二段階認証のバックアップコードを新しく取得したとき、以前に印刷した紙やメモは捨ててよいのでしょうか。答えは一律ではありません。「再発行」と表示されても旧コードの扱いはサービスによって異なるため、操作名だけで判断しないことが大切です。
バックアップコードは、非常時にログインへ戻るための予備手段
バックアップコードは、認証アプリを入れた端末を失った場合や、旅行・回線変更などでSMSを受け取れない場合に使う、予備の認証手段です。多くのサービスでは、複数の短いコードが一組で発行され、1個を使うとそのコードだけが使えなくなります。
これはパスワードそのものではありません。ただし、通常はパスワードと組み合わせてログインを助ける重要な情報です。非常時のための控えとして放置するのではなく、復旧手段の一つとして管理します。
「再表示」「追加」「再発行」は同じ操作とは限らない
設定画面には、似た言葉が並ぶことがあります。しかし、実際の動作はサービスごとに異なります。主に考えられるのは、すでに未使用のコードを再び画面に表示する操作、新しいコードを追加で作る操作、古い一式を新しい一式へ置き換える操作です。
新しい一式の発行時に旧一式を無効にする設計はあります。コードが第三者に渡っていた場合に、古いコードを長く使える状態にしないためです。一方で、未使用分を再表示するだけの場合や、個別に使ったコードだけが消費される場合もあります。二段階認証の設定を変更したことをきっかけに、コード全体を失効させるサービスもあり得ます。
そのため、「再発行なら古いコードは必ず無効」「再表示なら同じコードが残る」とは決めつけられません。画面のボタン名だけでなく、直後に表示される説明や公式ヘルプで、旧コードが無効になる旨が書かれているかを確認します。
古い控えを処分する前に、確認したい3点
まず、対象アカウントの二段階認証設定を開き、バックアップコードの項目にある実際の表示を確認します。「再表示」「生成」「追加」「再発行」などの言葉と、旧コードの扱いに関する説明を記録します。
次に、新しいコードを取得した日付と対象サービスを控えます。旧コードが無効になったと確認できたなら、古い紙、メモ、ダウンロードしたファイル、スクリーンショット、印刷待ちのデータまで、保管場所ごとに見直します。古い控えだけを捨て、新しい控えの保存確認を忘れないようにします。
扱いが分からない場合は、古いコードを有効とも無効とも判断せず、公式の案内やサポート情報を確認します。有効か確かめるためにコードを1個試す方法は勧められません。サービスによっては失敗回数の制限があり、不審なログインとして通知される可能性もあるためです。
保管先は「見られにくさ」と「非常時に取り出せるか」で選ぶ
バックアップコードを、写真、メールの下書き、誰でも開けるクラウド書類、共有端末に無造作に残すのは避けます。同期先や共有設定によっては、想定より多くの人が見られることがあります。デジタルで保管するなら、端末の画面ロック、保管先の保護、共有相手と同期先を確認します。パスワードそのものとは別の場所に置く考え方も役立ちます。
紙での保管も、常に不適切とは限りません。第三者が容易に見られず、紛失もしにくい場所なら、合理的な選択になり得ます。ただし、認証アプリしか入っていない同じスマートフォンの中だけに保存すると、その端末の紛失や故障時に役立たないことがあります。
共有の保管庫や共有端末では、コードを見られる相手が増えます。仕事用アカウントでは、組織の管理者が再発行を制限していたり、別の復旧手順を定めていたりすることもあります。個人の判断でコードを作り直す前に、社内の手順を確認します。
紛失や盗み見が疑われる場合は、整理と分けて対応する
単に保管場所を整理したいだけなら、旧コードの扱いを確認して控えを整えれば足ります。一方、コードの紛失、誤送信、盗み見、端末盗難が疑われる場合は、当該サービスで新しいコードを発行できるか確認します。あわせて、登録済みの認証方法、ログイン中の端末、復旧用メールアドレスや電話番号も見直します。
最後に、認証アプリが現在の端末で使えるか、登録した電話番号やメールアドレスが現役か、パスキーなど別の利用可能な手段があるかを点検します。非常時にどの手段をどの順番で使うかを決めておくと、バックアップコードだけに頼らない復旧準備になります。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。