IDとパスワードだけのログインに不安を感じ、多要素認証（MFA）の導入や強化を検討し始めた企業が増えています。取引先やセキュリティガイドライン、サイバー保険の加入条件で「多要素認証を有効にするように」と求められ、あらためて調べ始めた担当者も多いのではないでしょうか。
ただ、いざ調べてみると「SMSに届くコード」「認証アプリ」「セキュリティキー」「指紋・顔認証」など方式が多く、どれがどう違い、自社では何を選べばよいのか分かりにくいのが実情です。多要素認証には具体的にどんな種類があり、それぞれ何が違うのでしょうか。
本記事では、多要素認証を構成する認証の3要素（知識・所持・生体）と、その中にある個別の認証方式を具体例つきで整理し、二段階認証・二要素認証との違い、方式ごとのセキュリティ強度や利便性の比較、そして自社に合う方式の選び方までを解説します。認証強化の検討材料としてご活用ください。
目次
一括ダウンロードする
多要素認証の種類とは（認証の3要素と方式の全体像）
まず全体像から確認します。多要素認証（MFA：Multi-Factor Authentication）とは、性質の異なる複数の認証要素を組み合わせて本人確認を行う仕組みです。総務省は、認証に使う情報を「知識情報」「所持情報」「生体情報」の3つに整理し、次のように説明しています。
多要素認証とは、認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することを指し、多要素認証の中でも2つの要素を使う認証のことを2要素認証と呼びます。
出典：安全なパスワードの設定・管理｜国民のためのサイバーセキュリティサイト（総務省）
この「認証の3要素」は、国際的な認証ガイドラインであるNIST（米国国立標準技術研究所）のSP 800-63Bでも、本人だけが「知っているもの（something you know）」「持っているもの（something you have）」「その人自身であるもの（something you are）」として定義されている考え方です。
多要素認証の「種類」は、この3要素という大きな分類と、その中にある個別の認証方式という2つの層で捉えると整理しやすくなります。
3要素と、それぞれに属する代表的な認証方式を一覧にまとめました。各方式の中身は次章で順に解説します。
| 認証要素 | 本人確認の根拠 | 代表的な認証方式（本記事で解説） |
|---|---|---|
| 知識情報（something you know） | 本人だけが「知っている」情報 | パスワード、PINコード、秘密の質問、マトリクス認証 |
| 所持情報（something you have） | 本人だけが「持っている」もの | SMS・メールのワンタイムパスワード、認証アプリ（TOTP）、プッシュ通知、ハードウェアトークン、セキュリティキー（FIDO2・パスキー）、デジタル証明書 |
| 生体情報（something you are） | 本人の身体的・行動的な特徴 | 指紋認証、顔認証、静脈認証、虹彩認証、声紋認証 |
多要素認証で重要なのは、これら3要素のうち「異なる要素」を2つ以上組み合わせる点です。同じ要素を2つ重ねても多要素認証にはなりません（詳しくは「二段階認証・二要素認証・多段階認証との違い」で解説します）。
出典・参考資料（2件）
認証方式ごとの解説（仕組み・具体例・注意点）
ここからは、3要素それぞれに属する認証方式を、仕組み・具体例・使ううえでの注意点とあわせて解説します。同じ「所持情報」でも、SMSのコードとセキュリティキーではセキュリティ強度が大きく異なります。方式ごとの違いを押さえることが、自社に合う方式を選ぶ土台になります。
知識情報による認証（パスワード・PIN・秘密の質問・マトリクス認証）
知識情報は、本人だけが記憶している情報を使う方式です。最も身近なのがパスワードとPINコードで、多くのログインの基本になっています。「秘密の質問」も知識情報の一種で、母親の旧姓や出身校などをあらかじめ登録しておき、追加確認に使います。
やや特殊なものにマトリクス認証があります。縦横に数字や記号が並んだ表（マトリクス）から、あらかじめ決めた位置の並びを毎回読み取って入力する方式で、位置の並びという「記憶」を鍵にするため、専用の機器やスマートフォンを配らずに導入しやすい特徴があります。
