ログイン画面や社内のIT部門から「MFAを有効にしてください」と求められたり、セキュリティのニュースで「MFA」という言葉を見かけたりして、そもそも何の略で何を指すのか気になった方は多いのではないでしょうか。パスワードが漏れても不正ログインを防ぐ仕組みとして、いま業務システムから個人の銀行アプリまで幅広く導入が進んでいます。
MFAは「Multi-Factor Authentication（多要素認証）」の略で、パスワードに加えて、もう1つ以上の本人確認を組み合わせてログインする方式を指します。パスワードだけのログインは盗用や使い回しで破られますが、種類の違う本人確認を重ねておけば、片方を奪われてもすぐには侵入されません。
この記事では、MFAの意味と仕組みを結論から整理し、知識・所持・生体という3つの認証要素、2要素認証（2FA）・二段階認証との違い、SMSや認証アプリ・パスキーといった方式ごとの安全性の差、そしてMFAが突破される手口とその対策までをわかりやすく解説します。最後に、自社システムにMFAを導入するときの選択肢も紹介します。
目次
一括ダウンロードする
MFA（多要素認証）とは？
MFA（Multi-Factor Authentication、多要素認証）とは、ログイン時に、種類の異なる2つ以上の本人確認の手段を組み合わせて認証する方式です。もっとも身近な例は、パスワード（本人だけが知っている情報）の入力に加えて、スマートフォンに届くワンタイムコードの入力や認証アプリの承認（本人だけが持っている端末による確認）を求める形です。
ポイントは、ただ確認を2回行うことではなく、性質の異なる要素を組み合わせる点にあります。米国国立標準技術研究所（NIST）が公開する認証の標準ガイドライン「SP 800-63B」は、MFAを次のように定義しています。
An authentication system that requires more than one distinct type of authentication factor for successful authentication. MFA can be performed using a multi-factor authenticator or by combining single-factor authenticators that provide different types of factors.
（補助訳）認証を成立させるために、1つより多くの異なる”種類”の認証要素を要求する認証の仕組み。MFAは、多要素対応の認証器を使うか、異なる種類の要素を提供する単要素の認証器を組み合わせることで実現できる。
出典：NIST SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」｜米国国立標準技術研究所（用語集 multi-factor authentication）
定義にある「異なる”種類”（distinct type）」が重要です。パスワードと秘密の質問のように、同じ”知っている情報”を2つ重ねても多要素にはなりません。知識・所持・生体という異なるカテゴリから2つ以上を組み合わせることが、MFAの条件です。
出典・参考資料（1件）
- 出典：NIST SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」｜米国国立標準技術研究所（リンク）
認証の3要素（知識・所持・生体）とは
ここからは、MFAで組み合わせる「要素」の中身を見ていきます。NISTの認証ガイドライン「SP 800-63B」は、認証要素を知識・所持・生体の3種類に分類しています。それぞれに身近な例を当てはめると、次のように整理できます。
| 認証要素 | 意味 | 身近な例 |
|---|---|---|
| 知識要素（knowledge） | 本人だけが知っている情報 | パスワード、PINコード、秘密の質問 |
| 所持要素（possession） | 本人だけが持っている物 | スマートフォン、認証アプリ、SMSを受け取る携帯電話、物理セキュリティキー |
| 生体要素（inherence） | 本人自身に備わった特徴 | 指紋、顔、虹彩、声 |
