1. 多要素認証（MFA）とは
多要素認証（MFA：Multi-Factor Authentication）とは、種類の異なる複数の要素を組み合わせて本人を確認する認証の仕組みです。従来のように「IDとパスワード」だけでログインするのではなく、パスワードに加えて、スマホに届くコードや、指紋、専用のセキュリティキーなど、もう一つ別の要素を求めます。
なぜMFAが必要なのでしょうか。答えは、パスワードだけの認証が、もはや安全ではないからです。パスワードは、フィッシングで盗まれ、使い回しによって他社の漏洩から破られ、推測される——さまざまな方法で突破されています。そこで、「パスワードが破られても、それだけではログインできない」ようにするのが、多要素認証の考え方です。要素を複数にすることで、一つが突破されても、認証全体は守られます。今や、国内外の多くのセキュリティガイドラインが、MFAの導入を強く求めています。
2. 認証の「3つの要素」
多要素認証を理解する鍵は、認証の「要素」には3つの種類がある、ということです。
| 要素 | 意味 | 例 |
|---|---|---|
| 知識要素（本人だけが知っているもの） | 記憶している情報 | パスワード、PIN、秘密の質問 |
| 所持要素（本人だけが持っているもの） | 物理的に所有している物 | スマホ、セキュリティキー、ICカード |
| 生体要素（本人自身の特徴） | 身体的な特徴 | 指紋、顔、虹彩 |
多要素認証とは、この異なる種類の要素を2つ以上組み合わせることを指します。例えば「パスワード（知識）＋スマホの承認（所持）」や「ICカード（所持）＋指紋（生体）」といった具合です。ここで重要なのは、「異なる種類」を組み合わせる点です。パスワードと秘密の質問（どちらも知識要素）を2つ求めても、それは多要素認証とは言えません。種類の違う要素を組み合わせることで、攻撃者が同時にすべてを突破するのが難しくなるのです。
MFAと2要素認証（2FA）の関係
「2要素認証（2FA）」は、多要素認証（MFA）のうち、ちょうど2つの要素を使うものを指します。つまり、2FAはMFAの一種です。3つの要素をすべて使えば3要素認証となり、これもMFAに含まれます。詳しくはMFAと2要素認証の違いで解説しています。
3. MFAで防げる攻撃と導入効果
多要素認証を導入すると、パスワードを狙う多くの攻撃を防げます。
- フィッシング：偽サイトでパスワードを盗まれても、2つ目の要素がなければログインされにくくなります（※後述の通り、方式によっては突破されることもあります）。
- パスワードの使い回しによる被害（クレデンシャルスタッフィング）：他社から漏れたパスワードで試されても、2つ目の要素で止められます。
- パスワードスプレー攻撃：ありがちなパスワードを総当たりされても、単独では突破されません。
Microsoftなどの調査でも、MFAの導入がアカウント乗っ取りの大部分を防ぐ効果を持つことが繰り返し示されています。パスワードだけの状態と比べれば、MFAの導入効果は極めて大きく、今すぐ取り組むべき、最も基本的で効果の高いセキュリティ対策と言えます。
4. MFA導入のポイントと注意点
MFAを導入する際は、次の点を押さえましょう。
- 重要な入口から優先的に：社外からアクセスするVPNやSaaS、管理者権限など、リスクの高い入口から優先してMFAを適用します。
- 要素の「強さ」に注意：MFAといっても方式によって強度が異なります。SMSで送られるコードは、SIMスワップやフィッシングで盗まれる事例が報告されており、比較的弱い方式です。より安全な方式を選ぶことが重要です。
- 利用者の負担に配慮：毎回複雑な操作を求めると現場が疲弊します。使いやすさと安全性のバランスを取ります。
特に注意したいのが、「MFAを入れれば絶対安全」ではないという点です。パスワードを残したままのMFAは、巧妙なフィッシングや「MFA疲労攻撃」（何度も承認要求を送りつけて誤承認を誘う手口）によって突破される事例が実際に起きています。MFAは強力ですが、万能ではないのです。
5. MFAの先にあるゴール——パスワードレス
では、MFAの弱点をどう乗り越えるのか。その答えが、パスワードそのものをなくす「パスワードレス認証」です。
MFAの弱点の多くは、「パスワードという盗めるもの」が認証に残っていることに起因します。フィッシングでパスワードを盗み、さらに確認コードまで盗む——攻撃者はこの「盗めるもの」を狙い続けます。ならば、パスワードそのものをなくしてしまえばよい、という発想が生まれます。これがパスワードレスです。
その中核となる国際標準がFIDO2です。FIDO2/パスキーによる認証は、生体認証や専用の認証器を使い、パスワードを一切使いません。しかも、フィッシングに極めて強い設計になっており、確認コードのように「盗んで使う」ことができません。米国NISTをはじめ、世界のセキュリティガイドラインは、最終的に求められる認証として、このフィッシング耐性の高いパスワードレス認証を明確に示しています。MFAは、パスワードだけの状態から抜け出す重要な一歩です。しかし、その先に目指すべきゴールは、パスワードのいらないパスワードレス認証なのです。
6. まとめ
多要素認証（MFA）とは、知識・所持・生体という異なる種類の要素を2つ以上組み合わせて本人を確認する仕組みです。パスワードだけの認証が破られ続ける今、MFAはフィッシングや使い回しによる被害を防ぐ、最も基本的で効果の高い対策であり、多くのガイドラインが導入を求めています。
一方で、パスワードを残したままのMFAには、フィッシングやMFA疲労攻撃で突破される限界もあります。だからこそ、MFAの導入は重要な第一歩としつつ、最終的に目指すべきゴールは、パスワードそのものをなくすパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが示すこの方向を見据え、まずは自社の認証がパスワードだけになっていないかを確認することから始めましょう。認証強化の進め方に迷ったら、専門家に相談することをおすすめします。