本文へスキップ
ITDセキュリティ対策プラットフォーム
目的から探す
検索
対策・学習23分で読める

多要素認証(MFA)の選び方：SMS・認証アプリ・パスキーの違い

多要素認証(MFA)は異なる種類の認証要素を2つ以上使う仕組みです。2FA・二段階認証との違い、SMS・認証アプリ・パスキーのフィッシング耐性、利用者確認と復旧の条件を整理し、重要なアカウントでの選び方を解説します。

本文を読む
#セキュリティ基礎#MFA#パスワード管理#フィッシング対策#AI時代の備え
公開日
更新日
目次

対象：アカウントに多要素認証（MFA）を設定しようとしている人、すでに付けているが「SMSでいいの？」と迷っている人。攻撃の手口そのものは扱わず、どの方式が強く、何にどれを付けるべきかを整理します。

MFAは、知識・所持・生体など異なる種類の要素を2つ以上使う認証です。2FA（二要素認証）はそのうち2種類を使うもの。「二段階認証」は確認手順の呼び方で、同じ種類の要素を2回使うだけならMFAにはなりません。用語の整理は 2FAと二段階認証の違い も参照してください。

当サイトの視点：MFAは有無ではなく方式で評価する

セキュリティ設定でよく見る「二要素認証：オン」は、実は強さの情報をほとんど持っていません。同じ「オン」でも、SMSとパスキーでは守れる攻撃がまるで違う。MFAを有効にしていても、コードを偽サイトへ入力したり、不審な承認通知を許可したりすると侵害につながるおそれがあります。だから当サイトは、重要アカウントについては「MFAの有無」ではなく「フィッシング耐性があるか否か」で評価することを勧めています。

なぜMFAが要るのか

パスワードは、単体では「いつか漏れる前提」で考えるべきものです。パスワードが破られる経路は、使い回し、漏えい、推測、フィッシングなどいくつもあります。MFAは、パスワードが破られても、もう1つの要素で不正ログインを止めるための仕組みです。

パスワード
いつか漏れる前提で考える
異なる要素
同じ種類の確認を繰り返すだけでは多要素にならない
方式の違い
フィッシング耐性と復旧の条件を比較する
メール
他のアカウントの再設定にも悪用されるおそれ

特に重要なのがメールアカウントです。多くのサービスは「パスワードを忘れた」をメールで復旧させるので、メール経由で他のアカウントの再設定も悪用されるおそれがあります。だからメールは、最も強い方式のMFAで守るべきアカウントです（→ 最低限チェックリストのTier 0）。

方式ごとの強さの違い

認証方式は、フィッシング耐性、端末の保護、同期や復旧の条件を合わせて比較します。ここでは代表例を、**「偽サイトにコードを渡してしまうか」**という観点で整理します。

✗ SMS / メール

手入力のコードはフィッシングに注意。SMSは電話番号の乗っ取りにも注意

△ 認証アプリ(TOTP)

SMSより強いが、コードを偽サイトに中継されうる

○ パスキー

PIN・生体認証などの利用者確認。認証先に紐づく公開鍵方式

◎ 物理セキュリティキー

FIDO2対応の専用キー。利用者確認と予備手段も確認

代表的な認証方式の比較。フィッシング耐性に加え、利用者確認・同期・復旧条件も確認する。

SMS / メールのコード

  • コードはただの数字列＝偽サイトにも貼れてしまう
  • SMSではSIMスワップ（電話番号の乗っ取り）で受信を奪われるおそれがある。メールはメールアカウント自体の保護も必要
  • 中継フィッシングでコードを本物のサイトに転送されると防げない
  • 無いよりは良いが、重要なアカウントの守りとしては不十分

パスキー / 物理キー(FIDO2)

  • 鍵がアクセス先のドメインに紐づく＝偽サイトで正規サイトへの認証は成立しない
  • 原理的にフィッシング耐性（人間の判断に頼らない）
  • 正規サイト向けの認証応答を、偽サイトへ入力するパスワードやコードとして渡す方式ではない。パスキーやキー単独でMFAとして使う場合はPIN・生体認証などの利用者確認も必要。キーの所持とパスワードを組み合わせる構成もある
  • メール・ドメイン・決済のアカウントにはこれを使う