MFAは、この3つのうち異なる2種類以上を組み合わせます。たとえば「パスワード（知識）＋スマートフォンの認証アプリ（所持）」や「パスワード（知識）＋指紋（生体）」といった形です。片方が盗まれても、もう一方の種類の要素は攻撃者の手元にないため、不正ログインのハードルが大きく上がります。
出典・参考資料（1件）
- 出典：NIST SP 800-63B-4「Digital Identity Guidelines」｜米国国立標準技術研究所（リンク）
MFA・2FA・二段階認証の違い
MFAを調べると「2FA」「二段階認証」という言葉も一緒に出てきて、違いが分かりにくいと感じる方は多いはずです。ここで関係を整理します。
2FA（Two-Factor Authentication、二要素認証）は、要素をちょうど2つ使う認証で、MFAの一種です。MFAは「2つ以上」を指す広い言葉なので、2FAはMFAに含まれます。要素を3つ使えばMFAではありますが2FAではない、という関係です。日常的には、ほとんどのサービスが要素を2つ使うため、2FAとMFAはほぼ同じ意味で使われます。
一方「二段階認証」は、確認の”ステップ”が2回ある、という手順を表す言葉です。これは必ずしも多要素とは限りません。たとえばパスワードを入力した後に、さらに秘密の質問を答えさせる方式は、二段階ではありますが、どちらも「知識要素」なので多要素ではありません。
前述のNISTの定義どおり、MFAと呼べるのは”異なる種類”の要素を組み合わせたときだけです。確認が2回あるかどうかではなく、要素の種類が分かれているかどうかが、MFAの分かれ目になります。
なぜMFAが必要なのか（パスワードだけでは危険な理由）
ここからは、なぜパスワードだけでは不十分で、MFAが求められるのかを見ていきます。
パスワードは、1つの要素（知識）だけに頼る認証です。そのため、次のような経路で破られると、それだけで侵入を許してしまいます。
- フィッシング（偽サイトに誘導して入力させる）や情報漏えいによる流出
- 複数サービスでの使い回しによる、1か所の流出からの連鎖的な被害
- 推測されやすい文字列への総当たり攻撃
MFAを有効にしておくと、たとえパスワードが漏れても、攻撃者は2つ目の要素（手元のスマートフォンや物理キー、生体情報）を持っていないため、ログインを完了できません。1か所の弱点が、そのまま侵入につながるのを防げる点が、MFAの価値です。
こうした背景から、MFAは任意の対策から事実上の必須要件へと位置づけが変わりつつあります。クレジットカード業界のセキュリティ基準であるPCI DSSのように、システムへのアクセスにMFAを要件化する枠組みも広がっています。
出典・参考資料（1件）
- 参考資料：PCI DSS（Payment Card Industry Data Security Standard）｜PCI Security Standards Council（リンク）
一括ダウンロードする
MFAの仕組み（ログインの流れ）
ここでは、MFAが実際にどう動くのかを、ログインの流れに沿って見ていきます。基本は、これまでのパスワード入力に「2つ目の確認」が1ステップ加わるだけで、利用者の操作は難しくありません。
まず、これまでどおりIDとパスワード（知識要素）を入力します。次に、2つ目の確認として、スマートフォンに届いたコードの入力、認証アプリの承認タップ、指紋や顔による生体認証、物理セキュリティキーのタッチなどのいずれかを行います。両方が確認できて初めて、アクセスが許可されます。
身近な例では、銀行ATMがこの考え方に近いといえます。キャッシュカード（所持）と暗証番号（知識）の両方がそろって初めて引き出せる仕組みは、種類の違う要素を組み合わせる多要素認証と同じ発想です。オンラインでも、ログイン時にSMSで届くコードを入れる、認証アプリの通知を承認する、といった一手間が「2つ目の確認」にあたります。
MFAの認証方式と安全性の違い
2つ目の確認には複数の方式があり、使い勝手と安全性のバランスはそれぞれ異なります。「MFAを入れているから安心」ではなく、どの方式を選ぶかで強さが変わる点を押さえておくと、自分や自社に合った設定を選びやすくなります。代表的な方式を、安全性の傾向とあわせて整理します。
