二段階認証を有効にしていれば、パスワードが漏れても心配はないのでしょうか。結論からいうと、盗まれたパスワードだけで新たにログインされる危険は大きく減らせます。一方で、アカウントに入られる入口はパスワードだけではありません。守れる範囲を三つに分けて確認すると、次に点検すべき場所が見えてきます。
二段階認証が主に止めるのは「パスワードだけ」の新規ログイン
パスワードは、本人だけが知っていることを前提にした認証情報です。しかし、使い回し先から漏れる、推測される、偽サイトに入力してしまうといった理由で、第三者に渡ることがあります。
二段階認証は、パスワードに加えて、認証アプリに表示されるコード、端末への確認通知、セキュリティキーなどを求める仕組みです。第三者がパスワードを知っていても、追加確認を通れなければログインしにくくなります。このため、利用できる重要なサービスでは有効にする価値が高い対策です。
ただし、二段階認証は多くの場合、新しい端末やブラウザからログインするときの確認です。アカウントに関わるすべての経路を一律に閉じるものではありません。
入口1：偽サイトにパスワードと認証コードを渡してしまう
本物に似せたログイン画面へ、パスワードに続いて認証アプリのコードまで入力させるフィッシングがあります。コードは短時間しか使えないことや、一度しか使えないことがありますが、それだけでは安心できません。攻撃者が同じ時間帯に本物のサービスへログインを試み、入力されたコードを中継する場合があるためです。
認証アプリ、端末上の確認、セキュリティキー、パスキーなどは、SMSだけに頼る場合よりフィッシングへの耐性を高められることがあります。ただし、効果はサービスの実装と使い方によります。方式の名前だけで判断せず、承認画面やコードの入力先を確認することが重要です。
ログインはメールや広告内のリンクから始めず、公式アプリ、保存済みのブックマーク、または自分で入力した公式URLから開く習慣が役立ちます。突然届いた承認通知は、内容を確認せずに許可しないようにします。
入口2：すでにログイン済みの状態が使われる
ログインに成功したブラウザやアプリには、次回以降の利用を続けるためのセッション情報が保存されます。これは「ログイン済みの状態」を示す情報です。端末の盗難、悪意あるソフトウェア、第三者に端末のロックを解除させたことなどが関係すると、この状態が悪用される可能性があります。
この場合、新しいログインではないため、二段階認証の確認が表示されないことがあります。「認証の通知が来ていないから、アカウント内も安全」とは限りません。
重要なアカウントでは、セキュリティ画面にログイン中の端末、セッション、最近のログイン履歴を表示できるか確認しましょう。心当たりのない端末があれば、サービスが用意するログアウト機能を使います。表示項目や遠隔ログアウトの可否はサービスごとに異なります。
入口3：メール・電話番号・バックアップコードなどの復旧手段
パスワードを忘れたときのために、サービスは復旧用メールアドレス、電話番号、本人確認、バックアップコードなどを用意していることがあります。復旧手段が第三者に使われると、パスワードや認証設定を変更されるおそれがあります。
特にメールアカウントは、多くのサービスで再設定メールの受信先になります。個別のサービスだけでなく、メールのパスワード、二段階認証、復旧先も確認対象です。SMSは利用不能時の代替として便利ですが、電話番号の再発行や転送設定に関わる注意点があります。可能なら、SMSだけに依存しない方法も検討します。
バックアップコードは、認証手段を失ったときに使える重要な情報です。メール本文や誰でも見られる端末のメモに無造作に置かず、自分が必要なときに確実に取り出せる保管方法を選びます。古い復旧用メールアドレス、使わない電話番号、手放した端末が登録されたままになっていないかも見直しましょう。
漏えいが疑われるときに行う順番
パスワードが漏れた可能性がある場合、二段階認証を設定しているからといって放置はできません。まず、普段使う端末から公式の画面を開き、パスワードを変更します。同じパスワードを使っている別のサービスがあれば、そちらも別々のパスワードに変えます。
続いて、ログイン中の端末やセッションを確認し、不明なものをログアウトさせます。復旧用メールアドレス、電話番号、登録済みの認証方法、信頼済み端末も見直します。不審な設定変更通知、見覚えのないセッション、承認していない認証通知があるときは、メール内のリンクではなく公式アプリや公式サイトから各社の案内を確認します。
二段階認証は無意味ではありません。パスワード単独の悪用を防ぎやすくする、実用的な防御です。その効果を生かすには、フィッシングを避けること、ログイン済み端末を把握すること、復旧手段を守ることを、同じアカウント保護の一部として扱うことが大切です。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。