ネットバンキングやクラウドサービスのログインで、パスワードに加えてスマートフォンに届くコードの入力を求められる場面が増えています。こうした本人確認の仕組みが二要素認証です。パスワードの使い回しや流出が当たり前になった今、一つの要素だけに頼る認証では不正アクセスを防ぎきれなくなっています。
一方で、二段階認証や多要素認証（MFA）との違い、結局どの方式を選べばよいのかといった疑問は、言葉が似ているだけに整理しにくいものです。社内の説明資料や取引先のセキュリティチェックシートに記入する場面で、自信を持って答えられないという声もよく聞かれます。
本記事では、二要素認証の意味と仕組みを整理し、認証の3要素・二段階認証との違い・多要素認証（MFA）との関係をわかりやすく解説します。主な認証方式ごとの強みと弱み、突破され得る点とその先にあるパスキー・FIDO、そして企業が全社に導入する手段までを一通り押さえられる内容です。
目次
一括ダウンロードする
二要素認証とは
二要素認証とは、知識・所有・生体という種類の異なる3つの要素のうち、2つを組み合わせて本人確認を行う方式です。パスワード（知識）だけで確認するのではなく、スマートフォンに届くコード（所有）や指紋（生体）など、別の種類の要素を重ねて確かめることで、一方が漏れてもなりすましを防ぎやすくなります。
総務省は、国民向けのサイバーセキュリティ解説サイトの用語集で、多要素認証を次のように定義し、そのうち2つの要素を使うものを二要素認証としています。
サービス利用時に行う利用者認証を、3つの要素（(1)知っているもの(2)持っているもの(3)本人自身に関するもの）のうち、2つ以上の要素を用いて行うものを言います。2つの要素を使うものは「二要素認証」とも言います。
出典：用語集（た行）「多要素認証」｜総務省 国民のためのサイバーセキュリティサイト
重要なのは「要素の種類が違う」という点です。パスワードと秘密の質問はどちらも「知っているもの」に属するため、2つ使っても二要素認証にはあたりません。別々の種類の要素を組み合わせることが、二要素認証の本質です。この整理は日本の総務省に限らず、米国の標準化機関であるNISTのデジタルアイデンティティガイドラインでも共通しています。この後の「認証の3要素」も、同じ枠組みにもとづきます。
認証の3要素（知識・所有・生体）とは
ここからは、二要素認証の土台となる認証の3要素を整理します。本人確認に使う情報は、次の3種類に分類できます。
| 要素 | 知識要素（知っているもの） | 所有要素（持っているもの） | 生体要素（本人自身に関するもの） |
|---|---|---|---|
| 意味 | 本人だけが知っている情報 | 本人だけが持っている物 | 本人の身体的な特徴 |
| 具体例 | パスワード、暗証番号（PIN）、秘密の質問 | スマートフォン、SMSで届くコード、ICカード、物理セキュリティキー、ワンタイムパスワードのトークン | 指紋、顔、静脈、虹彩 |
この3分類は国際的な標準でも共通しています。米国国立標準技術研究所（NIST）のデジタルアイデンティティガイドラインも、知識・所有・生体という3種類で本人確認の情報を整理しています。英語ではそれぞれ something you know、something you have、something you are と表現されます。
種類の違う要素を組み合わせるほど、本人確認は破られにくくなります。パスワードが流出しても、手元の物理的な要素や生体がなければログインできないからです。生体要素は、それ単独ではなく物理的な認証器などと組み合わせて使うことが前提とされており、他の要素と重ねてこそ強さを発揮します。
生体要素には、ここで挙げた指紋や顔のほか、静脈や虹彩などの種類があり、精度や導入のしやすさはそれぞれ異なります。生体認証の仕組みや種類ごとの特徴、企業での活用例まで詳しく知りたい方は、以下の記事をあわせてご覧ください。
二要素認証と二段階認証の違い
二要素認証と混同されやすいのが二段階認証です。両者は着目している点が異なります。二要素認証は「使う要素の種類」に、二段階認証は「認証を分ける段階の数」に注目した呼び方です。総務省は二段階認証を次のように説明しています。