知識情報は導入しやすい一方、盗み見・使い回し・フィッシングによる漏えいに弱く、これ単独では本人確認の根拠として不十分です。だからこそ、後述する所持情報や生体情報と組み合わせる多要素認証が求められます。
所持情報による認証
所持情報は、本人だけが持っているスマートフォンや専用デバイスを使う方式です。多要素認証で追加要素として最もよく使われる領域で、方式の幅が広く、セキュリティ強度の差も大きいため、ここを理解することが選定の要になります。
ワンタイムパスワード方式（SMS・メールOTP／認証アプリTOTP／プッシュ通知）
ワンタイムパスワード（OTP）は、一度きり・短時間だけ有効な使い捨てのパスワードです。ログイン時にIDとパスワードを入れた後、追加で入力させることで「本人のデバイスを持っている」ことを確認します。届け方・作り方によって、いくつかの方式に分かれます。
SMS・メールのワンタイムパスワードは、登録した電話番号やメールアドレスにコードを送る方式です。専用アプリが不要で導入のハードルが低い反面、注意点もあります。NIST SP 800-63Bは、電話網（PSTN）を使うSMS・音声のワンタイムパスワードを、認証方式のなかで唯一の「制限付き（restricted）」に位置づけ、利用にあたっての注意を促しています。
Verifiers SHOULD consider risk indicators (e.g., device swap, SIM change, number porting, other abnormal behavior) before using the PSTN to deliver an out-of-band authentication secret.（訳：検証者は、電話網を通じて認証コードを送る前に、端末の交換・SIMの変更・番号ポーティングなどのリスク指標を考慮すべきである）
出典：NIST SP 800-63B-4 Digital Identity Guidelines（Sec. 3.1.3.3 / 3.2.9）
これは、他人の電話番号を乗っ取るSIMスワップや番号の付け替えによって、SMSのコードが第三者に届いてしまうリスクがあるためです。メールのワンタイムパスワードも、メール自体がパスワードだけで守られていたり通信途中で傍受されたりする可能性があります。そのためNISTは、別の経路を使った追加の本人確認（out-of-band）の手段としては使うべきでないとしています。
手軽さと引き換えに弱点がある方式だと理解しておくことが大切です。
認証アプリ（TOTP）は、スマートフォンのアプリが30秒ごとに新しい数字コードを生成する方式です。Google認証システムやMicrosoft Authenticatorが代表例で、時刻をもとにコードを計算するTOTP（Time-based One-Time Password）という仕組み（RFC 6238）にもとづいています。
コードが端末内で生成されるため、SMSのように通信経路で番号を乗っ取られるリスクが小さいのが利点です。
プッシュ通知は、ログイン時にスマートフォンのアプリへ「ログインを承認しますか？」という通知を送り、本人がタップして承認する方式です。コードを手で入力する手間がなく利便性が高い一方、通知が来るたびに反射的に承認してしまうと不正ログインを許すおそれがあるため、承認時に画面の数字を照合させる仕組みなどが用意されています。
また、SMS・メール・認証アプリ・プッシュ通知のいずれも、コードを画面に手入力させたり承認させたりするタイプは、偽サイトにコードを中継されるフィッシング（中間者攻撃）を原理的には防ぎきれません。この点は次に述べるセキュリティキーとの違いにつながります。
出典・参考資料（2件）
ハードウェアトークン・セキュリティキー（FIDO2・パスキー）
物理的なデバイスそのものを認証に使う方式です。古くからあるのがハードウェアトークンで、画面に数字を表示する専用の小型機器や、ボタンを押すとワンタイムパスワードを発行するタイプがあります。スマートフォンを配れない環境でも使える一方、コードを手入力するタイプは前述のフィッシングの弱点を残します。