| 認証方式 | SMS・音声通話で届くワンタイムコード | 認証アプリのワンタイムコード（TOTP） | 認証アプリへのプッシュ通知の承認 | 生体認証（指紋・顔） | 物理セキュリティキー・パスキー（FIDO2） |
|---|---|---|---|---|---|
| 要素 | 所持 | 所持 | 所持 | 生体 | 所持（＋生体/PIN） |
| 使い勝手 | 手軽（追加アプリ不要） | 手軽（アプリで数字を確認） | タップのみで簡単 | 速い（かざす・触れるだけ） | タッチや生体で完結 |
| 安全性の傾向 | 相対的に低い。電話番号の乗っ取り（SIMスワップ・番号ポーティング）やコードの横取りの余地がある | SMSより高い。ただし偽サイトにコードを入力させる中継型フィッシングには注意が必要 | 中。承認を連打して誤承認を誘う攻撃（MFA疲労）への対策があるかで変わる | 単体の強さは実装しだい。スマホやPCでは多くの場合、端末内のパスキーや画面ロックの解除に使われ、その組み合わせで強くなる | もっとも高い。仕組みとしてフィッシングに強い（後述） |
※上記は各方式の一般的な傾向です。実際の安全性は提供元の実装や設定によって異なります。
とくにSMSで届くコードは、手軽な一方で弱点が知られています。NISTのガイドラインは、公衆電話網（PSTN）を使う方式を、唯一の「制限付きの認証手段（restricted authenticator）」と位置づけ、利用前に端末の交換・SIMの変更・番号ポーティングといった乗っ取りの兆候（リスク指標）を考慮すべきだとしています。
出典・参考資料（1件）
- 出典：NIST SP 800-63B-4（§3.1.3.3 Authentication Using the PSTN／§3.2.9 Restricted Authenticators）｜米国国立標準技術研究所（リンク）
このようにSMSコードは、電話番号そのものを他人に乗っ取られると横取りされうるため、MFAの中では弱い部類に入ります。導入するなら、SMSよりも認証アプリや物理キー・パスキーなど、より強い方式を選ぶのが安全です。
電話番号の乗っ取り（SIMスワップ）で具体的にどんな被害が起きるのか、そして事情があってSMS認証を使い続ける場合に個人・企業それぞれで何ができるのかは、次の記事で対策をまとめています。
パスキー・FIDO2・WebAuthnの違い
近年「パスキー」という言葉をよく見かけます。パスキーは、FIDO（ファイド）という業界標準にもとづく認証の仕組みで、仕組みとしてフィッシングに強く、特に強度の高い方式のひとつです。関係が紛らわしいので、用語を整理します。
- パスキー：FIDO標準にもとづく認証用の情報（クレデンシャル）。パスワードの代わりに使えるパスワードレス認証の中心的な仕組み
- FIDO2：パスキーを実現する仕様の総称。ブラウザ向けのAPIである「WebAuthn」と、外部の認証器とやり取りする「CTAP」を組み合わせたもの
- WebAuthn：FIDO2のうち、ブラウザとサイトの間でパスキーを使うための標準API
FIDO Allianceの公式説明によれば、パスキーはFIDO標準にもとづく認証クレデンシャルで、FIDO2（WebAuthnとCTAP）の仕様の上に作られ、公開鍵暗号の技術によってフィッシングに強い認証を実現します。
パスキーがフィッシングに強いのは、公開鍵暗号を使い、登録したサイトにしか認証情報を提示しない設計になっているためです。ドメインごとに別のパスキーが作られるので、利用者が気づかずに偽サイトへ認証情報を渡してしまう事故が起きにくくなっています。
適応型MFA（リスクベース認証）とは
方式そのものとは別の軸として、「適応型MFA（リスクベース認証）」という考え方もあります。これは、ログインの状況に応じて求める確認の強さを変える仕組みです。いつもの端末・場所・時間帯からのログインは追加確認を省き、普段と違うIPアドレスや国、短時間の連続失敗など、リスクが高いと判断した場面でだけ追加の要素を求めます。利便性を保ちながら、怪しいアクセスには厳しく対応できる点が特徴です。
適応型MFAがリスクをどう判定するのか、二段階認証や通常のMFAと何が違うのか、実際にどんな手段で導入できるのかは、次の記事で詳しく解説しています。
