多要素認証（MFA）の評判と実力｜方式別のフィッシング耐性・突破事例と、評判の良い製品の見極め方

社内のクラウドサービスやリモートアクセスに多要素認証（MFA）を入れた、あるいは導入を検討しているものの、「本当に効くのか」「過信していいのか」と不安を感じていませんか。ニュースでは多要素認証を突破された事例も報じられ、ベンダーの「これで安全」という説明をそのまま信じていいのか迷う場面も少なくありません。

多要素認証は、正しく使えば不正ログインの大半を止める一方で、守れる範囲には限界があり、採用する認証方式によってフィッシングへの強さも大きく変わります。だからこそ「評判の良い製品」を選ぶには、製品の口コミだけでなく、技術そのものの実力を見極める目が必要です。

この記事では、多要素認証が実際どこまで効くのか・どこから効かないのかを整理し、認証方式ごとの強度、突破の手口と防げる方式、そして評判・実績のある製品の見極め方までを解説します。自社に導入する製品を選ぶための判断材料としてご活用ください。

多要素認証（MFA）の実力と限界 ― まず結論から

はじめに、多要素認証が「どこまで効いて、どこから効かないのか」という結論からお伝えします。

どこまで効くのか、どこから効かないのか

多要素認証は、パスワードが漏れても、もう一つの要素がなければログインを許さない仕組みです。この効果は大きく、Microsoftは「多要素認証はアカウント侵害攻撃の99.9%以上をブロックできる」と公表しています。

MFA can block over 99.9 percent of account compromise attacks.

出典：One simple action you can take to prevent 99.9 percent of account attacks｜Microsoft Security Blog（2019年8月20日）

ただし、この数値は2019年に公表されたもので、主にパスワードの使い回しや総当たりといった「自動化された不正ログイン」に対する効果を指します。後述するフィッシングの中間者型攻撃やセッションの乗っ取りのような高度な手口は、この99.9%ではカバーしきれない残り側に含まれます。

そしてもう一つの限界が、多要素認証が守るのは原則として「ログイン時の本人確認」までだという点です。ログイン後に発行されるセッション情報を盗まれたり、そもそも一部のアカウントに認証を設定し忘れていたりすれば、追加の要素があっても侵入を防げません。「導入すれば安心」ではなく、「正しい方式を、すべての入口に、正しく運用して初めて効く」のが実際のところです。

出典・参考資料（1件）

• 出典：One simple action you can take to prevent 99.9 percent of account attacks｜Microsoft Security Blog（microsoft.com）

多要素認証とは｜3要素（知識・所持・生体）と2段階認証との違い

多要素認証（MFA：Multi-Factor Authentication）とは、ログイン時の本人確認に、性質の異なる複数の「要素」を組み合わせる認証方式です。要素は次の3種類に分けられます。

• 知識情報：パスワード、暗証番号（PIN）、秘密の質問など、本人だけが知っている情報
• 所持情報：スマートフォン、セキュリティキー、ICカードなど、本人だけが持っているもの
• 生体情報：指紋、顔、静脈など、本人の身体的な特徴

よく混同される「2段階認証」は、認証を2回の段階に分ける考え方で、必ずしも異なる要素を使うとは限りません（たとえばパスワードの後に秘密の質問を聞くのは、どちらも知識情報なので2段階ではあっても多要素ではありません）。異なる要素を組み合わせる多要素認証のほうが、一つの要素が破られても他の要素で守れるため、一般に強固とされます。

認証方式ごとの強度比較｜フィッシング耐性と弱点を一覧

多要素認証の「評判」を左右する最大の要素が、2つ目の要素にどの認証方式を使うかです。同じ多要素認証でも、方式によってフィッシングへの強さはまったく異なります。以下は、主な認証方式を強さの順に並べ、フィッシング耐性と主な弱点を整理した比較表です。