利用者認証を2回に分けて行うもの。多要素認証とは異なり、同じ認証の要素で2つの段階に分けて認証する場合もそう言います。一方、異なる要素を組み合わせて2回認証を行う場合は二要素認証とも言います。同じ要素2回よりは異なる要素2回の方がセキュリティレベルは高くなります。
出典：用語集（な行）「二段階認証」｜総務省 国民のためのサイバーセキュリティサイト
たとえば、パスワードを入力した後に「秘密の質問」を尋ねられる仕組みは、認証を2回に分けているので二段階認証ですが、どちらも知識要素なので二要素認証ではありません。身近なサービスに当てはめると、違いがはっきりします。
| 身近な例 | ネットバンキング（パスワード＋ワンタイムパスワード） | Google・Microsoftのログイン（パスワード＋スマホの認証アプリ） | パスワード＋秘密の質問 | ATM（キャッシュカード＋暗証番号） |
|---|---|---|---|---|
| 使う要素 | 知識＋所有 | 知識＋所有 | 知識＋知識 | 所有＋知識 |
| 二段階認証 | ● | ● | ● | ×（一度の操作で完結） |
| 二要素認証 | ● | ● | × | ● |
自分が普段使っているサービスのログイン手順を思い浮かべ、「要素の種類が2つあるか」「認証が2段階に分かれているか」を確かめてみてください。総務省も述べるとおり、同じ要素を2回求めるより、異なる要素を2つ使うほうが安全性は高まります。
二要素認証と多要素認証（MFA）の関係
多要素認証（MFA）という言葉も、二要素認証とあわせてよく登場します。両者は対立する概念ではなく、包含関係にあります。多要素認証は、知識・所有・生体のうち2つ以上の要素を使う認証方式の総称で、そのうち要素を2つ使うものが二要素認証です。
前述の総務省の定義でも、多要素認証を「2つ以上の要素を用いて行うもの」とし、「2つの要素を使うものは『二要素認証』とも言います」と整理しています。したがって、二要素認証は多要素認証の一種であり、要素を3つ使えば三要素認証と呼ばれます。企業で「全社にMFAを導入する」という場合、その入口として二要素認証の仕組みを整えることが多くなります。
出典・参考資料（1件）
二要素認証がなぜ今必要とされるのか
ここでは、二要素認証の導入が急がれている背景を押さえます。最大の理由は、パスワードだけに頼る認証の限界が、実際の被害として表れていることです。
警察庁がまとめた2025年（令和7年）の脅威情勢によると、フィッシングの報告件数とインターネットバンキングの不正送金被害は深刻な水準にあります。フィッシングは、本物そっくりの偽サイトへ誘導してパスワードなどを盗む手口です。
令和７年におけるフィッシング報告件数は、フィッシング対策協議会によれば、245 万 4,297 件であり、右肩上がりの増加が続いている。また、令和７年におけるインターネットバンキングに係る不正送金事犯の発生件数は 4,747 件、被害総額は約 103 億 9,700 万円となっており、フィッシングがその手口の約９割を占める。
出典：令和７年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
パスワードが盗まれても、別の種類の要素がなければログインできないため、こうした不正アクセスの多くは成立しません。ここに二要素認証の価値があります。
加えて、クラウドサービスやテレワークの普及で社外からアクセスする機会が増え、取引先のセキュリティ要件や業界ガイドラインが多要素認証を求める場面も広がっています。
情報処理推進機構（IPA）が毎年公表する脅威の整理でも、フィッシングや不正ログインは組織・個人の双方にとって継続的な脅威として挙げられています。
出典・参考資料（1件）
二要素認証の主な認証方式と強み・弱み
続いて、二要素認証で使われる代表的な認証方式を整理します。多くはパスワード（知識要素）と組み合わせる2つ目の要素として使われ、安全性と使い勝手のバランスが方式ごとに異なります。
| 認証方式 | SMSワンタイムパスワード | 認証アプリ（TOTP） | ハードウェアセキュリティキー（FIDO2） | 生体認証 | メールワンタイムパスワード |