MFAは突破されるのか（限界と対策）
MFAは強力ですが、「絶対に破られない」わけではありません。どんな手口があり、どう備えればよいのかを知っておくと、方式選びの判断がより確かになります。代表的な突破手口は次の3つです。
- 中継型フィッシング（AiTM）：偽サイトを本物とユーザーの間に挟み、入力されたパスワードとワンタイムコードをその場で本物のサイトに中継してログインを乗っ取る手口
- MFA疲労（プッシュ通知の連打）：認証アプリへの承認要求を繰り返し送りつけ、利用者がうっかり、あるいは煩わしさから1回承認してしまうのを狙う手口
- SMSコードの横取り：前述のとおり、電話番号の乗っ取り（SIMスワップ）などでSMSを受け取り、コードを盗む手口
MFA疲労の実例として知られるのが、2022年に起きた配車サービスUberの侵害です。同社の公表では、攻撃者は外部委託先のパスワードを入手したうえで二要素認証の承認要求を送り続け、最終的に委託先が1回承認してしまったことで侵入を許したとされています。
Each time, the contractor received a two-factor login approval request, which initially blocked access. Eventually, however, the contractor accepted one, and the attacker successfully logged in.
（補助訳）そのたびに委託先には二要素認証の承認要求が届き、当初はアクセスが阻止されていた。しかし最終的に委託先が1回承認してしまい、攻撃者はログインに成功した。
出典：Security Update｜Uber（2022年9月）
対策としては、プッシュ通知に表示された番号を入力させて誤承認を防ぐ「番号照合（ナンバーマッチング）」を使う、承認要求が繰り返し届いたら承認せず管理者に連絡する運用を周知する、といった方法があります。そして根本的に強いのが、仕組みとしてフィッシングに耐える方式を選ぶことです。NISTはフィッシング耐性を、利用者の注意力に頼らずに、成りすました検証者へ認証の秘密情報を渡さない能力と定義しています。
この定義に当てはまるのが、前述のパスキーや物理セキュリティキー（FIDO2）です。登録したサイトにしか反応しないため、利用者が偽サイトに気づけなくても、そもそも認証情報が渡りません。SMSや認証アプリのコードが「本人がうっかり入力してしまう」余地を残すのに対し、FIDO2の方式は仕組みそのものでフィッシングを防ぎます。重要なアカウントほど、こうしたフィッシングに強い方式を選ぶ価値があります。
出典・参考資料（2件）
自社システムにMFAを導入するには
ここまでの内容を自社に当てはめると、「どの方式で、どうやって全社に展開するか」が次の検討になります。個人のアカウントなら各サービスの設定画面からMFAを有効にすれば済みますが、会社の複数システムをまとめて守るには、認証を一元化する仕組みや、現場で配れる認証手段が必要です。大きく2つの方向があります。
- ID基盤（IDaaS／SSO）でまとめて認証を強化する：複数のクラウドサービスへのログインを一元化し、パスキーや生体認証などの強い方式を全社に適用する
- 物理セキュリティキーを配って所持要素を持たせる：スマートフォンを配りにくい現場でも、フィッシングに強いFIDO2のキーで確実な本人確認を行う
また、以下の記事では多要素認証（MFA）システムの選び方や認証方式・料金を、主要17サービスを横断して詳しく比較しています。自社への導入を本格的に検討する方は、あわせてご覧ください。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
ここでは、上記2つの方向それぞれの代表的なサービスを一例として取り上げます。以下はその比較表です。より多くの選択肢から比べたい場合は、上記の比較記事もあわせてご確認ください。
| サービス名 | CloudGate UNO | YubiKey as a Service |
|---|---|---|
| 提供形態 | クラウド型のID基盤（IDaaS／SSO） | 物理セキュリティキー（YubiKey）のサブスクリプション（法人向け） |
