多要素認証（MFA）とは？二段階認証との違い、方式の強さとMicrosoft 365での使い方

この記事の内容

1. 「ログイン情報」が狙われている
2. 認証の3つの要素（知識・所持・生体）
3. 多要素認証・二要素認証・二段階認証の違い
4. 多要素認証の方式と強さの違い
5. フィッシングに強い方式とは
6. Microsoft 365 の多要素認証
7. セキュリティの既定値群
8. Microsoft Authenticator で承認する
9. 機種変更の前にしておくこと
10. 会社で使うときに気をつけること

多要素認証（MFA）とは、本人を確かめる3つの要素「知識（パスワードなど）」「所持（スマートフォンなど）」「生体（指紋や顔など）」のうち、2つ以上を組み合わせてサインインを確かめる方法です。二段階認証は、確認を2回に分けることを指す言葉で、パスワードと秘密の質問のように同じ要素を2回使う場合も含みます。違う要素を2つ組み合わせた二段階認証は二要素認証でもあり、多要素認証に当たります。総務省は、同じ要素を2回使うより、違う要素を2回使うほうが安全性は高いと説明しています。

「ログイン情報」が狙われている

ID とパスワードの組み合わせ（ログイン情報）は、攻撃者から常に狙われています。同じパスワードを使い回していると、1か所から漏れただけで、ほかのサービスにも入られてしまいます。偽のメールや SMS で偽サイトに誘導し、ID とパスワードを入力させるフィッシングも続いています。

多要素認証を設定していれば、ID とパスワードを盗まれても、それだけではサインインできません。IPA（情報処理推進機構）も、不正ログインを防ぐ方法として多要素認証の設定を勧めています。

認証の3つの要素（知識・所持・生体）

本人を確かめる方法は、何を使うかで3つの要素に分けられます。総務省と IPA は、これを「知識情報」「所持情報」「生体情報」と呼んでいます。ID とパスワードのように、知っていることで確かめる方式は知識認証と呼ばれます。

多要素認証・二要素認証・二段階認証の違い

3つの言葉は、数えているものが違います。多要素認証と二要素認証は使う要素の種類の数を、二段階認証は確認の回数（段階）を数えています。

パスワードと秘密の質問の二段階認証は、どちらも知識なので、両方を知られると突破されます。反対に、パスワードのあとに SMS で届いたワンタイムパスワードを入力する方式は、そのスマートフォンを持っている人にしかコードが届かないので、所持の要素が加わった多要素認証になります。

サービスによって呼び名も違います。Google は「2 段階認証プロセス」、Apple は「2ファクタ認証」と呼んでいます。名前ではなく、何で確かめているか（知識・所持・生体のどれか）を見ると、守りの強さが分かります。

多要素認証の方式と強さの違い

2つ目の確認に使う方式はいくつもあり、防げる攻撃の範囲が違います。いちばん差が出るのは、フィッシングに強いかどうかです。

フィッシングに強い方式とは

偽サイトや偽のメッセージで、パスワードと一緒にワンタイムのコードもだまし取る手口があります。IPA も、SMS で届いた認証コードを攻撃者に教えてしまう被害を注意喚起しています。コードを入力する方式や、通知を承認する方式は、人がだまされると防げません。

パスキーやセキュリティ キーは、作ったときのサイトのドメインに結びつけられていて、見た目が似た偽サイトでは端末が鍵を出しません。Microsoft は、Windows Hello for Business、パスキー（FIDO2）、FIDO2 セキュリティ キー、証明書ベースの認証のような、フィッシングに強い方式を使うことを勧めています。また、SMS と音声通話は多要素認証に使わないよう勧めています。Windows Hello の PIN がパスワードより安全な理由は、パスワードとPINコードの違いで説明しています。

ただし、SMS を使う多要素認証でも、パスワードだけの場合よりはずっと安全になります。まず今使える方式で設定し、使えるようになったものから、パスキーなどの強い方式に替えていくのが現実的です。

Microsoft 365 の多要素認証

Microsoft 365 の会社のアカウント（職場または学校アカウント）では、多要素認証の決まりを管理者が Microsoft Entra ID で決めます。追加のライセンスなしで使えるのが、セキュリティの既定値群です。

セキュリティの既定値群

セキュリティの既定値群は、Microsoft が用意した基本のセキュリティ設定で、オンかオフかを選ぶだけで使えます。オンにすると、組織の全員に次のことが適用されます。

• 全員が多要素認証の方法を登録する。2024年7月29日からは、登録を後回しにできる14日間の猶予がなくなりました
• 管理者の役割を持つアカウントは、サインインのたびに多要素認証を求められる
• ほかのユーザーは、場所・デバイス・役割などをもとに、Microsoft が必要と判断したときに求められる
• 多要素認証に対応していない古い認証方式（レガシ認証）でのサインインを止める

登録に使う方法は、通知で承認する Microsoft Authenticator です。ほかの会社の認証アプリが作るコード（OATH TOTP）も使えます。

2019年10月22日以降に作られたテナント（会社の Microsoft 365 の環境）では、作成時から有効になっていることがあります。管理者は、Microsoft Entra 管理センターの「Entra ID」で、概要（Overview）のプロパティ（Properties）を開き、「セキュリティの既定値群の管理」から今の状態を確かめられます。この操作には、条件付きアクセス管理者以上の役割が必要です。