|---|---|---|---|---|---|
| 本人確認の要素 | 所有（電話番号・SIM） | 所有（スマホ内のアプリ） | 所有（物理キー、秘密鍵は内部保持） | 生体（指紋・顔など） | 所有（メールアカウント） |
| フィッシング耐性・強度の傾向 | 低い（フィッシング耐性なし） | 中（SMSより強いが中継には弱い） | 高い（設計上フィッシングに強い） | 単独では低い（他要素と併用が前提） | 低い（フィッシング耐性なし） |
| 利便性 | 高い（スマホで受信、専用機器不要） | 高い（アプリで時限コードを生成） | 中程度（物理キーの携帯が必要） | 高い（かざす・触れるだけ） | 高い（メールで受信） |
| 主な突破リスク | SIMスワップ、リアルタイム型フィッシングによるコードの中継 | リアルタイム型フィッシングによるコードの即時中継 | 物理的な紛失・盗難（PINや生体で保護） | 単独利用時の限界、なりすまし | メールアカウントの乗っ取り、フィッシング |
安全性の傾向は、FIDO2対応の物理キー・パスキー ＞ 認証アプリ ＞ SMS・メールのワンタイムパスワード、の順が目安です。
SMSやメールで届くワンタイムパスワードは、専用の機器がいらず導入しやすい方式です。ただし、通信経路の外側でコードを受け取る方式のため、リアルタイム型フィッシングで突破され得ます（詳細は後述）。NISTのガイドラインも、電話網（SMS・音声）を使う方式を制限付きと位置づけ、フィッシングに強い方式を少なくとも1つ用意すべきだとしています。
認証アプリ（TOTP）は、端末内で時限式のコードを生成するためSMSより安全性が高まりますが、リアルタイム型フィッシングには完全には対応できません。これに対し、物理セキュリティキー（FIDO2）は秘密鍵を本体内に保持し、通信経路に流さない設計のため、偽サイトに対してフィッシング耐性を発揮します。どの方式も一長一短があり、守りたい情報の重要度や運用のしやすさに応じて選ぶことになります。
二要素認証でも突破され得る点と次の一手（パスキー・FIDO）
二要素認証を導入しても、万全ではありません。攻撃側の手口も巧妙化しており、警察庁は二段階認証を突破する手口が広がっていると指摘しています。
フィッシングにおいては、令和元年頃からリアルタイム型フィッシングにより二段階認証を突破する手口が横行するなど、手口の巧妙化が見られる。
出典：令和７年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
ここでいう二段階認証には、SMSワンタイムパスワードのように二要素にあたる方式も含まれます。同じ手口でコードを中継されれば、二要素認証でも突破され得ます。
リアルタイム型フィッシングは、利用者が偽サイトに入力したパスワードやワンタイムパスワードを、攻撃者がその場で本物のサイトへ中継してログインしてしまう手口です。
もう一つ注意したいのがSIMスワップです。警察庁は、携帯電話機の販売店で偽造した本人確認書類を使って他人になりすまし、SIMカードの再発行などで電話番号を乗っ取る手口だと説明しています。番号を乗っ取られると、SMSで届くコードも攻撃者の手元に渡ってしまいます。
SMS認証を使い続ける場合に、SIMスワップから電話番号を守る個人の自衛策や、企業としてSMS認証を強化する考え方は、以下の記事で詳しく解説しています。
こうした突破を踏まえた次の一手が、パスキーとFIDOです。パスキーはFIDOという標準規格にもとづく認証の仕組みで、スマートフォンやパソコンに保存した鍵でログインします。
公開鍵暗号を用い、秘密の鍵を端末の外に出さない設計のため、偽サイトに情報を渡しようがなく、フィッシングに強いとされています。この仕組みは、標準を定めるFIDOアライアンスが公開しています。
パスキーの土台となる標準は専門的にはFIDO2（WebAuthnとCTAP）と呼ばれますが、技術者向けの正式名称なので読み飛ばして差し支えありません。
出典・参考資料（1件）
