30秒で分かる結論
パスワードは、使い回しや漏洩によって「いつか破られるもの」として扱うのが現実的です。
二段階認証を設定しておくと、パスワードが盗まれても、それだけではログインされません。設定は数分で終わります。まずメール、次にネット銀行とSNSの順で有効にしてください。
何が起きているのか
パスワードの漏洩は、利用者の不注意だけで起きるわけではありません。利用しているサービス側から流出することもあります。
流出したパスワードは一覧としてまとめられ、他のサービスで同じ組み合わせを機械的に試す攻撃に使われます。同じパスワードを複数のサービスで使い回していると、1か所の流出がすべてに波及します。
なぜ重要なのか
メールアカウントは、他のサービスのパスワード再設定の窓口になっています。
つまり、メールを乗っ取られると、そこから連鎖的に他のサービスも乗っ取られます。二段階認証を最初にかけるべきなのがメールなのは、このためです。
私たちへの影響
二段階認証を設定していない状態では、次のことが起こり得ます。
- 通販サイトで勝手に買い物をされる
- SNSのアカウントを乗っ取られ、知人に詐欺のメッセージが送られる
- クラウド上の写真や書類を見られる
いずれも、パスワード1つが破られただけで到達されてしまいます。
設定の手順
サービスによって名称は違いますが、たどる場所はほぼ共通です。
- アカウント設定またはセキュリティ設定を開く
- 「二段階認証」「2段階認証プロセス」「二要素認証」「ログイン認証」などの項目を探す
- 画面の指示に従って、認証アプリまたはSMSを登録する
- 回復用コードを必ず保存する（紙に印刷するか、パスワード管理ツールに入れる）
手順4を飛ばすと、スマートフォンを失くしたときに自分もログインできなくなります。ここだけは省略しないでください。
初心者が知っておくべきこと
方式によって安全性が違います。安全な順に並べると次のようになります。
- セキュリティキー・パスキー — 偽サイトでは原理的に使えないため、フィッシングに強い
- 認証アプリの6桁コード — 電話番号の乗っ取りの影響を受けない
- SMSで受け取る6桁コード — 設定は簡単だが、電話番号を乗っ取られると突破されうる
ただし、SMSであっても、設定していない状態よりははるかに安全です。難しく考えて先延ばしにするより、まずSMSで有効にしてしまうほうが実害を減らせます。
IT Postの見方
IT Postでは、二段階認証は「余裕があればやること」ではなく、メールについては必須の設定だと考えています。
理由は、被害が本人だけにとどまらないためです。乗っ取られたアカウントは、知人へ詐欺を送る踏み台として使われます。自分の資産を守るだけでなく、周囲に被害を広げないための設定でもあります。
今後どうなりそうか
パスワードそのものを使わないパスキーへの移行が、主要サービスで進んでいます。
当面はパスワードと二段階認証の併用が続くと考えられますが、対応サービスではパスキーを登録しておくと、より安全で入力の手間も減ります。