「フィッシング耐性」とは何か

ここがいちばん大事な概念です。SMSや認証アプリのコードは、結局人間が「正しいサイトに入れているか」を目で判断しなければなりません。でも本物そっくりの偽ドメインを人は見分けられない。一方パスキーや物理キー（FIDO2）は、鍵そのものが「どのドメイン向けか」を覚えているので、偽サイトに対しては署名を返しません。つまり人間が騙されても、鍵は偽サイトに署名しない。これが「フィッシング耐性」で、弱い方式と強い方式を分ける決定的な違いです。

方式ごとの比較表（プッシュ通知を含む）

設定画面には、SMS・認証アプリ・パスキーのほかに「スマホに届く通知で『はい』を押す」方式（プッシュ通知）もよく並びます。米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）の2022年の資料では、MFAの方式を次のように整理しています。個別サービスの安全性をこの順位だけで判断するものではありません。

方式偽サイトへの入力通知を何度も送られて押してしまうSIMスワップ位置づけ（CISA）
パスキー・物理キー（FIDO2）署名が成立しない該当しない該当しない最も強い（フィッシング耐性）
認証アプリのコード（TOTP）中継されうる該当しない該当しない2番目
プッシュ通知＋数字の照合中継されうる起きにくい該当しない2番目
プッシュ通知（承認ボタンだけ）中継されうる起きうる該当しない3番目
SMS・音声通話のコード中継されうる該当しない起きうる最後の手段

プッシュ通知の弱点は、攻撃者がパスワードを入手したあと、承認の通知を何度も送り、利用者がうっかり、または面倒になって「承認」を押すことです。CISAはこれを「プッシュ爆撃（MFA疲労）」と呼んでいます。対策が「数字の照合」で、ログイン画面に出た数字をアプリに入力しないと承認できません。Microsoftの職場・学校向けアカウント（Microsoft Entra ID）では、2023年5月8日から、Microsoft Authenticator のプッシュ通知すべてでこの照合が必須になりました。

この表の手入力コードや通常のプッシュ方式には、フィッシング耐性がありません。耐性のある方式はFIDOだけに限らず、NISTはクライアント認証TLSなども挙げています。本記事では個人向けサービスで使われるパスキーやFIDO2対応キーを中心に比較しています。CISAも、フィッシング耐性のある方式に移るまでの間は、認証アプリのコードか数字照合つきのプッシュ通知を使うよう勧めています。

状況別：どの方式を選ぶか

全部のアカウントに同じ方式を付ける必要はありません。乗っ取られたときの被害の大きさで分けます。

アカウント・状況おすすめの方式予備に用意するもの
個人のメール（Gmail・Outlook.com など）パスキー2台目の端末のパスキー、またはバックアップコード
パスワードマネージャーパスキーか物理キー2本目の物理キー、復旧用の情報を紙で保管
ドメイン・サーバー・クラウドの管理者物理キー（2本）別の場所に保管した2本目のキー、リカバリーコード
銀行・証券会社が用意するパスキーなどの方式会社が案内する再設定の手続き
SNS・ネット通販などパスキー、なければ認証アプリバックアップコード
スマホを持たない家族物理キー（2本）、使えなければSMS家族が保管するバックアップコード

迷ったら「ほかのアカウントの復旧に使われるか」で決めます。メールとパスワードマネージャーは、ほかの全部のアカウントの入口になるので、ここだけは最も強い方式にします。

どう設定するか（順番が大事）

1

まずメール・ドメイン・決済から

メール・ドメイン登録業者・サーバ管理パネル・決済アカウントに、フィッシング耐性MFA（パスキー/物理キー）を最優先でかける。ここを取られると、他のアカウントのパスワード再設定にも使われるため（→ 最低限チェックリスト）。
2

パスワードマネージャ本体にもMFA

日常のログインを預けるパスワードマネージャは、それ自体が最も重要なアカウントの1つ。マスターパスワード＋MFAで二重化する（→ パスワードの安全な保管）。
3

対応していなければ認証アプリ(TOTP)

パスキー非対応のサービスでは、SMSではなく認証アプリを選ぶ。SMSは他に選択肢が無いときの最終手段。
4

リカバリーコードを安全に保管

使える認証器をすべて失い、対応する復旧手段も残っていなければ、ログインできなくなるおそれがあります。リカバリーコードは端末とは別に、パスワードマネージャーの安全なメモや暗号化された保管先へ控えます。
5