※上記は各認証方式の一般的な傾向です。実際の強度は実装や運用設定によって変わります。

この序列には公的な裏づけがあります。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、フィッシング耐性のある多要素認証を「ゴールドスタンダード（最も望ましい基準）」と位置づけ、そこへの移行を優先度の高い取り組みとするよう求めています。

phishing-resistant MFA is the gold standard and organizations should make migrating to it a high priority effort

出典：Implementing Phishing-Resistant MFA｜CISA（2022年10月）

ハードウェアセキュリティキーやパスキーが強いのは、認証がアクセス先サイトのオリジン（ドメイン）に紐づいており、偽サイトでは認証が成立しない仕組みだからです。W3Cの仕様では、認証資格情報は特定のオリジンに紐づき、別のオリジンに対しては再生（流用）できないと定められています。

all operations are scoped to a particular origin, and cannot be replayed against a different origin, by incorporating the origin in its responses.

出典：Web Authentication: An API for accessing Public Key Credentials Level 2｜W3C Recommendation

同じフィッシング耐性でも物理的なセキュリティキーを一段上に置いたのは、鍵が独立した機器の中に留まって持ち出せず、端末間で同期されることもあるパスキーより窃取されにくいためです。

一方、SMSや電話経由のワンタイムパスワードは、最も弱い部類に入ります。米国国立標準技術研究所（NIST）のガイドライン「SP 800-63B」は、公衆交換電話網（PSTN＝SMSや音声通話）を使う本人確認を「RESTRICTED（制限付き）」と位置づけています。SIMの交換や番号の乗っ取り（番号ポーティング）といったリスクを評価したうえで使うよう求めています。

「禁止」や「廃止」ではありませんが、無条件に推奨される方式ではないという公的な評価です。

業務の都合でSMS認証を使い続ける場合は、弱点であるSIMスワップへの備えが欠かせません。個人・企業それぞれの具体的な対策は、以下の記事で解説しています。

出典・参考資料（4件）

• 出典：Implementing Phishing-Resistant MFA｜CISA（cisa.gov）
• 出典：Web Authentication: An API for accessing Public Key Credentials Level 2｜W3C（w3.org）
• 出典：FIDO2｜FIDO Alliance（fidoalliance.org）
• 出典：NIST Special Publication 800-63B Digital Identity Guidelines｜NIST（pages.nist.gov）

突破の手口と、どの方式なら防げるか

「多要素認証を突破された」という話の多くは、方式ごとの弱点を突いた具体的な手口によるものです。ここでは代表的な4つの手口と、それぞれどの方式なら防げるのかを整理します。

※手口の名称・分類はCISAおよびMicrosoftの公表情報にもとづきます。

中でも近年警戒されているのが、中間者型（AiTM：Adversary-in-the-Middle）フィッシングです。Microsoftは、攻撃者が利用者と正規サイトの間にプロキシサーバーを置き、パスワードとセッションのCookieを盗むことで、多要素認証が有効でも認証をすり抜けられると説明しています。

In AiTM phishing, attackers deploy a proxy server between a target user and the website the user wishes to visit.

出典：From cookie theft to BEC｜Microsoft Threat Intelligence（2022年7月12日）

プッシュ爆撃（MFA疲労）は、実際の大規模侵害でも使われています。2022年のUberの事例では、委託先の担当者が多要素認証の承認要求を繰り返し受け取り、最初は拒否していたものの、最終的に一度承認してしまったことで侵入を許しました。

同年のCisco（シスコ）の事例でも、音声での働きかけとプッシュ通知の連打によって承認を得られ、社内ネットワークへの侵入につながっています。いずれも、オリジンに紐づくFIDO2やパスキー、あるいは画面に表示された番号を入力させる「番号照合」付きのプッシュであれば緩和できた手口です。

出典・参考資料（4件）

• 出典：From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud｜Microsoft（microsoft.com）
• 出典：Security Update｜Uber Newsroom（uber.com）
• 参考資料：2022年のインシデント報告（recent cyber attack）｜Cisco Talos（blog.talosintelligence.com）
• 参考資料：Multi-Factor Authentication Request Generation（T1621）｜MITRE ATT&CK（attack.mitre.org）

