新しいスマホで認証アプリを使えるようになっても、古いスマホのワンタイムコードが自動で無効になるとは限りません。古い端末を売却、譲渡、修理に出す前には、「認証アプリ内の情報」と「ログイン先サービスの設定」を別々に確認することが大切です。
移行後も古いスマホが同じコードを出すことがある理由
認証アプリで広く使われる仕組みに、時間ベースのワンタイムパスワード（TOTP）があります。これは、サービスと認証アプリが共通して持つ「秘密鍵」と現在時刻をもとに、短時間だけ使えるコードを計算する方式です。
サービスがログインのたびにコードをスマホへ送っているわけではありません。二段階認証を登録したときに、サービスから認証アプリへ秘密鍵が渡されます。認証アプリはその秘密鍵を端末内に保存し、時刻に応じてコードを作ります。サービス側も同じ秘密鍵を基準に、入力されたコードを照合します。
そのため、端末間転送、暗号化バックアップ、アカウント同期などで秘密鍵が新しいスマホへ複製された場合、新旧の端末が同じ時刻に同じコード、またはサービスが照合できるコードを表示することがあります。これは「ワンタイムコードだから、片方だけでしか使えない」という意味ではありません。コードの有効時間が短いことと、秘密鍵を持つ端末が何台あるかは別の問題です。
「アプリの移行」と「サービス側の登録」は別の操作
新しいスマホへ認証アプリを入れ、項目が表示されたとしても、ログイン先サービスの二段階認証が新端末専用に切り替わったとは限りません。アプリの移行は、認証アプリが保持する秘密鍵をコピーまたは復元する操作です。一方、サービス側の設定変更は、サービスがどの秘密鍵や認証方法を受け付けるかを変える操作です。
サービスで二段階認証を解除してから再設定し、新しいQRコードを読み取った場合は、新しい秘密鍵が登録され、以前の秘密鍵が使えなくなることがあります。ただし、以前の登録を自動で無効にするか、複数の認証方法を並行して登録できるかは、サービスごとに異なります。
逆に、古いスマホでコードが表示されても、そのコードが必ずログインに通るとは言えません。すでにサービス側で再登録して古い秘密鍵を無効にしている場合などです。表示の有無だけで判断せず、サービス側が何を登録中としているかを確認します。
古い端末のアプリ項目を消しても、二段階認証は解除されない
古いスマホの認証アプリから項目を削除する操作は、通常、その端末上の認証情報を消す操作です。サービス側の二段階認証そのものを解除する操作とは別です。削除前に新しいスマホで使えることを確かめないと、自分がコードを出せなくなるおそれがあります。
また、認証アプリがクラウド同期を使う場合、ある端末での削除が同期先やほかの端末にどう反映されるかは、製品の設定や移行方法によって異なります。「削除したから、ほかの場所のコピーも消えた」とは決めつけないほうがよいでしょう。
移行直後に確認する順番
まず、古いスマホを消去する前に、新しいスマホの認証アプリで各サービスの項目を確認します。重要なサービスでは、可能であれば実際にログインし、表示されたコードで認証できることを一件ずつ確かめます。ログイン中の画面だけを見るより、コードを求められる場面で確認するほうが確実です。
次に、各サービスのセキュリティ設定を開きます。登録されている二段階認証の方法、認証アプリの変更や再設定の手順、バックアップコード、別のログイン方法を確認します。バックアップコードを再発行する場合、古いコードがどう扱われるかはサービスごとに異なるため、その画面や案内で確認してから保管します。
古い端末を自分で安全に保管し続けるなら、新旧の端末をしばらく使える状態にして、移行漏れを見つける方法もあります。一方で、売却、譲渡、廃棄、修理に出す予定がある場合や、端末の画面ロックに不安がある場合は、重要なサービスから二段階認証を再登録し、以前の秘密鍵を無効にできるか確認する判断が役立ちます。
端末の行き先に応じて最後の処理を選ぶ
新しい認証情報でログインでき、必要な復旧手段も確保できたら、古い端末の認証アプリ内の項目を削除します。その後、端末上のアカウントからサインアウトし、必要なデータを確認したうえで端末を初期化します。初期化だけでサービス側の二段階認証の登録状態まで変わるわけではないため、先にサービス設定を確認する順番が重要です。
なお、承認通知、SMS、メール、ハードウェアセキュリティキー、パスキーなどは、TOTPと異なる仕組みです。同じ考え方をそのまま当てはめず、そのサービスで登録済みの認証方法と変更手順を確認してください。移行後に確認したいのは、単に新端末でコードが出るかではなく、どの端末に秘密情報が残り、サービスがどの認証情報を受け付けるかです。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。