パスキーへの移行は、民間の流行にとどまりません。警察庁の資料によれば、2025年7月（令和7年7月）に金融庁と警察庁が連名で、金融関係の協会に対して送信ドメイン認証技術（DMARC）の普及、フィッシングサイトの閉鎖活動、そしてパスキーの導入促進を要請しています。公的機関も後押しする対策だといえます。
出典・参考資料（1件）
自社で利用するサービスや社内システムの認証を見直すときは、各サービスがどの認証方式に対応し、どのくらいの費用で導入できるかを資料で比較すると、判断の見通しが立てやすくなります。
一括ダウンロードする
企業が多要素認証（MFA）を導入する手段
ここからは、企業が全社に多要素認証（MFA）を広げるための手段を見ていきます。多要素認証は、その代表的な形が二要素認証にあたります。
大きく分けると、自社で認証基盤を構築する方法と、専用のサービスを利用する方法があります。全社員にスマートフォンを支給しにくい、クラウドサービスごとにばらばらな認証を一本化したい、といった課題に応じて選び方は変わります。
全社向けの多要素認証（MFA）製品や、シングルサインオン（SSO）と多要素認証を一体で提供するIDaaSは数多くあります。
本記事では、手段の型として「物理セキュリティキー」と「クラウドSSO＋MFA」を代表する2サービスを一例として取り上げます。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
以下はご紹介する2サービスの比較表です。
| サービス名 | YubiKey as a Service | CloudGate UNO |
|---|---|---|
| 提供する認証手段 | 物理セキュリティキー（ハードウェアトークン）を サブスクで配布・運用代行 | SSOと多要素認証を統合したIDaaS （クラウドの全社ログインを一本化） |
| 主な認証方式 | FIDO2/WebAuthn・FIDO U2F・ PIV（スマートカード）・OpenPGP・OTP（TOTP） | FIDO2/パスキー・生体認証 （Windows Hello・Touch ID/Face ID）・ OTP・CloudGate Authenticator |
| 想定対象 | スマートフォンを配れない・持ち込めない現場 （医療・製造・コールセンター・派遣／協力会社など）で 物理キーによる確実なMFAを全社展開したい企業 | 複数のSaaS・クラウドの全社ログインを まとめてSSO＋MFAで統合したい企業 （国産・日本語サポートを重視する中堅・中小の情シスなど） |
| 料金の目安 | 要問い合わせ （サブスク、ユーザー単位、200ライセンスから。 毎年契約数の25%分の予備キーを無償提供） | 月額400円〜／ユーザー （税抜。Standard Plus 400円〜Smart Pack 600円） 30日間の無料トライアルあり |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
※各社公式の公開情報にもとづきます（2026年10月時点）。「要問い合わせ」は公式で具体的な金額が非公開、または選ぶ構成により変動する項目です。料金・対応方式は変更される場合があるため、導入時に各社の最新情報をご確認ください。
YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
所有要素そのものを社員に配る手段が、物理セキュリティキー「YubiKey」です。株式会社インターナショナルシステムリサーチが提供するYubiKey as a Serviceは、このキーをサブスクリプション型で導入できるサービスです。
キーの選定から初期設定の代行、故障・紛失時の予備キー提供、専任担当者による導入支援までを含みます。
キー本体がFIDO2やワンタイムパスワードなどの規格に対応し、秘密鍵を本体内に保持します。スマートフォンを持ち込めない製造現場やコールセンターでも、フィッシングに強い認証を実現できます。
契約は200ライセンスからで、毎年契約数の25%分の予備キーが無償提供されます。料金は選ぶキーの種類や配布条件によって変わるため、個別見積もりが基本です。全社員へのスマートフォン支給が難しい環境で、確実な本人確認の手段を探している企業に向いています。