評判の良い＝信頼できる製品の見極め方

方式の強さを理解したら、次は「評判の良い＝信頼できる製品」をどう見極めるかです。口コミの印象だけに頼らず、次の3つの観点で客観的に確かめると、自社の判断根拠として（必要なら経営層や監査への説明にも）「根拠をもって選んだ」と言える状態になります。

満足度スコア・口コミの読み方（宣伝文と利用者評価を分ける）

製品の評判を確かめるとき、まず公式サイトの宣伝文と、実際の利用者による評価を切り分けて読むことが重要です。レビュー比較サイトでは、満足度スコアとあわせて「レビュー件数」を見るのが要点です。件数が十分にあるスコアほど偏りが小さく、数件の高評価だけで判断するより信頼できます。

また、良い評価だけでなく、導入後に挙がる不満（管理画面の使いにくさ、サポートの応答、想定外のコスト）にも目を通すと、自社で運用したときの実像が見えてきます。自社の従業員規模や業種に近い企業の声を重視すると、より参考になります。

導入実績・第三者認証で客観的な裏づけを確かめる

口コミは主観が混じるため、客観的な裏づけとあわせて確認することが望まれます。導入社数や上場企業・官公庁での採用実績は、提供元が長く運用に耐えてきた証拠になります。あわせて、第三者による認証・監査も確認しましょう。

• ISMS（ISO/IEC 27001）：情報セキュリティ管理体制の国際規格にもとづく認証
• SOC 2報告書：独立した監査人が内部統制を評価した報告書（「認証」ではなく報告書である点に注意）
• FIPS 140-3：暗号モジュールの安全性に関する米国標準（旧FIPS 140-2の後継。ハードウェアキーなどで確認されることがある）

出典・参考資料（3件）

• 参考資料：ISO/IEC 27001｜ISO（iso.org）
• 参考資料：SOC 2（Trust Services Criteria）｜AICPA（aicpa-cima.com）
• 参考資料：FIPS 140-3 Transition Effort｜NIST（csrc.nist.gov）

サポート・稼働率と、障害時のバイパス・冗長化

多要素認証はログインの入口に立つため、止まると業務全体が止まります。稼働率（SLA）や障害時の連絡体制に加え、認証サーバーに障害が起きたときの代替手段（バイパス）や冗長化の設計があるかを確認しておくと、運用を始めてから慌てずに済みます。

そして見落としやすいのが、「すべての入口に、もれなく」多要素認証を効かせる運用です。2024年に米国の医療決済大手チェンジ・ヘルスケアが受けた大規模侵害は、多要素認証が「突破された」のではなく、ある接続口（リモートアクセス用のポータル）に多要素認証が設定されていなかったことが侵入の起点でした。

どれほど強い方式を選んでも、設定し忘れた一つの入口があれば守りは崩れます。製品選びと同じくらい、全アカウント・全入口での有効化という運用の設計が重要です。

出典・参考資料（1件）

• 参考資料：Change Healthcare breached via Citrix portal with no MFA（UnitedHealth Group CEOの米下院証言報道）｜TechTarget（techtarget.com）

フィッシング耐性方式に対応した評判・実績のあるMFA製品

ここで紹介するのは、前章の見極めの物差し（フィッシング耐性のある方式への対応・導入実績・第三者認証・障害時も含めた運用）を満たす多要素認証（MFA）製品です。

紹介の順序は優劣や順位を表すものではありません。まず主要製品を横並びで比較し、続けて各製品の特徴と、どんな企業に向くかを見ていきます。

※料金・実績は2026年10月時点の各社公式情報による目安です。米ドル表記は1ドル＝約150円で換算しています。

1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）

2008年のシングルサインオン（SSO＝一度の認証で複数のクラウドを使える仕組み）提供に始まり、いまは多要素認証・アクセス制限・ID管理まで束ねた国産の認証基盤へと育った製品です。株式会社インターナショナルシステムリサーチが100%自社開発で提供しています。

