2FAとは何か、アカウントをどのように保護するのか？
2要素認証（2FA）では、アカウント、アプリケーション、または機密データへのアクセスを許可する前に、2種類の異なる識別情報が必要です。これによりログインプロセスが単一の手順にとどまらず、ユーザー名とパスワードだけに依存するよりも安全になります。たとえ誰かがパスワードを入手しても、2つ目の確認手順なしには情報にアクセスできないようにすることで、アカウントを保護します。
認証要素のタイプには次のようなものがあります。
ユーザーが知っているもの（パスワード、PIN）
ユーザーが持っているもの（電話、セキュリティキー）
ユーザーに固有のもの（指紋、顔スキャン）
ユーザーがいる場所（位置情報）
この2つの要素の分離こそがユーザーのアカウントを保護します。攻撃者がアクセスを得るには、パスワードだけでなく両方を侵害する必要があるためです。
認証プロセスで2FAを使用する主なメリットは何ですか？
2FAはアカウントに重要なセキュリティ層を追加します。主なメリットは次のとおりです。
盗まれたパスワードに対する保護を強化：データ侵害やフィッシング攻撃によって誰かがパスワードを入手しても、2つ目の要素なしにはアカウントにアクセスできません。
一般的な攻撃手法への防御：2FAは、認証情報の詰め込み攻撃からブルートフォース攻撃まで、攻撃者が使う多くの手口をブロックします。
攻撃者による突破をより困難にする：複数の確認手順が必要になることで、アカウントへの不正侵入は大幅に難しくなります。
アカウント乗っ取りリスクの低減：個人用、金融用、業務用のアカウントをより安全に保ち、データとIDを保護します。
コンプライアンスとセキュリティのベストプラクティスをサポート：多くの組織では、規制基準を満たし、強固なセキュリティ態勢を維持するために2FAを求めています。
安心感を提供：アカウントには有利に働く追加の保護策があります。
認証プロセス：2FA、多要素認証（MFA）、2段階認証（2SV）の違いは何ですか？
2要素認証（2FA）、2段階認証（2SV）、多要素認証（MFA）はいずれも一般的に、アカウントにログインするために1つ以上の手順を必要とする同じプロセスを指します。これらの用語はしばしば同じ意味で使われますが、理解しておくべき技術的な違いがあります。
多要素認証（MFA）は最も広いカテゴリです。アカウントにアクセスするために、2つ以上の異なるタイプの確認要素を必要とするセキュリティプロセスを指します。MFAでは、ユーザーが知っているもの、ユーザーが持っているもの、ユーザー自身であるものなど、要素を任意に組み合わせることができます。
2要素認証（2FA）は、異なるカテゴリから正確に2つの要素を使用するMFAの一形態です。たとえば、パスワード（ユーザーが知っているもの）と、電話から取得するコード（ユーザーが持っているもの）の組み合わせです。
2段階認証（2SV）ではサインインに2つの手順が必要ですが、その手順で同じタイプの要素が使われる場合があります。たとえば、パスワードを入力してから登録済みのメールアドレスでコードを受け取る場合、どちらもユーザーが知っているもの、またはアクセスできるものに依存しており、明確に異なる2種類の要素タイプではありません。
実際には、ほとんどのサービスでこれらの用語は厳密には使われていません。最も重要なのは、ユーザーがパスワードだけでなく追加の確認レイヤーを加えていることです。
ハッカーによるアクセスを防ぐには、どの2FA方式が最も安全ですか？
2要素認証の安全性は、使用する方式によって異なります。一般的には、セキュリティキーが最も強力な保護を提供し、次に認証アプリ、その後にメールが続き、SMSは最も安全性の低い選択肢です。以下では、最も一般的な2FA方式と、その長所と短所を見ていきます。
一般的に最も安全とされるものから安全性が低いものの順に、よく使われる2FA方式を長所と短所とともに整理すると、次のようになります。
長所：単体のハードウェアデバイスとして非常に安全 短所：追加の2要素方式がない場合、セキュリティキーを紛失すると、意図せずユーザーがアカウントから締め出される可能性があります
長所：シンプルで設定が簡単。一部はプラットフォームをまたいで使用可能 短所：認証アプリが複数のデバイスで利用できない場合、ユーザーが認証キーのコピーを作成する前にデバイスを紛失、盗難、または初期化すると、アカウントから締め出される可能性があります