物理キーによる認証が実際の現場でどう受け止められているかについて、提供元のインターナショナルシステムリサーチは次のように述べています。
フィッシング対策の強化に加え、パスワードレスの実現によりパスワード管理の負担から解放されたことを高く評価いただいています。ログイン時の操作も簡略化され、利便性と安全性の向上が現場レベルで実感されているという声を多くいただいております。拠点ごとに予備のキーを置いておくといった運用の工夫は必要ですが、慣れれば本当に速い、という現場の声が効果として出ているところです。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
複数のクラウドサービスへのログインを一本化しつつ多要素認証を効かせたい場合に選択肢となるのが、SSOと多要素認証を統合したIDaaSです。
CloudGate UNOは、一度の認証でGoogle WorkspaceやMicrosoft 365などへアクセスできるシングルサインオンを備えたプラットフォームです。これにパスキー（FIDO2）によるパスワードレス認証やアクセス制限を組み合わせています。
端末・場所・時間の3つの軸でアクセスを制御でき、業務時間外や私用端末からのログインを制限するといった運用も設定できます。
月額料金はユーザーあたり400円からのプランが用意され、30日間の無料トライアルも利用できます。全プラン・全ユーザーでパスキー認証を追加費用なく使える点が特徴です。
SaaSごとにばらついたパスワード運用を統合し、全社の認証を一度に強化したい企業に適しています。物理キーとSSO＋MFAのように、環境に応じて手段を組み合わせる選択肢もあります。
パスワードレス認証への移行が運用の負担にどう影響するかについて、提供元のインターナショナルシステムリサーチは導入企業の例を次のように挙げています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
まとめ
二要素認証は、知識・所有・生体という種類の異なる要素を2つ組み合わせて本人確認を行う方式で、多要素認証（MFA）の一種です。認証を2回に分ける二段階認証とは着目点が異なり、同じ要素を2回求める仕組みは二段階であっても二要素にはあたりません。
個人のアカウントでも、まずは設定画面から認証アプリによる二要素認証を有効にするのが最初の一歩になります。
フィッシングや不正送金の被害が増え続けるなか、パスワードだけに頼らない認証は欠かせません。SMSワンタイムパスワードのように突破され得る方式もあるため、よりフィッシングに強いパスキー・FIDOへの移行も公的機関から促されています。自社に合う方式と導入手段は、守りたい情報の重要度と運用体制に照らして見極めていきましょう。
一括ダウンロードする
二要素認証に関するよくある質問
Q. 二要素認証とは何ですか？
A. 二要素認証とは、パスワードなどの知識要素だけに頼らず、種類の異なる2つ目の要素（スマートフォンや生体情報など）を加えて本人確認を行う方式です。
総務省は多要素認証の一種として、3つの要素（知っているもの・持っているもの・本人自身に関するもの）のうち2つを使うものを二要素認証と定義しています。
重要なのは要素の「種類」が異なる点です。パスワードと秘密の質問のように同じ知識要素を2つ使っても二要素認証にはあたりません。
出典・参考資料（1件）
Q. 二要素認証と二段階認証は、どちらが安全ですか？
A. 一般には、種類の異なる要素を2つ使う二要素認証のほうが、同じ要素を2回求めるだけの二段階認証より安全性は高くなります。
二段階認証は「認証を2回に分ける」ことを指す言葉で、パスワードの後に秘密の質問を尋ねるような同一要素の繰り返しも含みます。総務省も「同じ要素2回よりは異なる要素2回の方がセキュリティレベルは高くなります」と説明しています。
ただし、二段階認証でも異なる種類の要素を組み合わせれば二要素認証を兼ねるため、両者は排他的な関係ではありません。
出典・参考資料（1件）
Q. 二要素認証と多要素認証（MFA）は何が違いますか？