2014年のFIDOアライアンス加盟以来パスワードレス認証に早くから取り組み、フィッシングに強いパスキー（FIDO2）を全プラン・全ユーザーが本数制限なく使える点が際立ちます。

契約数は1,400社を超え、直近1年間で1億回以上の認証実績と99.99%の稼働率を公表しています。ISMS（ISO/IEC 27001）やFIDO2認定も取得しており、端末・場所・時間の3軸で絞るアクセス制限や日本語サポートも備えています。

全プランでパスキーを本数制限なく使えるため、クラウド活用が進む企業の全社的なパスワードレス化に適しています。新規契約は100IDからなので、ごく少人数での試験導入よりも、一定規模での展開を見据える企業に合う製品です。

2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

物理的なセキュリティキー「YubiKey」そのものを、買い切りではなくサブスクリプション型で導入できるサービスです。株式会社インターナショナルシステムリサーチが、キッティングや故障・紛失時の交換、導入支援までを一体にして提供しています。

秘密鍵やPINがキー内部に留まり外部に送られないため、パスワードやSMS・アプリのワンタイムパスワードに比べてフィッシングや中間者攻撃に強いのが特徴です。FIDO2/WebAuthn・PIV（スマートカード互換）・OTPなど幅広い規格に対応し、スマートフォンを持ち込めない医療・製造の現場でも使えます。

介護施設での約7,600人規模の導入ではログイン時間が30〜40秒から10秒未満に縮まったと公表されており、CloudGate UNOと組み合わせた全社展開に向きます。

物理キーの配布・管理が前提になる分、スマートフォンを持ち込めない現場の全社展開ではとりわけ効果を発揮します。契約は200ライセンスからで、まとまった人数での導入を計画する企業向けといえます。

3. Okta（Workforce Identity Cloud）（Okta Japan株式会社）

世界で2万社以上が利用し、Fortune 100の3分の2に採用されているクラウド型のID管理基盤（IDaaS）です。Okta Japan株式会社が日本市場を担い、SSO・多要素認証・ユーザーディレクトリ・ID管理を統合して提供します。

認証の安全性では、デバイスに結びついた鍵と生体認証やPINで本人確認する「Okta FastPass」や、FIDO2/WebAuthnのハードウェアセキュリティキー・パスキーといったフィッシング耐性のある方式に対応している点が強みです。

アクセスのたびに環境や挙動を評価して認証を強める適応型認証（Adaptive MFA）も備え、8,000を超える事前構築済みの連携により既存のSaaS群とまとめて守れます。

多数のSaaSを統合して一元管理したい企業に適した製品です。基本のMFAはStarterプランから使えるものの、リスクに応じて認証を強めるAdaptive MFAは上位プラン（Core Essentials以上）が前提となるため、必要な機能とプランの対応関係を事前に確かめておきましょう。

4. Microsoft Entra ID（日本マイクロソフト株式会社）

Microsoft 365やAzureのサインインを支える、クラウド型のID・アクセス管理基盤です。旧称は「Azure Active Directory（Azure AD）」で、2023年にMicrosoft Entra IDへ名称が変わりました。国内では日本マイクロソフト株式会社が提供しています。

多要素認証ではパスキー（FIDO2）やFIDO2セキュリティキー、Windows Hello for Business、証明書ベース認証に対応し、公式は規制の厳しい業界や特権ユーザーにセキュリティキーを推奨しています。

アクセス状況のリスクに応じて認証を強める条件付きアクセスも使え、Microsoft 365を既に使う組織なら追加のツールを入れずに認証を強化できる点が、採用の決め手になりやすいといえます。

場所やデバイスに応じてMFAを強制する条件付きアクセスはP1以上、リスクに応じた自動制御はP2が前提となります。無償版でも基本的なMFAは使えるので、きめ細かい制御まで求めるかどうかが、有料プランを選ぶかの分かれ目です。

5. Cisco Secure Access by Duo（シスコシステムズ合同会社）

スタートアップのDuo Securityが開発し、2018年にシスコが買収したクラウド型のアクセスセキュリティサービスです。国内はシスコシステムズ合同会社が提供し、多要素認証・端末の健全性チェック・適応型のアクセスポリシーを組み合わせて可否を判定します。

