二段階認証のバックアップコードを新しく発行したら、前に保存したコードは捨ててよいのでしょうか。結論からいうと、古いコードが使えるかどうかはサービスごとの仕様です。新しいセットの発行で古いセット全体を無効にするサービスは多くありますが、推測だけで処分せず、設定画面や公式案内で確認することが大切です。
バックアップコードは「最後の入口」になり得る情報
バックアップコードは、認証アプリの確認コード、SMS、セキュリティキーなどを使えないときに、アカウントへ入るための予備の認証情報です。端末の紛失、機種変更の失敗、電話番号の変更、通信できない状況などに備えて用意されます。
複数の英数字コードがまとめて表示され、各コードを原則として一度だけ使う方式が一般的です。ただし、コードの数、使用後の表示、再発行時の扱いは一律ではありません。
バックアップコードは単なるメモではありません。通常はパスワードと組み合わせてログインに使うため、第三者がコードを得て、さらに別のログイン条件も満たした場合には、アカウントに入る手がかりになり得ます。復旧用の秘密情報として扱いましょう。
再発行で古いコードが無効になるとは限らない
サービス側が新しいバックアップコードのセットを作る際、以前のセットをまとめて失効させることがあります。古いコードが残っていると、紛失した紙や画像から使われる余地が続くためです。
一方で、「再発行」ではなく未使用の残りを表示するだけの画面もあります。追加の復旧方法を並行して登録できる場合や、個別のコードだけを無効にできる場合もあります。仕事用・学校用アカウントでは、組織の管理者が二段階認証を管理し、利用者自身ではコードを発行できないこともあります。
確認したいのは、次の四点です。二段階認証の設定画面で、バックアップコードがあるか、いつ発行したか、残数が表示されるか、新しいセットの発行で旧セットが無効になるかを見ます。発行時の注意表示や公式ヘルプも確認対象です。
新しいセットを発行した後の整理方法
新規発行が必要なら、ログインできていて、認証アプリやSMSなど通常の認証手段も使える平時に行うと確認しやすくなります。画面に表示されたコードを確実に保存したことを確認してから、画面を閉じましょう。
新しいセットの発行で旧セットが無効になると公式表示で確認できた場合は、新しいコードだけを保管対象として整理します。古い紙は、文字が読めないように処分します。端末に残した画像、ダウンロードファイル、メールの下書きなども見直します。ただし、削除したデータがクラウド同期やゴミ箱に残ることがあるため、保存先ごとの扱いも確認が必要です。
反対に、旧セットの扱いを確認できない場合は、「もう使えないはず」と決めつけないほうが安全です。まず公式の設定画面や案内で仕様を確かめます。判断できなければ、古いコードも秘密情報として見られない状態に置き、必要に応じて公式のサポート窓口や管理者の手順を確認します。
保管場所は「見られにくさ」と「自分が戻れるか」で考える
スクリーンショットを写真アプリに置く、共有PCのダウンロードフォルダに残す、誰でも開けるメモに貼る方法は、意図せず見られる範囲が広がることがあります。家庭で共有している端末、共有アルバム、自動バックアップされるメモ、プリンターや複合機の履歴も、確認したい場所です。
保管先は、第三者が容易に見られず、自分がスマートフォンを失ったときにも到達できる場所を選びます。たとえば、適切に保護したパスワードマネージャーの安全なメモや、施錠して保管する紙が候補になります。どちらが常に優れているとはいえません。画面ロック、共有設定、同期の範囲、物理的な保管状況で変わります。
特に避けたいのは、パスワード、バックアップコード、認証アプリを復旧するための情報を、無保護な一か所へまとめることです。保管物にはサービス名と発行日または確認日を記し、新旧のセットが混ざらないようにします。コードそのものを通知や共有メッセージに貼らないことも基本です。
コードを一つ使った後と、不審な通知が来たとき
コードを一つ使った場合、残りも使えるのか、画面に残数が出るのかはサービスによって異なります。残りを憶測で判断せず、設定画面で確認します。必要なら新しいセットを発行し、保管内容を更新します。
身に覚えのないログイン、二段階認証設定の変更、バックアップコードの表示や再発行に関する通知があった場合は、コードの再発行だけで済ませないほうがよい場合があります。公式のアカウント保護・復旧手順に従い、パスワード、登録メールアドレス、復旧先、ログイン中の端末、二段階認証手段をまとめて確認します。
バックアップコードは、使わないままでも管理が必要な復旧経路です。重要なアカウントごとに、古いセットがどう扱われるかを公式表示で確認し、新旧を区別して保管するところから始めましょう。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。