「二段階認証」と「二要素認証」はちがう:パスワードのあとに「秘密の質問」なら二段階でも一要素。「知っていること」「持っているもの」「本人自身の一部」を組み合わせるのが二要素。流出を知らせるメールの便乗フィッシングにも注意【NISC ハンドブック】
ログインのときに2回確認があるから安全、と思っていませんか。内閣サイバーセキュリティセンター(NISC)の「インターネットの安全・安心ハンドブック」によると、二段階認証は認証を二段階に分けるだけで、使う要素とは関係がありません。パスワード(知っていること)のあとに秘密の質問(これも知っていること)なら、二段階でも一要素です。安全性を高めるのは、知っていること、持っているもの(スマホなど)、本人自身の一部(指紋など)を組み合わせる二要素以上の多要素認証。ただし、それでも絶対安全とはいえません。パスワードの定期変更は基本的に不要で、流出したときは速やかに変更、その通知メールを装ったフィッシングにも注意を、としています。
プレ男パスワードのあとに秘密の質問も聞かれるから、二段階認証で安全だよね。
メル美政府のハンドブックだと、それは「二段階」だけど「一要素」なんだって。
こんにちは、Dr. Taro です。 今回は二段階認証と二要素認証のちがいです。内閣サイバーセキュリティセンター(NISC)の「インターネットの安全・安心ハンドブック」(一般利用者向け抜粋版、Ver.5.10、2025年3月)をもとにまとめました。
認証の「要素」は3種類
| 要素 | 例 |
|---|---|
| 知っていること | パスワード、暗証番号、秘密の質問の答え など |
| 持っているもの | スマホ、キャッシュカード など |
| 本人自身の一部 | 指紋、顔 など |
- 最初の認証に使わなかった別の種類の要素を組み合わせて、二要素以上で認証することが大切です
- 複数の要素を使うものを多要素認証、とくに2つの要素を使うものを二要素認証とよびます
二段階認証は「段階」の数
- 二段階認証は、認証を二段階に分けて行うもので、使う要素とは関係ありません
- たとえば、パスワード(知っていること)のあとに秘密の質問(知っていること)なら、二段階でも一要素。一方、一段階でも二要素ということもあり、二要素のほうが安全性が高まります
- 「持っているもの」「本人自身の一部」は、実物が必要なので、安全性が高まります
プレ男2回聞かれても、どっちも「知っていること」なら一要素なのか。
多要素認証でも絶対ではない
- キャッシュカードが振り込め詐欺などであっさり奪われることもあり、多要素認証すら破る中間者攻撃もあるため、多要素認証だから絶対安全とは限りません
- 二要素以上の多要素認証が使えないサービスは、セキュリティ意識が低い可能性があるので、利用を考えなおそう、としています
パスワードの定期変更と、流出したとき
- 十分に複雑で使い回しのないパスワードなら、乗っ取りや流出の事実がなければ、基本的に変更の必要はありません。むしろ定期変更だけを求めると、パスワードが単純になったり、使い回されたりすることが問題とされています
- アカウントが乗っ取られたり、流出を知ったりしたら、速やかに変更し、原因も特定しましょう
- サービス側からの「パスワードを再設定してください」というメールは、まず本当にサービスからのものかを公式サイトやニュースで確かめる。流出に便乗したフィッシングのことがあります。メールのリンクはうかつにクリックせず、公式サイトやアプリから再設定しましょう
パスワードの保管
- スマホのパスワード管理アプリは、ネットにデータを置くクラウド連携を安易に使わず、まずはスマホの中だけで管理する(スタンドアロン)状態で使えるものを優先する
- ウェブブラウザにはパスワードを保存しない(席を離れたすきに使われるなどのおそれ)
二段階認証は認証を二段階に分けるだけで、使う要素の数とは関係ありません。パスワードとスマホ、パスワードと指紋のように、種類のちがう要素を組み合わせる多要素認証を設定しましょう。
PINとパスワードのちがいはスマホのPINは4〜6けたでいいのに、パスキーは「パスキー」って何、二段階認証を突破する手口はワンタイムパスワードを入れても、ネットバンキングを乗っ取られるへ。
プレ男大事なサービスは、スマホの認証アプリや指紋も組み合わせよう。
メル美「パスワードを再設定して」のメールのリンクは、押さないでね。
身近な人にメールを読まれる・なりすまされる事例は、同僚に自分のメールを読まれている?へ。
まとめ
- 認証の要素は「知っていること」「持っているもの」「本人自身の一部」
- 二段階認証は段階の数。パスワード+秘密の質問は二段階でも一要素
- 種類のちがう要素を組み合わせる多要素認証を。ただし絶対安全ではない
- パスワードの定期変更は基本不要、流出時は速やかに変更。再設定メールの便乗フィッシングに注意
参考文献
- 内閣サイバーセキュリティセンター(NISC). インターネットの安全・安心ハンドブック 一般利用者向け抜粋版(Ver.5.10、2025年3月11日). https://security-portal.cyber.go.jp/guidance/pdf/handbook/NISC_handbook_general.pdf (閲覧日:2026年10月12日)
この記事は一般的な情報提供を目的としたもので、個別の診断・治療に代わるものではありません。 気になる症状や不安がある場合は、医療機関にご相談ください。