認証方式は、番号一致を加えて誤承認を防ぐ「Verified Duo Push」、WebAuthn/FIDO2のセキュリティキーや生体認証、Windows Hello・Android生体を使ったパスワードレスまで幅広く対応します。公式も「フィッシング耐性のあるMFA」と位置づけています。

既存のVPNやオンプレのアプリにも後付けで多要素認証をかぶせられ、世界100カ国を超えて使われてきた運用実績があります。

VPNやオンプレのアプリに後付けで多要素認証をかけたい企業と相性がよい製品です。10ユーザーまで無料で試せる一方、VPNを介さず社内リソースへつなぐ構成は最上位のPremierプランが前提になります。利用したい範囲を見極めてプランを選びましょう。

6. トラスト・ログイン byGMO（GMOグローバルサイン株式会社）

電子認証局を運営するGMOグローバルサイン株式会社が、そのセキュリティ事業の一環として提供する企業向けのクラウド型ID管理サービス（IDaaS）です。SSO・ID管理・多要素認証を中核に、基本機能を無料プランから使える点を打ち出しています。

認証強化では、2024年に加わったパスキー認証（FIDO2）のほか、プッシュ通知認証やメール送信型のワンタイムパスワードに対応します。国内で6,300社を超えて導入されてきた実績があり、電子認証局ならではの基盤を背景にしている点も安心材料です。

まず費用をかけずにSSO・ID管理を始めたい企業にとって、無料プランから使える点は大きな利点です。ただしフィッシングに強いパスキーは有料のSSOプロプランでの提供となるため、「どこまで無料で、どこから有料か」を見極めたうえで検討してください。

7. Soliton OneGate（株式会社ソリトンシステムズ）

デジタル証明書（クライアント証明書）による認証を中心に据えた、国産のクラウド型認証基盤（IDaaS）です。株式会社ソリトンシステムズが、SSOとID管理まで含めて一つの製品でまとめています。

証明書を発行する認証局（CA）機能を標準で持ち、発行から配布、失効までを自社で完結できるのが大きな特徴です。

公開鍵暗号を使う証明書認証はフィッシングや多要素認証の突破攻撃を防ぎやすく、これにFIDO2/WebAuthn・顔認証・ICカード・スマホ認証を組み合わせられます。東京証券取引所プライム市場に上場する企業が手がけ、政府情報システム向けのISMAPにも対応するなど、信頼性を重んじる組織に向きます。

証明書を使う方式である以上、端末への証明書の配布・運用が前提となる点はあらかじめ押さえておきたいところです。プランごとに最低契約ユーザー数（最小で40ユーザーから）が定められているので、組織の規模に見合うプランを選ぶ形になります。

8. RSA ID Plus（RSA Security Japan合同会社）

ハードウェアトークンによるワンタイムパスワード認証「SecurID」を源流とする、多要素認証の草分けといえる製品です。現在は「RSA Unified Identity Platform」として認証・アクセス管理・ガバナンスを統合し、国内ではRSA Security Japan合同会社が担い、販売・保守はテクマトリックスなどの代理店が行います。

FIDO2・パスキーや生体認証、プッシュ、OTP、ハードウェアトークン（SID700・DS100）まで方式が豊富で、独自のリスク分析エンジン「RSA Risk AI」による適応型認証も備えます。政府機関・金融・重要インフラなど高い保証が求められる現場での採用を公式に打ち出しており、堅牢さと可用性を重視する組織に選ばれています。

国内では販売・保守をテクマトリックスなどの代理店が担い、価格は個別見積もりが中心となります。高い保証を前提とした設計である分、小さく手軽に始めたい小規模組織にはやや過剰で、要件が固まった中〜大規模の組織にこそ力を発揮します。

