多要素認証（MFA）完全ガイド：FIDO2・パスキーから導入のベストプラクティスとリスク対策
エバープレイ編集部多要素認証とは──定義と目的
多要素認証（Multi-Factor Authentication、MFA）は、ユーザーがサービスへアクセスする際に「複数の独立した認証要素」を要求することで、不正アクセスのリスクを低減する認証方式です。従来の「パスワードのみ（Knowledge）」による認証は、パスワード漏洩、リスト型攻撃、フィッシング、総当たり攻撃などに弱いため、別の種類の要素を組み合わせることで本人性をより高い確度で確認します。
認証要素の分類
- 知識要素（Something you know）：パスワード、PIN、秘密の質問など。
- 所持要素（Something you have）：ワンタイムパスワード（OTP）トークン、スマホの認証アプリ、ハードウェアセキュリティキー（例：FIDO/U2F）など。
- 生体要素（Something you are／inherence）：指紋、顔認証、虹彩などの生体情報。
- 位置要素（Somewhere you are）：IPアドレスやGPS情報に基づく位置確認。
- 行動要素（Something you do）：タイピングの癖やデバイスの振る舞いなど行動バイオメトリクス。
代表的な多要素認証方式とその特徴
-
SMS/音声のワンタイムパスワード（OTP）
SMSや音声で送られるワンタイムコードは導入が簡単ですが、携帯回線の盗聴、SIMスワップ攻撃、SMSのフィッシング転送などのリスクから、セキュリティ面では推奨度が下がっています。NISTのガイドラインでも、可能ならより安全な方法への移行が推奨されています。
-
TOTP（Time-based One-Time Password）認証アプリ
Google Authenticator、Authy、Microsoft Authenticatorなどのアプリが生成する6桁コード。オフラインで動作し、SMSより安全ですが、端末そのものが侵害された場合や初期シードの保護に注意が必要です。
-
プッシュ通知型認証
ユーザーのスマホへ「承認/拒否」の通知を送り、ワンタップで認証できる方式。ユーザビリティが高い反面、通知のソーシャルエンジニアリング（承認を求める偽通知）対策が必要です。
-
ハードウェアセキュリティキー（U2F／FIDO2／WebAuthn）
物理トークン（例：YubiKey）やプラットフォーム認証器を使う方式はフィッシング耐性が高く、現在最も推奨される「フィッシング抵抗性のある認証」の一つです。WebAuthn 標準に基づきブラウザやOSがネイティブにサポートしています。
-
パスキー（Passkeys）
パスワードを使わない、FIDOをベースにした次世代の認証方式で、デバイス間で安全に同期される設計のものもあります。フィッシングに強く、ユーザビリティも高いのが特徴です。
多要素認証が有効な攻撃シナリオ
MFAは、単純なパスワード漏洩やパスワードリスト攻撃、ブルートフォース、フィッシング連動の自動化攻撃などに対して大きな効果を発揮します。特に、パスワードのみで保護されたアカウントは認証情報が流出すれば即座に乗っ取り可能ですが、MFAを導入していれば攻撃者は追加の要素を入手または回避する必要があり、侵害が格段に難しくなります。
限界とリスク（MFAだから100%安全ではない）
- フィッシングやマルウエアによるリアルタイム認証転送（MFAバイパス）：SMSや一部のOTPは中間者攻撃で転送され得る。
- ソーシャルエンジニアリング：ユーザーを騙して承認を押させる手口。
- デバイスの盗難・紛失：認証デバイスを盗まれるとリスクになる（ただしハードウェアキーはPINや生体で保護されることが多い）。
- アカウント回復フローの弱点：メール再発行や電話による本人確認が弱いと、そこが突破口になる。
実装時のベストプラクティス
- フィッシング抵抗性の高い方式を優先：可能ならFIDO2/WebAuthnやハードウェアキー、パスキーを採用する。
- SMS/ボイスは最後の手段に：互換性のために提供する場合でも、重要操作や管理者アカウントには使用しない。
- 段階的／リスクベースの適用：全アクセスに厳格に適用するのが理想だが、ユーザビリティと業務要件を鑑みてリスクベースでMFAの有無や種類を変える（高リスク操作や管理者権限には常時要求）。
- 安全な登録・回復フローの整備：デバイス登録時の本人確認強化、バックアップコードの安全な保存、回復のための多段階確認など。
- 監査とログの強化：認証イベントのログ、失敗や不審なパターンの検出ルールを整備する。
- 教育とUXの両立：ユーザー教育（フィッシングに承認しない等）と使いやすさ（パスキー、ワンクリック承認等）の両立を目指す。
企業・組織での導入上の留意点
組織でMFAを導入する際は、管理者アカウントやリモートアクセス（VPN、RDP等）、クラウド管理コンソールなど最も侵害されやすい箇所から優先的に適用します。また、BYOD環境や物理トークンの配布・管理、失効プロセス、障害時のサポート体制も設計段階で定義しておくべきです。
法規制・ガイドラインとの関係
NIST（米国国立標準技術研究所）のSP 800-63Bなどは強い認証を推奨しており、SMSや音声によるOTPは可能なら避けることが示唆されています。業界標準や規制（金融や医療、PCI-DSS等）でも、高リスクアクセスや管理者アクセスに対する多要素認証の適用が推奨または要求される場合があります。
まとめ：MFA導入で何を期待するか
多要素認証は、適切に設計・運用すればアカウント乗っ取りや不正アクセスのリスクを大幅に低減できます。しかし「MFAを入れれば絶対安全」という過信は禁物で、フィッシング耐性の高い方式の選択、堅牢な回復フロー、利用者教育、監視・ログ体制の整備と組み合わせることが重要です。近年はFIDO2やパスキーの普及により、より安全でユーザーフレンドリーな認証体験が実現しつつあります。導入時には現場の運用性とリスクのバランスを取り、段階的に移行計画を立てることを推奨します。
参考文献
- NIST Special Publication 800-63B: Digital Identity Guidelines — Authentication and Lifecycle (SP 800-63B)
- W3C Web Authentication: An API for accessing Public Key Credentials (WebAuthn)
- FIDO Alliance — 認証標準と技術（FIDO、FIDO2、パスキーなど）
- OWASP Multifactor Authentication Cheat Sheet
- Microsoft Learn: What is Azure Multi-Factor Authentication?
投稿者プロフィール