予備の手段を1つ用意

サービスが対応する予備の認証・復旧手段を用意します。予備キー、別端末のパスキー、信頼済み端末など、紛失後にも使える経路があるかを確認してください。同期型と端末固定型では利用できる方法が異なります。

MFAを付けても、パスワードの使い回しはやめる

MFAは保険であって、弱いパスワードの言い訳にはなりません。フィッシング耐性のないMFA（SMS等）しか付けられないサービスでは、パスワードの強さと一意性が、引き続き主な守りです。強さは パスワード強度チェッカー で確認できます。

主なサービスでの設定場所

設定の入口は次のとおりです（2026年10月時点の公式ヘルプによる。画面の名前は変わることがあります）。

サービス設定する場所選べる方式・注意点
Google アカウントGoogleアカウント →「セキュリティとログイン」→「2段階認証プロセス」パスキー、セキュリティキー、Googleからの確認通知、認証アプリ、SMS・音声、バックアップコード
Microsoft アカウント（個人）account.microsoft.com/security →「サインイン方法の管理」→「追加のセキュリティ」→「2段階認証」パスワードを削除して、パスワードなしでサインインする設定も選べる
Apple アカウント設定 →［自分の名前］→「サインインとセキュリティ」→「2ファクタ認証」→「セキュリティキー」FIDO認定のキーを2本以上登録する必要がある（iOS 16.3以降）。登録すると6桁の確認コードの代わりにキーを使う
GitHubSettings →「Password and authentication」手順は GitHubの2段階認証の設定 で解説

最初に方式を1つ登録したら、そのサービスが提供する予備の方式や復旧手段も確認します。バックアップコードが発行される場合は安全な場所へ控え、端末の紛失に備えます。

認証アプリと物理キーの選び方

認証アプリを選ぶときに見る点

  • 機種変更のときに、コードを新しいスマホへ移せるか
  • Google Authenticator は2023年4月から、Googleアカウントへの同期を任意で使える
  • パスワードマネージャーにコードを入れると便利だが、そこが破られると2つの要素が同じ場所から漏れる
  • 重要なアカウントのコードは、パスワードとは別のアプリに置くのが無難

物理キーを選ぶときに見る点

  • FIDO2（FIDO認定）に対応した製品を選ぶ
  • 使う機器の差し込み口（USB-A・USB-C）や、スマホ用のNFCに合うか
  • 最初から2本買い、両方を同じアカウントに登録する
  • 1本は持ち歩き、もう1本は自宅など別の場所に保管する

自分の環境で確認する方法

1

Googleの「セキュリティ診断」を開く

myaccount.google.com/security-checkup で、2段階認証の方式、再設定用の電話番号・メールアドレス、ログイン中の端末を一度に確認できます。古い電話番号が残っていれば消します。
2

Microsoftアカウントの登録済みの方法を見る

account.microsoft.com/security の「サインイン方法の管理」で、登録されている方法の一覧を確認します。使っていない電話番号やメールアドレスは削除します。
3

iPhoneで信頼できる電話番号とキーを見る

設定 →［自分の名前］→「サインインとセキュリティ」で、確認コードを受け取る電話番号と、登録済みのセキュリティキーを確認します。
4

アカウントごとの方式を一覧にする

メール、パスワードマネージャー、ドメイン、クラウド、銀行・証券、SNSについて「今の方式」「予備の方式」「バックアップコードの保管場所」をパスワードマネージャーのメモに書き出します。SMSだけの重要アカウントがあれば、そこから切り替えます。
5

予備の方式で実際にログインしてみる

2台目の端末のパスキーや2本目の物理キーで、本当にログインできるかを一度試します。登録しただけで使えなかった、という失敗は試すまで分かりません。

よくある間違いと直し方

  • パスキーを足したのに、SMSでもログインや再設定ができるまま：SMSを外せるサービスなら外し、外せないなら登録電話番号が今も自分のものかを確認します。
  • 身に覚えのない承認の通知を押してしまう：自分がログインしていないときの通知は必ず拒否し、そのアカウントのパスワードを変えます。
  • バックアップコードをスマホの写真やスクリーンショットに残す：スマホをなくすと一緒に失います。パスワードマネージャーか、紙で別の場所に保管します。
  • 物理キーが1本だけで、別の復旧手段もない：紛失で締め出されるおそれがあります。サービスの条件に合わせ、予備のキーや復旧手段を用意します。
  • 機種変更で、古いスマホを先に初期化する：新しいスマホで認証アプリやパスキーが使えることを確かめてから初期化します。
  • 電話やメッセージで「確認コードを教えて」と頼まれて答える：正規のサービスや社内のヘルプデスクを名乗っていても、コードは誰にも伝えません。