| 対応する主な認証方式 | パスキー（FIDO2）・生体認証（Windows Hello、Touch ID / Face ID）・ワンタイムパスワード（OTP）・認証アプリ | FIDO2／WebAuthn・FIDO U2F・PIV・OpenPGP・ワンタイムパスワード（OTP） |
| パスワードレス対応 | ●全プラン・全ユーザーで無制限 | ●FIDO2対応（PIN・生体と併用） |
| フィッシング耐性 | 高い（パスキー・FIDO2を全社に適用できる） | 高い（物理キーで仕組み上フィッシングに強い） |
| 費用の目安 | 月額400〜600円/ユーザー（税抜）＋初期費用は要問い合わせ | 要問い合わせ（200ユーザーから、3年または5年契約） |
| 向いている企業・用途 | 複数のクラウド／SaaSへのログインを一元化し、全社をまとめて強い認証に切り替えたい企業 | スマートフォンを配りにくい現場や、派遣・外部委託先が多い環境に確実な本人確認を配りたい企業 |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、一度のログインで複数のクラウドサービスを利用できるシングルサインオン（SSO）に、認証強化とアクセス制御を組み合わせた国産のID基盤（IDaaS）です。
提供元は株式会社インターナショナルシステムリサーチで、前身のCloudGateは2008年にGoogle Apps向けのSSOとして始まりました。マルチクラウド対応のCloudGate UNOは2013年に提供を開始し、2019年からはFIDO2対応のパスワードレス認証にも対応しています。
ワンタイムパスワード、パスキー（FIDO2）、Windows Helloなどの端末の生体認証に対応し、フィッシングに強いパスワードレス認証を全社に展開できます。加えて、端末・場所・時間の3つの軸でアクセスを細かく制限できるため、私用端末の利用禁止や特定拠点・時間帯に限定した運用も可能です。管理画面やサポートが日本語で提供される点も、国内企業が導入しやすい理由になっています。
同社は、パスワードレス認証への切り替えが運用面にもたらした変化について、次のような導入事例を挙げています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
フィッシングに強い物理セキュリティキー「YubiKey」を、サブスクリプション形式で導入できるサービスです。キー本体の提供だけでなく、導入支援から運用後のサポートまでを一体で提供する点が、従来の買い切りモデルとの違いです。FIDO2に対応し、PINや生体と組み合わせて所持要素による確実な本人確認を実現します。
スマートフォンを全社員に配るのが難しい建設現場やコールセンター、派遣社員・外部委託先が多い環境でも、キーを渡すだけで強固な多要素認証を展開できます。紛失や増員に備えた毎年25%分の無償予備キーや、契約期間中の長期製品保証も含まれ、運用の手間とコストを抑えやすい構成です。用途に応じてベース・アドバンスド・コンプライアンスの3つのタイプから選べます。
まとめ
MFA（多要素認証）は、パスワードに加えて、知識・所持・生体という異なる種類の本人確認を組み合わせることで、パスワードが漏れても不正ログインを防ぐ仕組みです。要素をちょうど2つ使えば2FA（二要素認証）と呼ばれ、どちらも同じ考え方の上にあります。
方式によって安全性には差があり、手軽なSMSコードは電話番号の乗っ取りに弱い一方、パスキーや物理セキュリティキー（FIDO2）は仕組みとしてフィッシングに強く、特に強度の高い方式です。
MFA疲労や中継型フィッシングといった突破手口も踏まえ、重要なアカウントほどフィッシングに強い方式を選ぶことが、これからのMFA活用の要点になります。自社での全社展開を考えるなら、認証を一元化するID基盤や、現場で配れる物理セキュリティキーが有力な選択肢です。
まずは、自分がよく使うアカウントや、守りたい社内システムで、どの認証方式に対応しているかを確認してみてください。各サービスの資料は、以下からまとめて取り寄せて比較できます。
一括ダウンロードする
よくある質問（FAQ）
