二段階認証の設定方法とパスキーとは？SMS認証が弱いと言われる理由

パスワードが流出しても、二段階認証が入っていれば入られません。
この記事で扱う対策のなかで、費用がかからず効果がいちばん大きいのがこれです。

さらに最近は、パスワードそのものを使わない「パスキー」が広がってきました。
名前は聞くけれど何が違うのか分からない、という方が多いところです。

この記事では、SMS・認証アプリ・パスキーの3つを安全性の順に並べ、
どれから設定すればいいかを決められるように整理します。

二段階認証とは何か

ログインのときに、パスワードに加えてもう1つの確認を求める仕組みです。

パスワードは「知っていること」で、これは漏れます。
もう1つの要素として「持っているもの」（スマートフォン）や
「本人であること」（指紋・顔）を足すのが二段階認証です。

なぜこれが効くのか

流出したパスワードを使った攻撃は、機械で大量に試す形で行われます。
二段階認証が入っていると、パスワードが合っていてもその先に進めません。

攻撃側は数で勝負しているので、1つ手間が増えるだけで対象から外れます。
これが「費用ゼロで効果が大きい」と言われる理由です。

3つの方式を安全性の順に並べる

方式	安全性	手間	弱点
パスキー	もっとも高い	指紋や顔だけ	対応しているサービスがまだ限られる
認証アプリ	高い	アプリを開いて6桁を入力	機種変更時の移行を忘れると詰まる
SMS	無いよりはるかに良い	届いた番号を入力	番号の乗っ取りや転送に弱い

※当サイトによる整理です。

大事なのは順位ではなく、「何も入れていない」から1つ上がることです。
SMSしか選べないサービスなら、SMSで構いません。入れてください。

SMSが弱いと言われる理由

電話番号は、手続きによって他人の手に移ることがあります。
番号が移れば、そこに届く確認コードも一緒に移ります。

とはいえ、何も入れていない状態とは比べものになりません。
「SMSは危ないからやらない」がいちばん危ない選択です。

認証アプリが現実的な落としどころ

スマートフォンのアプリが、30秒ごとに変わる6桁の数字を出します。
電話番号と無関係に動くため、番号を奪われても影響を受けません。

設定はサービス側に表示されるQRコードをアプリで読むだけです。
1つ設定すれば、2つめ以降は同じ手順になります。

認証アプリの選び方と設定の流れ

どのアプリでも仕組みは同じ規格なので、サービス側がアプリを指定することはありません。
好きなものを1つ決めて、全サービスをそこに集めるのがいちばん楽です。

選ぶときに見る3点

認証アプリを決める基準

1つめがいちばん重要です。移行の手段が無いアプリを選ぶと、機種変更のたびに全サービスを設定し直すことになります。

設定の流れは4手

どのサービスでもほぼ同じです。

手順	やること	つまずきやすい点
1	サービスの設定で二段階認証を開く	項目名がサービスごとに違う
2	表示されたQRコードを認証アプリで読む	画面を閉じると読み直しになる
3	アプリに出た6桁を入力して確定	30秒で変わるので慌てず次の番号で
4	復旧用コードを保存する	ここを飛ばす人が非常に多い

※当サイトによる整理です。画面の名称はサービスごとに異なります。

4手目まで終えて初めて設定完了です。3手目で画面を閉じないでください。

パスキーとは何か

パスワードを使わずにログインする仕組みです。
端末の中に鍵を作り、指紋や顔で本人確認してログインします。

パスワードと何が違うのか

決定的な違いは、入力する秘密が存在しないことです。

パスキーで消える3つの問題

2つめが特に大きい点です。
パスキーは正規のドメインとだけ結びつくため、偽サイトを開いても鍵が出てきません。
フィッシングに対して、人の注意力に頼らずに効きます。

パスキーの弱点

対応しているサービスがまだ限られます。
大手から順に増えていますが、使っているサービス全部にあるわけではありません。

もう1つ、端末を失ったときの復旧を確認しておく必要があります。
多くはクラウド同期で複数の端末に行き渡りますが、設定しだいです。

どれから設定するか：優先順位

全部にいきなり入れるのは現実的ではありません。順番を決めます。

優先	対象	理由
1番目	メール	他の全サービスの再設定に使われる入口
2番目	ネットバンキング・証券	被害が金額に直結する
3番目	スマホ決済・通販	カードが登録されている
4番目	主要なSNS	なりすましと連絡先への二次被害

※当サイトによる整理です。

メールが1番目である理由は、ここが落ちると他が全部落ちるからです。
銀行から始めたくなりますが、順番としてはメールが先です。

設定する場所

サービスによって呼び名が違いますが、探す場所は共通しています。

見るところ

設定するときに必ずやること

復旧用コードを保存する

ここを飛ばすと、将来かならず困ります。
二段階認証を設定すると、多くのサービスが復旧用のコードを表示します。

スマートフォンを失くした、壊れた、機種変更で移行し損ねた。
そのときに自分のアカウントへ戻る唯一の手段がこのコードです。

画面を閉じる前に、紙に書くか、別の端末に保存してください。
同じスマートフォンの中だけに保存するのは意味がありません。

機種変更の前に移行する

認証アプリは、新しい端末に自動では移りません。
古い端末が手元にあるうちに移行してください。

移行の機能はアプリ側にあります。
古い端末を初期化したあとでは、復旧用コードが頼りになります。

2つ目の方法を登録しておく

可能なら、認証アプリとSMSの両方、またはパスキーと認証アプリを登録します。
片方が使えなくなっても、もう片方で入れます。

家族のアカウントも同時に見る

自分だけ固めても、同じ端末や同じ回線を使う家族の側から入られることがあります。

特に見ておきたい3つ

家族で確認する項目

3つめは見落とされます。使わなくなったスマートフォンやタブレットが、ログイン状態のまま引き出しに入っていることがあります。各サービスの「ログイン中の端末」から外しておいてください。