オンにする前に、古い方式でつないでいるソフトや機器が無いかを確かめてください。先進認証を使わない古い Office（Office 2010 など）や、IMAP・SMTP・POP3 などの古いメールの方式で認証しているものは、つながらなくなります。複合機からメールを送っている場合も、その設定を先に確かめます。

Microsoft Entra ID P1 以上のライセンスがある会社では、セキュリティの既定値群の代わりに条件付きアクセスを使い、誰に・どの場面で多要素認証を求めるかを細かく決められます。条件付きアクセスに切り替えるときは、セキュリティの既定値群をオフにします。

なお、Microsoft 365 管理センターへのサインインは、2025年2月から順に多要素認証が必須になっています。管理者のアカウントは、セキュリティの既定値群をオンにしているかどうかに関係なく、多要素認証の準備が要ります。

Microsoft Authenticator で承認する

Microsoft Authenticator は、Microsoft の認証アプリです（iPhone と Android）。会社のアカウントでサインインすると、パソコンの画面に番号が表示され、スマートフォンに届いた通知を開いてその番号を入力すると承認されます。番号を入力させるのは、身に覚えのない通知をよく見ないまま承認してしまう事故（MFA 疲労攻撃）を防ぐためです。

身に覚えのない通知が届いたときは「拒否」を選びます。誰かがあなたのパスワードでサインインしようとしている可能性があるので、パスワードを変え、会社の管理者に知らせてください。

初めて設定するときは、会社のアカウントでサインインした直後に、追加の情報を求める画面が出ます。

1. 「次へ」を選ぶと、「アカウントのセキュリティ保護を維持」の画面が出ます。
2. スマートフォンに Microsoft Authenticator を入れ、パソコンで「次へ」を選びます。
3. スマートフォンの Authenticator で「アカウントの追加」を選び、「職場または学校アカウント」を選びます。
4. パソコンに表示された QR コードを、Authenticator で読み取ります。
5. Authenticator にテストの通知が届くので、承認します。

あとから方法を追加・変更するときは、セキュリティ情報のページ（mysignins.microsoft.com/security-info）にサインインし、「サインイン方法の追加」を選びます。

機種変更の前にしておくこと

Authenticator を入れたスマートフォンを替えるときは、古いスマートフォンを初期化したり下取りに出したりする前に、次のことをしておきます。Microsoft は、新しいスマートフォンからよく使うアカウントにサインインできると確かめるまで、古いスマートフォンを手元に残すよう勧めています。

1. バックアップをオンにする……iPhone は、iCloud Drive・iCloud キーチェーン・iCloud バックアップをオンにし、「設定」の iCloud に保存するアプリの一覧で Authenticator をオンにします。Android は、Authenticator の「設定」で「クラウド バックアップ」をオンにし、バックアップを保存する個人の Microsoft アカウントを選びます。
2. 新しいスマートフォンで復元する……古いスマートフォンと同じバックアップ先のアカウントを使い、同じ種類の端末（iPhone から iPhone、Android から Android）に復元します。
3. 会社のアカウントはもう一度サインインする……職場または学校アカウントは、バックアップからはアカウントの名前だけが戻ります。「サインインしてアカウントを追加する」と赤い文字が出るので、アカウントを開いてサインインし直します。
4. パスキーは作り直す……Authenticator のパスキーは作った端末から出ない仕組みなので、バックアップでは移りません。セキュリティ情報のページで新しいスマートフォンのパスキーを追加し、使えることを確かめてから古いパスキーを削除します。

古いスマートフォンが壊れた、なくしたなどで復元できないときは、自分では元に戻せないことがあります。会社の管理者に相談してください。

会社で使うときに気をつけること

• 管理者のアカウントは普段使いと分ける……Microsoft は、管理の作業用と、メールや文書作成などの普段の作業用でアカウントを分けることを勧めています。管理者のアカウントはサインインのたびに多要素認証を求められるので、分けておくと普段の手間も減ります。
• 緊急用の管理者アカウントを用意しておく……管理者全員がサインインできなくなる事態に備えて、Microsoft は、特定の人にひもづけない緊急用の管理者アカウントを2つ作ることを勧めています。
• SMS と電話は、ほかの方法が使えない人だけにする……社員にはまず Microsoft Authenticator を使ってもらい、使える人からパスキーへ進めます。
• 退職・異動・機種変更のときに登録を整理する……使わなくなったスマートフォンやパスキーが登録されたままにならないよう、本人と管理者で確かめます。

インフィニティの会社サイトから

会社のITを任されている方へ

このサポートサイトを書いているインフィニティは、会社のITの決めごとをコラムと解説動画にまとめています。

• インフィニティのコラムなりすましメール対策。DMARCを設定する順番
• インフィニティのコラムSCS評価制度の★3を取引先に求められたら
• 7問で確かめる無料・登録なし7問のIT診断