実例：コードを渡してしまった事案

米国で歯科・眼科の給付を運営するDentaQuestは、2026年5月の不正アクセスについて州司法長官に届け出ました。届出によれば、従業員1名がソーシャルエンジニアリング（人をだます手口）にあい、認証情報と多要素認証のコードを渡したことが入口でした。同社は8月3日の更新の届出で、全米で2,740万人超を把握しているとしています。届出は、どの種類のMFAだったかを書いていません。

この事案から言えるのは、人が読み上げたり入力したりできるコードは、人がだまされれば渡せてしまうということです。管理する側にとっての対策は2つです。

  • 重要なアカウントを、パスキーや物理キーのような、渡しようのない方式に切り替える
  • 認証方法の再設定を頼まれたときに、ヘルプデスクが相手の本人確認を行う

詳しい経緯と会員がやることは DentaQuestの情報漏えい にまとめています。

当サイトはどうしているか

当サイトは、重要アカウント（とりわけメールとドメイン、サーバ管理、決済）を、可能な限りフィッシング耐性のあるMFAで固めています。理由はシンプルで、これらは1つ乗っ取られると、他のアカウントもまとめて乗っ取られるからです。日常のログインはパスワードマネージャで管理し、そのマネージャ自体にもMFAをかけます。

そして「MFAをオンにした」で終わらせず、定期的にどの方式が掛かっているかを見直しています。SMSしか掛かっていない重要アカウントを見つけたら、弱点として優先的にパスキー/物理キーへ切り替えます。有無ではなく、強さで管理するのが当サイトの方針です。

出典

次に読む

よくある質問

Q多要素認証(MFA)を有効にすれば安全ですか？
A

有効にするだけで安全が保証されるわけではありません。手入力するSMS・メール・認証アプリのコードにはフィッシング耐性がなく、SMSでは電話番号の乗っ取りにも注意が必要です。重要なアカウントでは、フィッシング耐性のある方式と、利用者確認・復旧の条件を確認してください。

QSMS認証はなぜ弱いと言われるのですか？
A

コードがただの数字列で、入力先が本物か偽物かを人間が判断するしかないからです。本物そっくりの偽サイトにコードを入れさせる中継フィッシングや、電話番号を乗っ取るSIMスワップで突破されます。無いよりは良いですが、重要なアカウントを守る方式としては不十分です。

Q結局どの方式を選べばいいですか？
A

利用できるなら、パスキーやFIDO2対応キーなどのフィッシング耐性がある方式を優先します。パスキーやキー単独でMFAとして使う場合は、サービスが要求し検証するPIN・生体認証などの利用者確認も必要です。キーの所持とパスワードを組み合わせる構成とは区別します。非対応のサービスでは認証アプリ(TOTP)などを選び、予備手段と復旧方法も用意してください。

Qスマホに届く通知で『承認』を押すだけの方式は安全ですか？
A

SMSよりは強いものの、パスワードを知った攻撃者が承認の通知を何度も送り、うっかり押させる手口（プッシュ爆撃）があります。ログイン画面の数字をアプリに入力する『数字の照合』があれば、この手口は起きにくくなります。自分がログインしていないときに届いた通知は必ず拒否し、パスワードを変えてください。

Q認証アプリのコードをパスワードマネージャーに入れてもいいですか？
A

便利で、SMSより安全です。ただしパスワードマネージャーが破られると、パスワードとコードの2つが同じ場所から漏れます。メール・ドメイン・決済などの重要なアカウントは、パスキーや物理キー、またはパスワードとは別の認証アプリにするのが無難です。

Q物理セキュリティキーは何本必要ですか？
A

必要本数はサービスの条件で異なります。Appleアカウントのように2本以上の登録を求める場合もあります。紛失に備え、登録できるなら予備のキーを用意して別の場所に保管し、ほかの復旧方法も確認します。