二段階認証で防げないこと

万能ではないので、ここも正直に書きます。

企業側の流出は止まらない

預けた先から会員情報が漏れること自体は、二段階認証と無関係です。
防げるのは「漏れたパスワードで入られること」です。

流出そのものの確認方法は
メールアドレスの流出を確認する方法に、
漏れていた場合の手順は
個人情報が流出したら？漏洩を確認する方法と今日からできる対策にまとめています。

通信の経路は別の層

公共Wi-Fiでどのサイトに接続したかが回線側に見える問題は、二段階認証では解決しません。
ここはVPNの担当です。

本人が入力してしまう攻撃

偽サイトで確認コードまで入力させる手口があります。
この形に対しては、パスキーが現時点でもっとも強い対策です。
鍵がドメインに結びついているため、偽サイトでは出てきません。

通信の層まで含めて守るならこの3社

ExpressVPN：接続速度と安定性で業界最高水準

	内容
本社所在地	英領バージン諸島
月額料金（2年プラン）	$4.49〜/月
返金保証	30日間
サーバー台数	3,000台以上
対応国数	113カ国
同時接続台数	10〜14台（プランによる）
日本語対応	アプリ・サポートともに対応

全世界で400万人以上が利用するExpressVPNは、VPN LIFEの速度検証で常にトップクラスの数値を記録しています。

一般的なVPNアプリは起動から接続完了まで30〜60秒かかりますが、ExpressVPNはその工程をわずか10秒ほどで完了。
毎日使うツールとしてのストレスのなさは、長期利用者からも高い評価を得ています。

地域制限への対応力も高く、4K動画の視聴でも品質低下を感じにくい通信速度を維持。
中国からの接続実績においても安定していると評価されており、渡航先を問わず使えます。

ExpressVPNのメリット・デメリット

＼【VPN LIFE特典】／
3ヵ月の無料期間が追加でもらえる！

ExpressVPN 公式サイト

口コミや評判のレビュー記事を読む

 

NordVPN：コストと機能のバランスに優れた定番サービス

	内容
本社所在地	パナマ
月額料金（2年プラン）	$3.99〜/月
返金保証	30日間
サーバー台数	8,000台以上
対応国数	140カ国以上
同時接続台数	10台
日本語対応	アプリ・サポートともに対応

NordVPNは新規利用者数が世界最多規模を誇るVPNです。
8,000台以上という圧倒的なサーバー数を持ち、混雑時でも安定した速度を確保しやすい点が特徴です。

長期プランを選択すれば月額料金を大幅に抑えられるため、コストパフォーマンスを重視する方に向いています。

一方、中国国内からの接続では不安定になるケースが報告されているため、中国滞在が多い方はExpressVPNを優先的に検討してください。

NordVPNのメリット・デメリット

＼ 30日間全額返金保証！／

NordVPN 公式サイト

口コミや評判のレビュー記事を読む

 

Surfshark：接続台数無制限で家族・複数デバイスに最適

	内容
本社所在地	オランダ
月額料金（2年プラン）	$2.39〜/月
返金保証	30日間
サーバー台数	4,500台以上
対応国数	100カ国
同時接続台数	無制限
日本語対応	アプリ・サポートに対応

主要VPNサービスの中でも月額料金が低いのが魅力のSurfshark。
新興のサービスですが、通信速度は大手と比較しても遜色なく、世界的な評価も年々向上しています。

同時接続台数に制限がないため、スマートフォン・タブレット・PCといった複数デバイスを1アカウントで使い回したい方や、家族と共有したい方に特に最適。

ただし、地域ブロックへの対応はExpressVPNやNordVPNに比べてやや弱い面があり、特定のサービスで接続が安定しないケースも見受けられます。

Surfsharkのメリット・デメリット

＼ 30日間全額返金保証！／

Surfshark 公式サイト

口コミや評判のレビュー記事を読む

 

二段階認証とパスキーに関するよくある質問

二段階認証は無料で使えますか？

はい。主要なサービスでは追加料金なしで設定できます。
認証アプリも無料のものが広く使われています。

SMSの二段階認証でも意味はありますか？

あります。何も入れていない状態とは大きく違います。
認証アプリやパスキーを選べるならそちらが安全ですが、SMSしか無いなら入れてください。

スマートフォンを失くしたらログインできなくなりますか？

復旧用コードを保存していれば戻れます。
設定時に表示されるコードを、スマートフォン以外の場所に保存しておいてください。

パスキーとパスワードは併用できますか？

多くのサービスでは、パスキーを設定してもパスワードは残ります。
完全に切り替えるかどうかはサービス側の設計によります。

パスキーは機種変更しても使えますか？

クラウド同期に対応していれば、同じアカウントの新しい端末に引き継がれます。
同期の設定を確認してから機種変更してください。

どのサービスから設定すればいいですか？

メールが最初です。
メールを押さえられると他のサービスの再設定に使われるためです。

まとめ：まずメールに1つ入れる

今日やること

完璧を目指さず、まずメールに1つ入れてください。
そこまでで、流出したパスワードによる被害の大半は止まります。