Q. MFAを設定すると、毎回のログインが面倒になりますか？
A. MFAによる手間は、方式の選び方や設定で大きく減らせます。指紋・顔などの生体認証やパスキーなら、かざす・触れるだけで数秒で確認が完了し、コードを手入力する手間がありません。さらに、いつもの端末・場所からのログインでは追加確認を省く「適応型MFA（リスクベース認証）」を使えば、普段の操作はこれまでとほぼ変わらず、リスクが高いと判断されたアクセスのときだけ追加の確認を求められます。
Q. MFAに使っているスマートフォンを機種変更・紛失すると、ログインできなくなりますか？
A. MFAはスマートフォンを失っても、事前にバックアップ手段を用意しておけばログインを回復できます。多くのサービスは、登録時に発行されるリカバリーコード（バックアップコード）の保管や、予備の連絡先・認証手段の登録を案内しています。機種変更の前には、認証アプリの移行や再登録を済ませておくと安全です。重要なアカウントほど、普段使う方式とは別の予備の手段を1つ用意しておくことをおすすめします。
Q. 自分のアカウントでMFAはどこから有効化できますか？
A. MFAは、各サービスのアカウント設定にある「セキュリティ」「ログイン」「二段階認証」などの項目から有効化できます。Google・Microsoftや各種SNS、ネットバンキングなど主要なサービスの多くが対応しており、画面の案内に沿って認証アプリの登録やパスキーの作成を行うだけで設定できます。
会社で使う複数のシステムをまとめて守りたい場合は、本文で紹介したID基盤（IDaaS）で一元的に有効化する方法があります。
Q. MFAの導入に費用はかかりますか？
A. 個人が自分のアカウントでMFAを使う分には、ほとんどの場合、追加費用はかかりません。認証アプリやパスキー、生体認証はスマートフォンの標準機能や無料アプリで利用でき、サービス側のMFA機能も無料で提供されるのが一般的です。
一方、会社として複数システムをまとめて管理したり、物理セキュリティキーを全社員に配ったりする場合は、ID基盤（IDaaS）の利用料やセキュリティキーの購入・運用費用がかかります。
Q. MFAは法令やコンプライアンスで義務づけられていますか？
A. MFAそのものを一律に義務づける日本の法律は多くありませんが、特定の業界基準ではMFAが要件化されています。代表例が、クレジットカード情報を扱う企業に適用されるセキュリティ基準PCI DSSで、カード会員データを扱う環境へのアクセスにMFAを求めています。このほか各種のセキュリティガイドラインでも、重要なシステムやクラウドサービスへのMFA導入を強く推奨する流れが広がっています。
Q. MFAを有効にすれば、パスワードは単純なものでも大丈夫ですか？
A. MFAを使っていても、パスワード自体はできるだけ強く、使い回さないものにすべきです。MFAは「パスワードが漏れても、もう1つの要素がなければ侵入されない」という備えであって、パスワードが弱くてよい理由にはなりません。
単純なパスワードは総当たり攻撃で破られやすく、攻撃者に1つ目の要素を握られると、MFA疲労（承認要求の連打）などで2つ目の要素まで突破される隙も生まれます。MFAと強いパスワードは、どちらか一方ではなく両方そろえてこそ効果を発揮します。
Q. パスキーにすれば、パスワードは完全に不要になりますか？
A. パスキーは、対応しているサービスではパスワードの代わりとして使え、パスワードなしでログインできます（パスワードレス認証）。指紋・顔などの生体認証や端末のPINでパスキーを使うため、パスワードの入力そのものが不要になります。
ただし、すべてのサービスがパスキーに対応しているわけではなく、未対応のサービスでは引き続きパスワードとMFAの組み合わせが必要です。移行期である現在は、パスキーが使える重要なアカウントから順に切り替えていくのが現実的です。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、多要素認証（MFA）システムの最新資料を無料で一括請求できます。対応する認証方式や料金、サポート体制を、複数のサービスでまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
