二段階認証

二段階認証は、ログイン時にパスワードだけでなく、別の確認ステップを追加するセキュリティ方式です。パスワードが万が一漏れても、もう1つの要素（スマホや物理キー等）がなければログインできないため、アカウント乗っ取りリスクを大幅に下げられます。

認証の『要素』には3種類あります。『知識情報（パスワード・PIN）』『所持情報（スマホ・物理キー）』『生体情報（指紋・顔）』で、これらのうち異なる2種類を組み合わせるのが本来の『二要素認証』です。厳密には同じスマホでSMSと認証アプリを併用しても『所持情報2つ』で要素は1つなので、厳密な2FAではなく『二段階認証』と呼ぶことが多くなっています。

具体的な実装方式としては、①SMSで届く6桁コード、②Google Authenticator・Microsoft Authenticator等の認証アプリが生成する30秒ごとのワンタイムコード（TOTP）、③YubiKey等の物理セキュリティキー、④プッシュ通知（Apple ID等）、⑤パスキー（FIDO2）などがあります。セキュリティ強度は概ね物理キー・パスキー＞認証アプリ＞SMS の順で、SMSはSIMスワップ詐欺で突破される事例も報告されているため、重要アカウントには認証アプリ以上が推奨されます。

導入時の注意点は『バックアップコードの保管』です。認証アプリを入れたスマホを紛失・故障させると、ログイン手段を失います。設定時に発行されるリカバリーコードを必ず紙に印刷するかパスワード管理ソフトに保存しておくことが重要です。