A. 二要素認証は多要素認証（MFA）の一種で、使う要素を「2つ」に限定した呼び方です。多要素認証は知識・所有・生体のうち2つ以上を使う方式の総称で、要素を2つ使えば二要素認証、3つ使えば三要素認証と呼ばれます。企業で「全社にMFAを導入する」という場合、その最も一般的な形が二要素認証にあたり、対立する概念ではなく包含関係にあります。
出典・参考資料（1件）
Q. 二要素認証では、SMS認証と認証アプリのどちらが安全ですか？
A. 一般には、端末内で時限コードを生成する認証アプリ（TOTP）のほうが、SMSでコードを受け取る方式より安全とされています。
SMSは、SIMスワップやリアルタイム型フィッシングといった手口で突破され得る方式だからです。
米国国立標準技術研究所（NIST）も電話網（SMS・音声）を使う方式を制限付きと位置づけ、フィッシングに強い方式を少なくとも1つ用意すべきだとしています。
ただし、SMSでも「パスワードのみ」よりは安全性が高まるため、まず有効化すること自体には意味があります。
Q. 指紋や顔などの生体認証だけで二要素認証になりますか？
A. なりません。生体認証は、それ単独ではなくパスワードや物理的な認証器など別の種類の要素と組み合わせて初めて二要素認証になります。NISTのガイドラインも、生体情報は物理的な認証器と組み合わせた多要素認証の一部としてのみ用いるべきだとしています。生体はかざす・触れるだけで使える利便性が高い一方、単独では本人確認の強度が十分でないため、他の要素と重ねてこそ強さを発揮します。
Q. 二要素認証を導入すればフィッシングは完全に防げますか？
A. 完全には防げません。パスワード窃取による被害は大きく減らせますが、SIMスワップやリアルタイム型フィッシングには突破され得ます。
リアルタイム型フィッシングは偽サイトに入力されたパスワードやワンタイムパスワードをその場で本物のサイトへ中継する手口で、警察庁も2019年頃（令和元年頃）からこの手口で二段階認証を突破する事例が横行していると指摘しています。
より確実に防ぎたい場合は、秘密鍵を端末の外に出さない設計でフィッシングに強いパスキー（FIDO）の併用が有効です。
出典・参考資料（1件）
Q. 二要素認証の導入にコストはかかりますか？
A. 多くのクラウドサービスでは標準機能として追加費用なく有効化できますが、全社の認証をまとめて管理・強制するには有料のサービスを利用するのが一般的です。
たとえば、シングルサインオン（SSO）と多要素認証を統合したIDaaSはユーザー単位の月額課金、物理セキュリティキーを配る方式はキー本体とライセンスの費用がかかります。
守りたい情報の重要度と運用体制に見合う方式を選ぶことが、過不足のない投資につながります。
Q. スマートフォンを配れない社員にも二要素認証を導入できますか？
A. 導入できます。スマートフォンを使わない方式として、FIDO2などに対応した物理セキュリティキー（ハードウェアトークン）を配布する方法があります。
私物・業務用スマートフォンを持ち込めない製造現場やコールセンターなどでも、キーを挿す・かざすだけで所有要素による本人確認ができます。
本記事で紹介したYubiKey as a Serviceのように、キーの選定・配布から故障・紛失時の予備提供まで運用をまとめて代行するサービスもあります。
Q. 全社で二要素認証を必須化できますか？
A. できます。多要素認証に対応したIDaaSやMFA製品では、管理者が全社員に二要素認証を必須とするポリシーを一括で設定できます。クラウドサービスごとにばらばらな認証をシングルサインオン（SSO）で束ね、その入口でMFAを必須化すれば、社員が個別に設定し忘れる事態を防げます。製品によっては端末・場所・時間などの条件でアクセスを制御し、業務時間外や私用端末からのログインを制限することもできます。
二要素認証・多要素認証（MFA）の料金・資料を一括チェック
MCB FinTechカタログでは、多要素認証（MFA）やシングルサインオンのサービスの資料を無料で一括請求できます。対応する認証方式・料金・導入支援の範囲などを並べて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