パスワードレス認証の中核として採用が広がっているのが、セキュリティキー（FIDO2）とパスキーです。USBやNFCで接続する物理キーや、スマートフォン・パソコンに内蔵された認証機能を使い、公開鍵暗号という仕組みで本人確認を行います。
公開鍵暗号は、対になる2つの鍵のうち秘密の鍵を手元のデバイスから外に出さず、サイトごとに専用の署名で応答する方式で、コードのように盗んで使い回すことができません。FIDOアライアンスは、パスキーの特徴を次のように説明しています。
By design, a passkey is only presented to the site it was registered with. There is no way for the user to inadvertently type it on an attacker’s site.（訳：パスキーは設計上、登録したサイトにしか提示されない。利用者が誤って攻撃者のサイトに入力してしまうことは起こり得ない）
出典：How Passkeys Work｜Passkey Central（FIDO Alliance）
秘密の鍵は手元のデバイスから外に出ず、登録したサイト以外には反応しないため、コードを盗んで中継するフィッシングが原理的に効きません。この「フィッシング耐性」が、SMSや認証アプリにはない強みです。
パスワードそのものを使わないパスワードレス認証にもつながる方式として、導入が広がっています。セキュリティキーの2つの意味や具体的な使い方・選び方は、セキュリティキーとは？仕組み・使い方・選び方で整理しています。
デジタル証明書
デジタル証明書（クライアント証明書・デバイス証明書）は、あらかじめ端末に電子証明書を組み込んでおき、その証明書を持つ端末からのアクセスだけを許可する方式です。証明書を持たない端末はそもそもログイン画面に到達できないため、IDとパスワードが漏れても、許可された端末以外からの不正アクセスを防げます。
公開鍵暗号を使う点はセキュリティキーと共通で、会社が配布・管理するパソコンを対象に、利用者が意識せず自動で認証を通せるのが利点です。一方で、証明書の発行・更新・失効といった運用管理の仕組みが必要になります。
生体情報による認証（指紋・顔・静脈・虹彩・声紋）
生体情報は、本人の身体的・行動的な特徴を使う方式です。指紋認証・顔認証はスマートフォンのロック解除で広く普及し、ほかにも手のひらや指の静脈のパターンを読む静脈認証、目の虹彩を使う虹彩認証、声の特徴を使う声紋認証があります。いずれも「本人自身」を鍵にするため、パスワードのように忘れたり使い回したりする心配がありません。
利便性が高い一方、けがや体調・加齢による変化で読み取り精度が落ちる場合があり、生体情報という機微なデータの取り扱いにも配慮が必要です。近年は、スマートフォンやパソコンに内蔵された生体認証をセキュリティキー（FIDO2）と組み合わせ、生体情報を端末の外に出さずにパスワードレス認証を実現する使い方が広がっています。
指紋・顔・静脈・虹彩・声紋それぞれの仕組みやメリット・デメリット、企業での活用については、生体認証とは？種類・仕組みとメリット・デメリットで詳しく解説しています。
新しい認証方式（リスクベース・適応型／行動・コンテキストベース認証）
3要素の分類とは別に、これらを状況に応じて使い分ける発展的な方式もあります。リスクベース認証（適応型認証）は、ログインの状況からリスクを判定し、危険度が高いときだけ追加の認証を求める方式です。NIST SP 800-63Bは、判定に使う手がかりとして、IPアドレス・位置情報・アクセスの時間帯のパターン・ブラウザの情報などを挙げています。
いつもの端末・場所からのログインは追加認証を省き、いつもと違う国からのアクセスなど普段と異なる挙動が見られたときだけ本人確認を強める、といった運用ができます。利便性とセキュリティを両立させる考え方として、多くのMFAシステムに取り入れられています。
こうした行動・利用環境（コンテキスト）を手がかりにする方式は、単独で使うというより、ほかの認証方式に重ねて使う判定の層として機能します。リスクベース認証の仕組みや多要素認証との違い、導入の手段については、リスクベース認証とは？仕組み・MFAとの違い・導入手段をご覧ください。