9. Entrust Identity（エントラストジャパン株式会社）

1994年に世界初の商用PKI（公開鍵基盤＝証明書で安全性を担保する仕組み）を手がけたEntrust Corporationによる、ID・アクセス管理／多要素認証の製品群です。クラウド型のIdentity as a Serviceと、オンプレミスにも置けるIdentity Enterprise（旧IdentityGuard）があり、国内はエントラストジャパン株式会社が総販売代理店を務めます。

長年のPKI事業を背景に、証明書ベース認証やスマートカード、モバイルの仮想スマートクレデンシャルといった高保証の方式に強いのが持ち味です。そこへFIDO2/パスキー、OTP、モバイルプッシュ、AI顔認証までをひとつのベンダーで束ねられます。50人規模から1,000万ユーザー超までを想定した設計で、小さく始めて事業成長に合わせて広げられる柔軟さも備えます。

証明書やスマートカードまで含む高保証の方式を一社でまとめてそろえたい組織に適しています。国内はエントラストジャパンや販売パートナー経由での提供で、料金は個別見積もりが基本のため、公開された定額料金で手早く比較したい場合には見積もりの取得が必要です。

出典・参考資料（9件）

• 出典：CloudGate UNO公式サイト｜株式会社インターナショナルシステムリサーチ（cloudgate.jp）
• 出典：YubiKey as a Service公式サイト｜株式会社インターナショナルシステムリサーチ（cloudgate.jp）
• 出典：Okta公式サイト｜Okta Japan株式会社（okta.com）
• 出典：Microsoft Entra ID公式サイト｜日本マイクロソフト株式会社（microsoft.com）
• 出典：Cisco Secure Access by Duo公式サイト｜シスコシステムズ合同会社（cisco.com）
• 出典：トラスト・ログイン byGMO公式サイト｜GMOグローバルサイン株式会社（trustlogin.com）
• 出典：Soliton OneGate公式サイト｜株式会社ソリトンシステムズ（soliton.co.jp）
• 出典：RSA ID Plus公式サイト｜RSA Security Japan合同会社（rsa.com）
• 出典：Entrust Identity公式サイト｜エントラストジャパン株式会社（entrust.com）

主要な多要素認証（MFA）システムを横断的に比較検討したい場合は、認証方式・料金・企業規模別の選び方まで含めて解説した以下の記事もあわせてご覧ください。

まとめ

多要素認証は、正しく使えば不正ログインの大半を止める強力な対策ですが、守るのはログイン時の本人確認までで、採用する方式によってフィッシングへの強さは大きく変わります。SMSやメールは弱く、中間者型フィッシングやSIMスワップに狙われやすい一方、FIDO2やパスキーは認証がサイトのオリジンに紐づくため、偽サイトでは成立せずフィッシングに強いという明確な差があります。

「評判の良い製品」を選ぶときは、満足度スコアと件数・導入実績・第三者認証で客観的に裏づけを確かめ、障害時の運用や全入口での有効化まで見据えることが大切です。フィッシング耐性のある方式に対応した製品を軸に、自社の環境と運用に合うものを比較検討してみてください。

よくある質問（FAQ）

Q. 多要素認証（MFA）とは何ですか？

A. 多要素認証（MFA）とは、ログイン時の本人確認に、知識情報（パスワード等）・所持情報（スマホやセキュリティキー等）・生体情報（指紋や顔等）という性質の異なる複数の要素を組み合わせる認証方式です。

一つの要素が破られても別の要素で守れるため、パスワードだけの認証より強固とされます。認証を2回の段階に分ける「2段階認証」とは異なり、必ず性質の異なる要素を組み合わせる点が特徴です。

Q. 多要素認証は本当に安全ですか？過信してもよいですか？

A. 多要素認証は、正しく使えば不正ログインの大半を止める一方、守るのは原則「ログイン時の本人確認」までで、方式や運用次第では突破されるため過信は禁物です。

Microsoftは多要素認証で自動化された不正ログインの99.9%以上をブロックできると公表していますが、これは2019年時点の、主に総当たりやパスワードの使い回しに対する効果を指します。

