「MFA（多要素認証）を導入する」と一言で言っても、実際にはSMS認証・TOTP（ワンタイムパスワード認証アプリ）・FIDO2/パスキーなど、複数の技術方式から選択する必要があります。それぞれコスト・安全性・利便性のバランスが異なるため、自社の業務内容やリスクレベルに応じた選定が重要です。本記事では、代表的なMFA方式を比較し、選定の考え方を整理します。
1. MFA方式は一つではない
MFA導入を検討する際、「MFAを入れる」という決定と、「どの方式のMFAを入れるか」という決定は別問題です。同じ「多要素認証」という括りの中でも、SMS認証とFIDO2認証とでは、フィッシング耐性において天と地ほどの差があります。方式選定を誤ると、「MFAを導入したはずなのに、フィッシング被害に遭った」という事態を招きかねません。
2. SMS認証：手軽さと限界
SMS認証は、ログイン時にスマートフォンへSMSでコードを送信し、そのコードを入力させる方式です。専用アプリのインストールが不要で、多くのユーザーにとって最も馴染みのある方式ですが、セキュリティ上のリスクも指摘されています。
- SIMスワップ攻撃：攻撃者が携帯電話会社を欺いてSIMカードを乗っ取ることで、正規ユーザー宛のSMSを攻撃者が受信できてしまう
- フィッシングによるコード窃取：偽サイトに入力させたコードを、攻撃者がリアルタイムで正規サイトに転送する「中間者攻撃（AiTM）」に対して脆弱
- コスト：SMS送信には通信キャリアへの従量課金が発生し、利用者数・頻度によってはランニングコストが積み上がる
NIST（米国立標準技術研究所）のガイドラインでも、SMSによる認証は非推奨の方向で見直しが進んでおり、新規導入としては優先度の低い選択肢になりつつあります。
3. TOTP（認証アプリ）：バランス型の選択肢
TOTP（Time-based One-Time Password）は、Google Authenticator等の認証アプリが、時刻に基づいて30秒ごとに変化するコードを生成する方式です。SMSのような通信経由の傍受リスクがなく、通信キャリアへの従量課金も発生しないため、SMS認証より優れた選択肢とされています。
ただし、TOTPも「表示されたコードを人間が入力する」という設計上、フィッシングサイトに誘導されて入力してしまうと、攻撃者がそのコードをリアルタイムで悪用できてしまう「中間者攻撃」のリスクは残ります。SMSより安全性は高いものの、フィッシング耐性という観点では限界があります。
4. FIDO2/パスキー：フィッシング耐性の最高水準
FIDO2/パスキーは、公開鍵暗号方式を用い、認証時にアクセス先のドメインを技術的に検証する設計になっています。ユーザーが「コードを入力する」という操作自体が存在しないため、偽サイトに誘導されても、そのサイト向けの認証情報が生成されることは原理的にありません。SMS・TOTPが抱える「人間が入力する情報を騙し取られる」リスクを、設計そのものから排除している点が最大の特徴です。
FIDO2/パスキーへの移行は、Keyperにご相談ください
Net PeaceのKeyperは、SMS・TOTPからFIDO2/パスキーへの段階的な移行を支援するID・アクセス管理製品です。既存の認証方式と併用しながら、リスクの高いシステムから優先的に移行できます。
5. コスト・安全性・利便性の比較
| 方式 | フィッシング耐性 | 導入コスト | 運用コスト | ユーザーの利便性 |
|---|---|---|---|---|
| SMS認証 | 低い（SIMスワップ・AiTMに脆弱） | 低い | 従量課金で積み上がりやすい | 高い（追加アプリ不要） |
| TOTP（認証アプリ） | 中程度（AiTMに脆弱） | 低い（多くが無料アプリ） | 低い | 中程度（アプリのインストールが必要） |
| FIDO2/パスキー | 最高水準（技術的にフィッシング不可） | 中〜高（認証器・システム連携） | 低い（コード入力・リセット対応が減少） | 高い（生体認証・タップのみ） |
6. 自社に合った方式の選び方
すべてのシステムを一度にFIDO2化することが難しい場合、以下のような優先順位付けが現実的です。
- 最優先：特権アカウント・機密情報へのアクセス：侵害された場合の被害が最も大きいシステムから、FIDO2への移行を優先する
- 次点：全社員が日常的に使うシステム：利用頻度が高く、業務効率化の効果も大きいため、パスワードレス化のメリットを実感しやすい
- 暫定対応：レガシーシステム：FIDO2に対応していないシステムは、当面TOTPで運用しつつ、システム更新のタイミングでの移行を計画する
全社一律の方式にこだわるのではなく、システムのリスクレベルに応じて段階的に最適な方式へ移行していくアプローチが、現実的かつ効果的です。
よくある質問
Q1: SMS認証は今すぐ廃止すべきですか？
SMS認証も「認証しない」よりは遥かに安全ですが、フィッシング耐性の観点では限界があります。すぐに全廃するのが難しい場合でも、特権アカウントや機密性の高いシステムから優先的にFIDO2へ移行し、段階的にSMS認証への依存を減らしていくことを推奨します。
Q2: TOTPとFIDO2、どちらを優先して導入すべきですか？
コストを抑えてまず一段階セキュリティを底上げしたい場合はTOTPが選択肢になりますが、フィッシング耐性を重視する場合はFIDO2が望ましい選択です。既にTOTPを導入済みの企業は、リスクの高いシステムから段階的にFIDO2へ移行する計画を検討することをお勧めします。
Q3: 複数の方式を併用することは問題ないですか？
問題ありません。むしろ、システムのリスクレベルに応じて方式を使い分けることは、現実的で推奨される運用です。ただし、方式が増えるほど運用管理は複雑になるため、最終的には可能な限りFIDO2に統一していく方向性を持つことが望ましいです。
7. まとめ
MFA方式の選び方について解説した内容を振り返ります。
- 「MFAを導入する」ことと「どの方式を選ぶか」は別の意思決定であり、方式によってフィッシング耐性は大きく異なる
- SMS認証はSIMスワップ・中間者攻撃に脆弱で、新規導入としての優先度は下がりつつある
- TOTPはSMSより安全だが、フィッシングサイトへのコード入力には引き続き脆弱性が残る
- FIDO2/パスキーは、ドメイン検証の仕組みによりフィッシング耐性が最高水準である
- 全システム一律ではなく、リスクレベルに応じた段階的な移行計画が現実的なアプローチ
Net PeaceのKeyperは、既存のMFA環境からFIDO2/パスキーへの段階的な移行を、システムごとの優先順位付けから支援します。