二段階認証・二要素認証・多段階認証との違い
認証方式を調べていると必ず出てくるのが、二段階認証・二要素認証・多段階認証という似た言葉です。ここが曖昧なままだと方式を比較しても混乱するため、先に整理します。ポイントは、その言葉が「認証の回数」の話なのか、「認証要素の種類」の話なのかを見分けることです。
| 用語 | 意味 | 具体例 |
|---|---|---|
| 二段階認証 | 認証を2回に分けて行う（使う要素の種類は問わない） | ID・パスワードの後に「秘密の質問」（どちらも知識情報でも成立する） |
| 多段階認証 | 認証を複数回に分けて行う（回数を増やす考え方。要素の種類は問わない） | 二段階認証を含む、回数重視の広い概念 |
| 二要素認証 | 異なる2つの要素を組み合わせる（多要素認証の一種） | パスワード（知識）＋SMSコード（所持） |
| 多要素認証 | 異なる2つ以上の要素を組み合わせる | パスワード（知識）＋スマートフォン（所持）＋指紋（生体） |
大切なのは、多要素認証が異なる要素を組み合わせる点です。NIST SP 800-63Bも、多要素認証には「異なる（distinct）2つの認証要素の所持と管理の証明」が必要だとしています。たとえばID・パスワードの後に秘密の質問を求める構成は、認証を2回行うので二段階認証ではありますが、どちらも知識情報のため、要素は1種類しか使っておらず多要素認証には当たりません。
このように、二段階認証・多段階認証は「回数」を、二要素認証・多要素認証は「要素の種類」を軸にした言葉です。二要素認証は多要素認証の一種であり、回数を増やすより、異なる種類の要素を組み合わせるほうがセキュリティは高まります。
出典・参考資料（2件）
一括ダウンロードする
多要素認証が求められる背景（なぜ方式を使い分けるのか）
種類と方式ごとの違いを押さえたところで、なぜ方式を選び分ける必要があるのかを簡単に補足します。ポイントは、どの方式でも「多要素認証」と呼べる一方で、方式によってセキュリティ強度・フィッシング耐性・運用の手間が大きく異なる点です。
たとえば同じ「本人のスマートフォンを使う」方式でも、SMSのワンタイムパスワードは前述のとおり弱点があり、セキュリティキー（パスキー）はフィッシングに強い、という差があります。何を選ぶかで、防げる攻撃も、利用者の手間も変わります。
だからこそ、「多要素認証を入れる」で止めず、方式を横並びで比較して自社に合うものを選ぶことが重要になります。次章では、ここまでの方式を選ぶ観点で一覧にまとめます。
出典・参考資料（1件）
認証方式の比較（強度・利便性・コスト・フィッシング耐性）
ここまで解説した主な認証方式を、選ぶ際の観点で横並びにまとめます。「結局どれを選べばよいか」を判断する材料として、セキュリティ強度・利便性・導入コスト・フィッシング耐性・スマホの要否で比較しました。
この「フィッシング耐性」の判定は主観ではなく、NIST SP 800-63Bの基準にもとづいています。同ガイドラインは、コードを手入力するワンタイムパスワード方式はフィッシング耐性を持たず、公開鍵暗号を使う暗号認証（セキュリティキー・パスキー・デジタル証明書）がフィッシング耐性を持つ、と整理しています。
Phishing resistance requires single- or multi-factor cryptographic authentication. Authenticators that involve the manual entry of an authenticator output (e.g., out-of-band and OTP authenticators) SHALL NOT be considered phishing-resistant.（訳：フィッシング耐性には暗号による認証が必要で、コードを手入力するタイプ（out-of-bandやOTP）はフィッシング耐性を持つとはみなされない）
出典：NIST SP 800-63B-4 Digital Identity Guidelines（Sec. 3.2.5 Phishing Resistance）