メール
長所：シンプルで設定が簡単 短所：メールも侵害されている場合、保護にはなりません
音声ベースの認証
長所：シンプルでハンズフリー、アクセシビリティの面でも便利 短所：音声録音やディープフェイク攻撃に対して脆弱
SMS
長所：シンプルで、多くのウェブサイトで標準的に使用されています 短所：この方式はSIMジャック攻撃に対して脆弱です
どの方式であっても、2要素認証を使用することは、まったく使用しないよりも安全です。
パスキーとは何ですか？生体データは関係しますか？また、パスキーを使用する場合でも2FAは必要ですか？
パスキーは、デバイスに保存された暗号鍵を使用してIDを確認する新しい認証方式です。ユーザーがデバイスに差し込んだりタップしたりする物理的なセキュリティキーとは異なり、パスキーは電話、コンピューター、パスワードマネージャーに保存されるデジタル資格情報です。ユーザーは、指紋や顔などの生体データ、またはデバイスのPINを使ってパスキーをロック解除します。
パスキーは、パスワードと従来の2FAの両方を一度に置き換えるように設計されています。パスキーでサインインする際、ユーザーは承認済みデバイスを持っていること（所有しているもの）と、それをロック解除できること（知っていること、または本人であること）の両方を示します。これにより、複数の要素が1つのスムーズな操作に統合されます。
ほとんどの場合、パスキーの使用時に2FAは不要です。パスキーは設計上、多要素のセキュリティを備えているためです。ただし、一部のサービスでは、高リスクな操作に対して2台目のデバイスやバックアップ認証方法を求めるなど、追加のセキュリティオプションを提供しています。
パスキーの仕組みや使用場所について詳しくは、こちらの記事「パスキーとは」をご覧ください。
ハッカーによるアクセスを防ぐため、どのアカウントで2FAまたはパスキーの有効化を優先すべきですか？
すべてのアカウントが同じリスクを持つわけではありません。まずは次の保護を優先してください。
メールアカウント：メールは他のすべてへの入口です。攻撃者はメールを使って他のアカウントのパスワードをリセットできるため、保護が最も重要なものの1つです。
金融アカウント：銀行、クレジットカード、投資プラットフォーム、PayPalやVenmoなどの決済サービスでは、常に2FAまたはパスキーを有効にしておくべきです。ここで侵害が発生すると、直接的な金銭的損失につながる可能性があります。
パスワードマネージャー：パスワードマネージャーにすべてのアカウントの認証情報を保存している場合、2FAまたはパスキーで保護することが不可欠です。この1つのアカウントが侵害されると、他のすべてが漏えいする可能性があります。
仕事用アカウントとクラウドストレージアカウント：仕事に関連するアカウントや、機密文書、写真、バックアップを保存するアカウントには、追加の保護が必要です。
ソーシャルメディアとコミュニケーションプラットフォーム：それほど重要ではないように見えても、これらのアカウントはID窃盗、詐欺、なりすましに使われる可能性があります。
機密性の高い個人データを含むアカウント：医療ポータル、行政サービス、個人情報を含むアカウントは、ID窃盗や不正行為を防ぐために安全に保つ必要があります。
これらのアカウントが特に重要な理由は単純です。それ自体の価値が高いか、他のアカウントの侵害に悪用される可能性があるためです。これらを保護することで、全体的なリスクを大幅に減らせます。
これらすべての認証情報を安全に管理する方法をお探しですか？Bitwardenの無料個人向けパスワードマネージャーをご覧ください。
要求していない2FAコードを受け取った場合はどうすべきですか？
要求していない2FAコードが届いた場合、通常は誰かがそのアカウントにログインしようとしていることを意味します。その人物はパスワードを持っており、サインイン手続きを完了しようとしています。
行うべきことは次のとおりです。
コードを共有しない：サポート担当者を名乗っていても、絶対に誰にも教えないでください。
ログインの承認プロンプトを承認しない：ログインの承認を求めるプッシュ通知を受け取った場合は、拒否してください。
すぐにパスワードを変更する：他で使用していない、強力で一意のパスワードを使用してください。