ログイン後に発行されるセッション情報の窃取や、中間者型（AiTM）フィッシング、認証を設定し忘れた入口などは、追加の要素があっても防げません。「導入すれば安心」ではなく、「正しい方式を、すべての入口に、正しく運用して初めて効く」のが実際のところです。

Q. 多要素認証はどの認証方式を選ぶべきですか？

A. 多要素認証では、フィッシング耐性のあるFIDO2／パスキーやハードウェアセキュリティキーを優先するのが最も安全です。

これらの方式は、認証がアクセス先サイトのオリジン（ドメイン）に紐づき、偽サイトでは認証が成立しないため、中間者型フィッシングに強いという明確な違いがあります。

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）も、フィッシング耐性のある多要素認証を「ゴールドスタンダード（最も望ましい基準）」と位置づけ、そこへの移行を優先度の高い取り組みとするよう求めています。認証アプリのワンタイムパスワード（TOTP）やプッシュ通知は中程度、SMS・メールは弱い部類に入ります。

Q. 多要素認証のSMS認証は危険ですか？

A. SMSによる多要素認証は、「禁止」や「廃止」ではないものの、認証方式のなかでは最も弱い部類に入り、無条件に推奨される方式ではありません。

米国国立標準技術研究所（NIST）のガイドライン「SP 800-63B」は、SMSや音声通話を使う本人確認を「RESTRICTED（制限付き）」と位置づけ、SIMの交換（SIMスワップ）や番号の乗っ取り、電話網の制御プロトコル（SS7）の脆弱性による傍受といったリスクを評価したうえで使うよう求めています。

パスワードだけよりは安全ですが、フィッシング耐性のある方式を選べる環境なら、そちらへの移行が望ましいといえます。

Q. 多要素認証のMFA疲労（プッシュ爆撃）攻撃とは何ですか？対策はありますか？

A. MFA疲労（プッシュ爆撃）とは、承認を求めるプッシュ通知を大量に送りつけ、うんざりした利用者が誤って「承認」を押すのを狙う攻撃で、番号照合付きのプッシュやFIDO2／パスキーへの切り替えで緩和できます。

2022年のUberやCisco（シスコ）の大規模侵害でも実際に使われた手口です。画面に表示された番号を入力させる「番号照合（Number Matching）」付きのプッシュにする、あるいはオリジンに紐づくFIDO2／パスキーに切り替えることで、誤承認による突破を防ぎやすくなります。

Q. 評判の良い多要素認証（MFA）製品に共通する特徴は何ですか？

A. 評判の良い多要素認証製品は、フィッシング耐性のある方式（FIDO2／パスキー等）に対応し、十分なレビュー件数に裏打ちされた満足度・導入実績・第三者認証・安定した稼働率を備えている点が共通します。

満足度スコアは「レビュー件数」とあわせて見ると偏りを見抜けます。あわせて、導入社数や上場企業・官公庁での採用実績、ISMS（ISO/IEC 27001）やSOC 2報告書などの客観的な裏づけ、障害時のバイパス・冗長化の設計まで確認すると、口コミの印象だけに頼らず、自社の判断根拠として（必要なら経営層や監査への説明にも）「根拠をもって選んだ」と言えます。

Q. 多要素認証を導入すれば不正ログインは完全に防げますか？

A. 多要素認証を導入しても、ログイン後のセッション情報が盗まれたり、認証を設定し忘れた入口が残っていたりすれば侵入を防げないため、完全には防げません。

多要素認証が守るのは原則としてログイン時の本人確認までです。2024年に米国の医療決済大手チェンジ・ヘルスケアが受けた大規模侵害も、多要素認証が「突破された」のではなく、あるリモートアクセス用ポータルに多要素認証が設定されていなかったことが侵入の起点でした。

どれほど強い方式を選んでも、設定し忘れた一つの入口があれば守りは崩れます。製品選びと同じくらい、全アカウント・全入口での有効化という運用の設計が重要です。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、フィッシング耐性のある方式に対応した多要素認証（MFA）システムの最新資料を無料で一括請求できます。対応する認証方式・導入実績・料金をまとめて見比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。