| 認証方式 | セキュリティ強度 | 利便性 | 導入コスト | フィッシング耐性 | スマホの要否 |
|---|---|---|---|---|---|
| パスワードのみ（参考） | 低 | 高 | 低 | なし | 不要 |
| SMS・メールのOTP | 中 （SMSは制限付き） | 高 | 低 | なし | 要 （個人スマホ可） |
| 認証アプリ（TOTP） | 中 | 中 | 低 | なし | 要 （個人スマホ可） |
| プッシュ通知 | 中 | 高 | 中 | なし （番号照合で緩和） | 要 （個人スマホ可） |
| ハードウェアトークン（OTP型） | 中 | 中 | 中 | なし | 不要 |
| マトリクス認証 | 中 | 中 | 低 | なし | 不要 |
| セキュリティキー（FIDO2・パスキー） | 高 | 中〜高 | 中〜高 | あり | 不要 |
| デジタル証明書 | 高 | 高 （自動認証） | 中〜高 | あり | 不要 |
| 生体認証 | 中〜高 | 高 | 中 | 方式による （FIDO2連携で高い） | 端末に依存 |
※各方式の一般的な特性を整理したものです。セキュリティ強度は、コードを手入力せず公開鍵暗号で認証する方式（セキュリティキー・証明書）ほど高く評価しています。フィッシング耐性はNIST SP 800-63Bの基準にもとづきます。強度・利便性は実装や運用により異なります。
強度と利便性はトレードオフになりがちですが、フィッシング耐性を重視するなら、コードを手入力しないセキュリティキー（FIDO2・パスキー）やデジタル証明書が有力です。一方で、まず手軽に始めたい場合は認証アプリ（TOTP）から導入し、段階的に強い方式へ移行する進め方も現実的です。
自社に合う認証方式・MFAシステムの選び方
最後に、「種類は分かったが、自社では何を入れればよいか」に橋渡しします。認証方式は単体で使うより、複数の方式や機能をまとめて提供する多要素認証（MFA）システムとして導入するのが一般的です。自社の環境に合わせて、次の観点で考えると選びやすくなります。
自社環境別の選び方（クラウド中心か・社用スマホの有無・対象人数・求める強度）
クラウドサービス中心の環境なら、Microsoft 365やGoogle Workspaceなど複数のサービスへのログインを1つにまとめられるSSO（シングルサインオン）と多要素認証を統合したMFAシステムが効率的です。ログインの入り口を一本化しつつ、そこに強い認証をかけられます。
社用スマートフォンを全員に配れない環境では、スマホに依存しない方式が現実的な選択肢になります。物理的なセキュリティキーや、証明書を組み込んだ会社のパソコン、位置の記憶で認証するマトリクス認証などが該当します。派遣・協力会社のスタッフや、店舗・現場のシフト制の勤務が多い職場で特に検討されます。
こうした環境で実際にどのような相談が多いのか、株式会社インターナショナルシステムリサーチの内田氏は、導入現場の傾向を次のように説明しています。
最も多いのは、全社員へのスマートフォン支給が困難なケースです。派遣社員や協力会社のスタッフがシステムにアクセスする際の認証手段として活用されています。また、店舗やコールセンターなどのシフト制の現場において、IDとパスワードの管理負担を軽減しつつ、確実な本人認証を実現する手段としても選ばれています。
求めるセキュリティ強度も重要な軸です。フィッシング被害を確実に防ぎたい、あるいはガイドラインで強い認証が求められている場合は、フィッシング耐性のあるセキュリティキー（FIDO2・パスキー）やデジタル証明書を軸に据えます。まずは全社的に底上げしたい段階なら、導入しやすい認証アプリから始める判断もあります。
対象人数が多いほど、配布・運用・問い合わせ対応の負担が効いてくるため、管理のしやすさやサポート体制もあわせて確認します。
この運用や問い合わせ対応の負担は、パスワードそのものをなくすことで軽減できる場合があります。その効果について、株式会社インターナショナルシステムリサーチの平澤氏は、導入事例を次のように挙げています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