アカウントのアクティビティを確認する：不正アクセスや変更がないか確認してください。
追加のセキュリティ対策を有効にする：SMSを使用している場合は、より安全な2FA方法への切り替えを検討してください。
攻撃者はアクセスを得るために、時間ベースのワンタイムパスワード（TOTP）コードをフィッシングしたり回避したりできますか？
認証アプリで生成されるTOTPコードはSMSコードより安全ですが、完全ではありません。攻撃者はソーシャルエンジニアリング攻撃でだまし取ったり、リアルタイム攻撃で傍受したりする可能性があります。
一般的な手口には次のものがあります。
偽のログインページ：攻撃者は正規サイトそっくりのページを作成します。ユーザーがパスワードとTOTPコードを入力すると、その両方を取得し、すぐにログインに使用します。
リレー攻撃：攻撃者が仲介者となり、コードの有効期限が切れる前に、認証情報とTOTPコードをリアルタイムで本物のサイトに転送します。
ソーシャルエンジニアリング：詐欺師は、電話やメッセージでTOTPコードを読み上げるようユーザーをだますことがあります。ソーシャルエンジニアリング攻撃について詳しくは、こちらのソーシャルエンジニアリング攻撃に関するブログをご覧ください。
リスクを減らすには：
認証情報を入力する前に、必ずURLを確認する
可能な場合は、パスキーまたはハードウェアセキュリティキーを使用する
ログインやアカウント確認を急かす要求には疑ってかかる
ログインアラートなどの追加保護を有効にする
「MFA疲労」攻撃とは何ですか？また、どのように保護を維持できますか？
MFA疲労攻撃はプロンプト爆撃とも呼ばれ、攻撃者がログイン承認要求をデバイスに繰り返し送信することで発生します。場合によっては数十回、数百回に及ぶこともあります。目的は、通知を止めたい一心でユーザーが誤って、または意図的に1回承認してしまうまで、ユーザーを圧倒し苛立たせることです。
この種の攻撃が成立するのは、攻撃者がすでにパスワードを持っているためです。攻撃者はアクセスの承認を待っているだけです。
保護を維持する方法：
自分で開始していないログイン要求は絶対に承認しない：プロンプトが表示され続ける場合は拒否し、すぐに調査してください。
すぐにパスワードを変更する：第三者がそれを入手し、侵入を試みています。
数値照合や状況に応じたプロンプトを使用する：一部のサービスでは、ログイン画面に表示された数値をアプリに入力する必要があり、攻撃者がユーザーをだますのが難しくなります。
ハードウェアセキュリティキーまたはパスキーに切り替える：これらの方法は承認プロンプトに依存せず、疲労を利用して回避されることもありません。
ログインアラートを有効にする：不審なアクティビティの通知を受け取り、迅速に対応できます。
アカウントがハッキングされた場合、ハッカーはパスワードと同じように2FA情報を共有できますか？
攻撃者は、データ侵害で盗まれたパスワードを共有するように、2FAコードを直接「共有」することはできません。ただし、関連するアカウントやサービスにアクセスできるようになると、2FAの設定を悪用する可能性があります。
例：
攻撃者がメールアカウントにアクセスすると、メールで送信される2FAコードを受け取ったり、それを使って他のアカウントのパスワードをリセットし、2FAを無効にしたりできます。
攻撃者が電話番号を制御している場合（SIMスワップなど）、SMSベースのコードを傍受できます。
攻撃者が認証アプリのバックアップ（クラウドサービスに保存されているもの）を侵害すると、自分のデバイスにTOTPコードを復元できる可能性があります。
重要なポイントは、2FAの設定に結び付いているアカウントとデバイスを保護することが、2FA自体と同じくらい重要だということです。各アカウントに固有のパスワードを使用し、メール、携帯電話会社のアカウント、クラウドバックアップサービスでは強力な2FAを有効にしてください。
ハッキングされた場合は、すばやく対応して制御を取り戻し、アカウントを保護してください。詳しくは、ハッキングされた場合の対処方法をご覧ください。
パスワードマネージャーは、アカウントと2FAコードの保護にどう役立ちますか？
