から新端末へ認証アプリ内の認証情報を転送、同期、または復元する操作です。第二に、サービスのセキュリティ設定で認証アプリを追加、確認、置換、削除する操作です。第三に、認証アプリを使えないときにバックアップコードでログインする操作です。
認証アプリに移行機能があれば、旧端末から新端末へ情報を移せる場合があります。ただし、対応する範囲、同期の有無、本人確認の方法、暗号化の扱いはアプリによって異なります。同じアプリ名でも、OS、設定、契約形態、更新状況によって使える機能が異なることがあります。移行方法は利用中の認証アプリの公式案内で確認しましょう。
サービス側の扱いも一様ではありません。新しい認証アプリのコードを確認してから旧登録を外せるサービスもあれば、既存コード、パスワード、別の本人確認を求めるサービスもあります。認証アプリの画面から項目を消しても、サービス側の認証設定まで変わるとは限りません。
新旧のスマホで同じコードが出ることはある
旧端末と新端末に同じサービスの有効なコードが表示されることがあります。これは、同じ秘密鍵が両方の端末に存在している場合に起こり得ます。直ちに不正利用を意味するものではありませんが、旧端末を紛失したり譲渡したりすれば、その端末を手にした人もコードを見られるおそれがあります。
反対に、新端末でコードが出たからといって、旧端末の情報が不要になったと即断するのも早計です。重要なサービスごとに、新端末のコードで実際にログインできるか、またはサービス側で認証方法の追加・確認ができるかを確かめてください。確認を終えるまでは、旧端末の認証アプリを消さず、手元で使える状態にしておくほうが実用的です。
QRコードや秘密鍵は、認証コードを作るための重要な情報です。画面共有、スクリーンショットの送信、第三者への転送は避けます。移行に必要な場合も、公式の手順以外で安易に扱わないことが大切です。
バックアップコードは「認証アプリのコピー」ではない
バックアップコードは、多くの場合、認証アプリを使えない緊急時にログインするための代替コードです。一回だけ使える形式や、使える回数が限られる形式があります。新スマホへ認証アプリの登録を複製する機能ではありません。
サービスで新しいバックアップコードを発行した場合、古いコードが使えなくなるかどうかはサービスごとに異なります。発行後は、現在有効なものかをサービスの案内で確認し、端末とは別の安全な場所に保管します。認証アプリとバックアップコードを同じスマホだけに置くと、故障や紛失の際に同時に使えなくなる可能性があります。
機種変更で進める確認順
まず、旧端末を手元で使える状態にしたまま、新端末へ認証アプリを導入します。次に、メール、パスワード管理、金融・決済、通信、仕事・学校、SNSなど、重要なサービスを洗い出します。認証アプリの公式手順に従い、必要な認証情報を新端末へ移します。
その後、サービスごとに新端末のコードでログインできるかを確認します。あわせて、セキュリティ設定で、認証アプリ、SMS、パスキー、セキュリティキー、復旧用メールアドレスや電話番号など、登録済みのログイン・復旧手段を見直します。不要なものや身に覚えのないものは、サービスの公式案内に従って整理します。
重要サービスで新端末の利用と復旧手段を確認してから、不要になった旧端末側の認証登録をサービス側で更新または削除します。そのうえで、端末のアカウント削除、初期化、譲渡・廃棄の手順へ進みます。初期化だけでサービス側の認証登録まで必ず消えるわけではないため、端末の処分とサービス設定は分けて確認します。
旧端末が使えない場合は、残っている手段から確認する
すでに旧端末を紛失、故障、初期化している場合は、旧端末のコードを前提に操作しません。ログイン済みの別端末、バックアップコード、登録済みの別の認証方法、公式のアカウント復旧手順を確認します。仕事用・学校用のアカウントは、組織の管理者や定められた復旧手順に従う必要があります。
見知らぬ端末でコードが表示される、本人が追加していない認証方法がある、バックアップコードが見つからないといった場合は、単なる機種変更として処理せず、サービスのセキュリティ設定と公式サポートを確認しましょう。大切なのは、認証アプリ、サービス側の登録、復旧手段を別々に点検してから旧端末を手放すことです。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。