以下では、こうした方式を実際に導入できる多要素認証（MFA）システムのうち、それぞれ異なる認証方式を代表するサービスを紹介します。ここで挙げるのは代表的な一例で、より多くのサービスを条件で比較検討したい場合は、この後の一括資料請求もご活用ください。
| サービス名 | YubiKey as a Service | CloudGate UNO | DZ Security® |
|---|---|---|---|
| 対応する主な認証方式 | セキュリティキー （FIDO2/WebAuthn・U2F・PIV・OTP） | パスキー/セキュリティキー（FIDO2）・ 生体認証・OTP・認証アプリ | 継続認証（バックグラウンド認証®） 生体＋行動的特徴の組み合わせ |
| 提供形態 | 物理セキュリティキー＋ サブスク運用代行 | クラウド型IDaaS （SSO＋MFA統合） | アプリ組込型のSDK/API |
| 主な特徴 | フィッシング耐性が高く スマホ不要。導入・運用支援や 予備キー提供も込み | 複数の認証方式を1つに統合。 全プランでパスキー利用可。 アクセス制限も一体 | 利用中ずっと本人確認を継続。 認証データは端末内に保存。 パスワードレス化に対応 |
| 料金の目安 | 要問い合わせ （200ライセンスから） | 月額440円/ユーザー（税込）〜 ／30日間の無料トライアルあり | 要問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | ミーティングを予約する |
※各サービスの公開情報・掲載情報をもとに主な特徴を整理したものです（2026年9月時点）。料金・仕様は変更される場合があるため、詳細は各サービスの資料・お問い合わせでご確認ください。
代表的な多要素認証（MFA）システム
1. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
フィッシング耐性の高いセキュリティキー「YubiKey」を、サブスクリプション形式で導入から運用まで一体で使えるサービスです。キー本体の提供だけでなく、導入計画の策定支援や継続的なサポート、毎年一定数の無償予備キーの提供などが含まれ、情報システム部門の管理負担を抑えながら全社展開できる点が特徴です。
YubiKeyはFIDO2をはじめ複数の認証規格に対応した物理キーで、PINコードがなければ悪用が難しく、紛失時のリスクを抑えられます。用途に応じてベース・アドバンスド・コンプライアンスの3タイプから選べ、全社員へのスマートフォン支給が難しい環境や、過酷な現場での利用にも向いています。料金は導入規模やサポート内容に応じた個別見積もりで、200ライセンスから提供されています。
2. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
複数の認証方式を1つでカバーできる、統合型のクラウド認証基盤（IDaaS）です。SSO（シングルサインオン）・多要素認証・アクセス制限・ID管理をまとめて提供し、Google WorkspaceやMicrosoft 365など多数のクラウドサービスと連携できます。方式ごとに別々の製品を用意しなくても、1つの管理画面で認証を強化できるのが強みです。
多要素認証では、FIDO2/WebAuthn準拠のパスキーやセキュリティキー、Windows HelloやTouch ID/Face IDなどの内蔵生体認証、自社の認証アプリ、ワンタイムパスワードに対応しています。全プランでパスキー認証を利用できます。利用環境やデバイスの状態に応じて認証方式を動的に切り替える運用も可能です。
料金は月額440円/ユーザー（税込）からで、30日間の無料トライアルも用意されています。
3. DZ Security®（株式会社AnchorZ）
ログイン時の一回きりの認証ではなく、サービス利用中ずっと本人確認を続ける「バックグラウンド認証」を核にした本人認証プラットフォームです。顔・声紋といった生体情報に加え、スマートフォンの持ち方や利用場所・時間帯といった行動的な特徴を組み合わせて、利用者が本人かどうかを継続的に判定します。
