身に覚えのない二段階認証の通知が何度も届くと、「拒否」を押し続ければよいのでしょうか。承認しなければ、そのログイン要求は通常は通りません。ただし、通知が届いた事実は、誰かがログインを試している可能性を示します。通知を止めることだけを目的にせず、アカウントの状態を確かめるきっかけにしましょう。
連続する通知は、うっかり承認を狙うことがある
スマホに届く通知をタップしてログインを認める方式は、確認コードを入力せずに使えるため便利です。一方で、攻撃者がパスワードを知っている、またはログインを試せる状態にある場合、同じ人に承認通知を繰り返し送れることがあります。
仕事中や就寝中に何度も通知が出ると、「止めたい」「自分が始めた操作だったかもしれない」と感じ、内容を見ずに承認してしまうことがあります。このように利用者の疲れや混乱を利用して誤承認を狙う手口は、認証疲れを狙う攻撃、MFA疲労攻撃などと呼ばれます。MFAは多要素認証のことで、パスワードに加えてスマホなどでも確認する仕組みを指します。
これは、通知型の二段階認証が役に立たないという意味ではありません。パスワードだけでログインするより、追加の確認を置くことには意味があります。ただ、「承認するか」を利用者の注意力だけで判断する形は、連続通知による焦りや疲れの影響を受けやすい面があります。
「拒否」は必要だが、それだけで状況確認は終わらない
自分でログインを始めていないなら、承認はしません。サービスに拒否や報告の選択肢があれば、画面の表示を確認したうえで利用を検討します。通知を消すために承認するのは避けましょう。
ただし、拒否したからといって、何も確認しなくてよいとは限りません。誰かが古いパスワードや使い回されたパスワードで試している可能性があります。反対に、通知が一度来ただけで、アカウントがすでに乗っ取られたとも断定できません。古い端末での再認証、入力ミス、サービス側の認証状態の更新などが関係する場合もあります。
自分でログインを始めた直後に通知が来た場合も、すぐ承認するのではなく、サービス名、場所や端末、時刻、番号照合なら表示された数字が、自分の操作と合っているかを見ます。記憶が曖昧なら、いったん拒否して公式サイトや公式アプリからログインをやり直すほうが判断しやすくなります。
不審な通知が来たときに確認する順番
まず、通知内のリンクは開かず、普段使うブックマークや公式アプリから対象のアカウントを開きます。検索を使う場合も、広告や似た名前のサイトではなく、公式サイトであることを慎重に確かめます。
次に、ログイン履歴、現在ログイン中の端末、最近のセキュリティ通知を確認します。見覚えのない端末やセッションがあれば、サービスの機能でサインアウトや削除を行えるか確認します。復旧用メールアドレス、電話番号、登録済みの認証手段も、見知らぬ内容に変わっていないか確認対象です。
パスワードが知られた可能性を否定できないときは、そのサービス専用の長い新しいパスワードへ変更します。同じパスワードを他でも使っているなら、メール、金融、買い物など重要なアカウントから別々のパスワードに変えます。見覚えのない送信メール、購入、設定変更がある場合は、メール転送や連携アプリも短く確認し、必要に応じて公式サポートへ相談します。
すでに誤って承認した場合は、通知の設定だけを変えて終わりにしません。信頼できる端末から公式の画面を開き、パスワード、ログイン中の端末、復旧情報、認証手段を優先して確認します。勤務先や学校のアカウントでは、変更前に組織のIT窓口やセキュリティ窓口の手順に従う必要がある場合があります。
承認方法は「自分の操作との一致」を確かめやすいものへ
利用中のサービスによっては、単純に承認・拒否を選ぶ通知以外の方式を選べます。例えば、ログイン画面に出た数字を認証アプリ側で選ぶ、または入力する番号照合は、通知をただ押すよりも、自分がログイン操作を始めたかを確認する一手間になります。
認証アプリで一定時間ごとに表示されるコードを入力する方法、パスキー、セキュリティキーを利用できるサービスもあります。パスキーやセキュリティキーには、偽サイトへの認証を起こしにくくする性質を持つ実装がありますが、利用できる条件や復旧の方法はサービスごとに異なります。方式を変える前に、予備の認証手段と復旧手段を確認しておくことが重要です。
どの方式でも、突然の電話、SMS、チャットで「承認して」「表示された番号を教えて」と求められても応じません。認証コードや番号照合の数字は、ログイン画面で自分が使う情報であり、他人に渡すものではありません。
通知への判断を一つの習慣にする
今後の基準はシンプルです。認証通知は、「いま自分が、そのサービスへのログインを始めた」という記憶と画面表示が一致するときだけ承認します。一致しない通知は承認せず、可能なら拒否または報告を選び、公式の画面からアカウントを確認します。二段階認証をオフにしてパスワードだけへ戻すのではなく、誤承認しにくい承認方法を選べないか確かめることが、日常的な備えになります。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。