パスワードマネージャーは、セキュリティ管理の手間を引き受けることで2FAを効率化します。すべてのアカウントで複雑なパスワードを生成・保存でき、何十もの固有の認証情報を覚える負担を軽減します。多くのパスワードマネージャーは、2FAリカバリーコードも1つの保護された場所に安全に保存できるため、受信トレイや文書を散らかすことなく、必要なときにバックアップコードを整理して利用できます。
その結果、認証設定とリカバリー手段を一元化して暗号化しながら、手間なく多層的なセキュリティを実現できます。
アカウントとコードを保護するために、他に何をすべきですか？
すべてのアカウントに強力で固有のパスワードを使用し、サイト間でパスワードを使い回さないでください。セキュリティの脆弱性から保護するため、ソフトウェア、オペレーティングシステム、アプリは最新の状態に保ちましょう。2FAを設定する際は、常に利用可能な最も強力な方法を選択してください。最適なのはハードウェアセキュリティキーまたはパスキーで、次に認証アプリ、SMSは最後の手段です。
リカバリーコードは安全な場所に安全に保存し、可能であれば日常的に使うデバイスとは分けてください。暗号化ファイル、パスワードマネージャーのセキュアメモ、紙に書いて物理的な場所に保管するなど、どの方法でも、必要なときにアクセスできるようにしておきましょう。適切なアカウント復旧の衛生管理とは、バックアップコードを定期的に確認し、引き続きアクセスできることを確かめることです。
2FAを安全に使用するためのベストプラクティスは何ですか？
2FAで最大限の保護を得るには、次の重要な実践事項に従ってください。
利用可能な最も強力な2FA方法を選択する：可能な場合はパスキーまたはハードウェアセキュリティキーを使用し、次に認証アプリを使用します。より良い選択肢がある場合はSMSを避けてください。
最も重要なアカウントから先に2FAを有効にする：メール、金融アカウント、パスワードマネージャー、仕事用アカウントを優先してください。
すべてのアカウントに強力で固有のパスワードを使用する：2FAは、使い回されておらず推測されにくい認証情報と組み合わせたときに最も効果を発揮します。
リカバリーコードを安全に保存する：バックアップコードは日常的に使うデバイスとは別の安全な場所に保管し、アクセスできることを確認してください。
2FAコードを共有したり、予期しないログイン要求を承認したりしない：正規のサービスがコードを求めることはありません。
ソフトウェアとデバイスを最新の状態に保つ：定期的な更新により、2FA設定を侵害する可能性のある脆弱性から保護できます。
アカウント復旧プロセスをテストする：問題が発生した場合でもアカウントにアクセスできるよう、定期的に新しいデバイスからログインを試してください。
2FAに接続されているアカウントを保護する：メール、携帯電話会社のアカウント、認証アプリのバックアップを、強力なパスワードと2FAで保護してください。
Bitwardenは2FAとパスキーにどう役立ちますか？
Bitwardenなら、パスワードと追加のセキュリティレイヤーを1か所で簡単に管理できます。
Bitwardenの2FAサポート：
Bitwardenは、時間ベースのワンタイムパスワード（TOTP）をアプリ内で直接生成できるため、別の認証アプリは不要です。サイトにログインする際、Bitwardenはパスワードと2FAコードの両方を自動入力でき、セキュリティを犠牲にすることなく手順を効率化します。2FAリカバリーコードもログイン認証情報と一緒に安全に保存でき、必要なときに整理された状態でアクセスできます。
Bitwardenのパスキーサポート：
Bitwardenはパスキーに対応しており、ユーザーはデバイス間でパスキーを作成、保存、使用できます。ウェブサイトやアプリがパスキーログインを提供している場合、Bitwardenはパスキーを保存し、再訪時に自動入力できるため、パスワードレス認証を簡単かつ安全に行えます。パスキーはBitwardenがインストールされているすべてのデバイス間で同期されるため、スマートフォン、タブレット、コンピューターのいずれでもシームレスにサインインできます。
Bitwardenを始める
オンラインセキュリティを強化する準備はできていますか？Bitwardenなら、強力なパスワード、2FAコード、リカバリーコード、パスキーをすべて1つの安全な保管庫で管理できます。セキュリティを便利にするソリューションで、今すぐアカウントを保護し始めましょう。