本人以外の利用と判定されると自動でロックする仕組みや、パスワード入力をなくすパスワードレス化に対応し、認証データは端末内に保存してサーバーへ送らない設計とされています。生体と行動的特徴を掛け合わせる新しいタイプの認証方式で、なりすまし対策を強めたい場面に向きます。料金や導入条件はミーティングでの相談・要問い合わせとなります。
ここで挙げた3サービスは、それぞれ異なる認証方式を代表する例です。認証方式・料金・提供タイプ別の選び方まで含めて、多要素認証（MFA）システムをより多く横並びで比較したい場合は、以下の記事もあわせてご覧ください。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
まとめ
多要素認証の「種類」は、認証の3要素（知識・所持・生体）という大分類と、その中の個別の認証方式という2つの層で捉えると整理できます。同じ所持情報でも、SMSのワンタイムパスワードとセキュリティキー（FIDO2・パスキー）ではフィッシング耐性が大きく異なり、方式の違いがそのままセキュリティ強度の違いになります。
自社に合う方式を選ぶには、クラウド中心か・社用スマートフォンを配れるか・対象人数・求める強度といった環境を軸に、方式の特性と照らし合わせるのが近道です。実際の導入では複数の方式や機能をまとめた多要素認証（MFA）システムを比べることになるため、気になるサービスの資料を取り寄せて、機能や料金を具体的に見比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 多要素認証（MFA）とは何ですか？
A. 多要素認証（MFA）とは、「知識情報」「所持情報」「生体情報」という性質の異なる認証の3要素のうち、2つ以上を組み合わせて本人確認を行う仕組みです。ID・パスワード（知識情報）に加えて、スマートフォンに届くコード（所持情報）や指紋（生体情報）を求めることで、仮にパスワードが漏れても、別の要素がなければログインできないようにします。
総務省も、認証の3要素のうち2つ以上を組み合わせる認証を多要素認証と定義しています。
出典・参考資料（1件）
Q. 多要素認証にはどんな種類がありますか？
A. 多要素認証の種類は、認証の3要素（知識・所持・生体）という大分類と、その中にある個別の認証方式という2つの層で整理できます。
知識情報にはパスワード・PIN・秘密の質問・マトリクス認証、所持情報にはSMS/メールのワンタイムパスワード・認証アプリ（TOTP）・プッシュ通知・ハードウェアトークン・セキュリティキー（FIDO2・パスキー）・デジタル証明書、生体情報には指紋・顔・静脈・虹彩・声紋認証があります。同じ所持情報でも方式によってセキュリティ強度は大きく変わります。
Q. 多要素認証と二段階認証の違いは何ですか？
A. 多要素認証と二段階認証の違いは、多要素認証が「異なる要素の種類」を組み合わせるのに対し、二段階認証は要素の種類を問わず「認証を2回に分ける」ことを指す点です。たとえばパスワードの後に「秘密の質問」を求める構成は、認証を2回行う二段階認証ではありますが、どちらも知識情報のため要素は1種類しか使っておらず、多要素認証には当たりません。
回数を増やすより、異なる種類の要素を組み合わせるほうがセキュリティは高まります。
Q. 多要素認証と二要素認証（2FA）の違いは何ですか？
A. 多要素認証と二要素認証の違いは組み合わせる要素の数だけで、二要素認証は異なる2つの要素を組み合わせる多要素認証の一種です。多要素認証は「2つ以上」の異なる要素を組み合わせる総称で、そのうちちょうど2要素を使うものを二要素認証（2FA）と呼びます。どちらも「異なる要素を組み合わせる」という核は同じです。
Q. 複雑なパスワードや二段階認証だけにしておけば多要素認証は不要ですか？
A. 複雑なパスワードや二段階認証だけでは不十分で、多要素認証の導入が推奨されます。 どれだけ長く複雑なパスワードでも、フィッシングや漏えいで盗まれれば突破されます。また、同じ知識情報を2回問うだけの二段階認証も、偽サイトにコードを中継されると防ぎきれません。だからこそ、性質の異なる要素を組み合わせる多要素認証が必要になります。
Q. 多要素認証を導入するメリットは何ですか？
A. 多要素認証を導入する最大のメリットは、IDとパスワードが漏れても、追加の要素がなければログインできず、パスワード漏えい単独では突破されにくくなることです。クラウドサービスやテレワークで社外からのアクセスが増えるなか、パスワードだけの防御では守りきれない場面が増えています。加えて、取引先やセキュリティガイドライン、サイバー保険の加入条件で求められる認証要件を満たせる点もメリットです。
Q. 多要素認証でSMSのワンタイムパスワードは安全ですか？
A. 多要素認証のSMSワンタイムパスワードは、何も追加しないより安全ですが、認証方式のなかでは弱点のある方式です。 国際的な認証ガイドラインであるNIST SP 800-63Bは、電話網を使うSMS・音声のワンタイムパスワードを唯一「制限付き（restricted）」と位置づけ、SIMスワップ（他人の電話番号の乗っ取り）や番号の付け替えのリスクに注意を促しています。
手軽さは利点ですが、可能なら認証アプリ（TOTP）やセキュリティキーなど、より強い方式への移行が望まれます。
Q. 多要素認証で最もフィッシングに強い認証方式はどれですか？
A. 多要素認証で最もフィッシングに強いのは、公開鍵暗号を使うセキュリティキー（FIDO2・パスキー）やデジタル証明書です。 これらは秘密の鍵が手元のデバイスから外に出ず、登録したサイト以外には反応しないため、コードを盗んで偽サイトに中継するフィッシングが原理的に効きません。
一方、コードを手入力するSMSや認証アプリ（TOTP）はこの「フィッシング耐性」を持たない、とNIST SP 800-63Bも整理しています。フィッシング被害を確実に防ぎたい場合は、FIDO2・パスキーを軸に据えるのが有効です。
出典・参考資料（2件）
Q. 多要素認証を導入するとログインが毎回面倒になりませんか？
A. 多要素認証は、方式の選び方や設定次第で手間を抑えながら導入できます。 プッシュ通知はスマートフォンの通知をタップするだけで承認でき、生体認証やパスキーはコードの手入力が不要です。
さらにリスクベース認証（適応型認証）を使えば、いつもの端末・場所からのログインでは追加認証を省き、普段と異なるアクセスのときだけ本人確認を強める運用もできます。強度と利便性のバランスは、方式の組み合わせで調整できます。
Q. 社用スマートフォンを支給していなくても多要素認証は導入できますか？
A. 社用スマートフォンを支給していなくても、多要素認証は導入できます。 スマホに依存しない方式として、USBやNFCで接続する物理的なセキュリティキー、会社のパソコンに組み込むデジタル証明書、位置の記憶を鍵にするマトリクス認証などがあります。派遣・協力会社のスタッフや、店舗・現場でシフト制の勤務が多い職場では、これらのスマホ不要な方式がとくに検討されます。
Q. 中小企業や少人数の組織でも多要素認証を導入すべきですか？
A. 中小企業や少人数の組織でも、多要素認証の導入が推奨されます。 攻撃者は企業規模を問わず、防御の弱いところを狙うため、規模が小さいからといって狙われないわけではありません。近年はユーザー単位の月額課金で少人数から始められるクラウド型のMFAシステムが増え、無料トライアルを用意する製品もあるため、小規模でも導入のハードルは下がっています。
Q. 自社に合う多要素認証の方式・MFAシステムはどう選べばよいですか？
A. 自社に合う方式は、クラウド中心か・社用スマートフォンを配れるか・対象人数・求めるセキュリティ強度という4つの軸で考えると絞り込めます。クラウドサービス中心ならSSOと多要素認証を統合したMFAシステム、スマホを配れないなら物理キーや証明書、フィッシングを確実に防ぎたいならFIDO2・パスキーが有力です。
実際の導入では複数の方式や機能をまとめた多要素認証（MFA）システムを比較することになるため、気になるサービスの資料を取り寄せ、対応する認証方式・料金・サポート体制を見比べるのが近道です。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、多要素認証（MFA）システムの最新資料を無料で一括請求できます。対応する認証方式や料金、サポート体制をまとめて比較検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
