二要素認証とは多要素認証との違いを解説|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年03月16日更新日時: 2026年08月02日

二要素認証や多要素認証は、いまでは多くのクラウドサービス、金融サービス、社内システムで当たり前に使われるようになりました。ところが、現場で相談を受けていると、「二段階認証を入れているから大丈夫」「SMSでコードを送っているのでMFA済み」「パスキーは便利そうだが、多要素認証とは別物」といった認識がまだ残っています。

この理解のままだと、認証強化をしたつもりでも、AiTM攻撃、MFA疲労攻撃、SMSコードの窃取、条件付きアクセスポリシーの抜け道などで突破されるおそれがあります。実際、セキュリティ対策Labでも、中間者攻撃(AiTM攻撃)とは？多要素認証で防げない理由と対策を解説や、Microsoft 365環境へ8,100万回超のログイン試行-大規模パスワードスプレー攻撃で、MFAがあるだけでは不十分な事例を扱ってきました。

本稿では、二要素認証、二段階認証、多要素認証の違いを整理したうえで、NIST、CISA、英国NCSC、豪州ASD、カナダCyber Centre、FBIなどの海外公的ソースを踏まえ、2026年時点で企業がどの認証方式を優先すべきかを解説します。

二要素認証と多要素認証のサマリー

二要素認証は、知識、所持、生体といった認証要素のうち、異なる2種類を組み合わせる認証方式です。
多要素認証は、2種類以上の認証要素を使う認証方式であり、二要素認証は多要素認証の一部と考えられます。
二段階認証は、認証手順が2段階あることを指す言葉であり、必ずしも異なる要素を使うとは限りません。
NIST、CISA、英国NCSC、豪州ASD、カナダCyber Centreはいずれも、単なるMFA導入ではなく、フィッシング耐性のあるMFAの重要性を強調しています。
SMS、メールOTP、TOTP、プッシュ承認は、パスワード単体より強い一方で、偽サイトやAiTM攻撃で中継・窃取される可能性があります。
パスキーやFIDO2セキュリティキーは、正しく実装されていれば認証情報が正規サイトに暗号的に結び付くため、従来型のフィッシングに強い認証方式です。
企業では、全社員一律のMFA導入で止めず、管理者、経理、情シス、役員、開発者、リモートアクセス、SaaS管理画面から優先的にフィッシング耐性MFAへ移行する必要があります。

観点	二段階認証	二要素認証	多要素認証	2026年時点の実務判断
意味	認証手順が2回あること	異なる2種類の認証要素を使うこと	2種類以上の認証要素を使うこと	用語よりも、どの方式がどの攻撃に耐えるかを確認する
典型例	パスワード入力後に秘密の質問へ回答	パスワードと認証アプリのOTP	パスワード、端末、生体認証、リスク判定などの組み合わせ	秘密の質問やメールOTPは強い認証と考えない
フィッシング耐性	方式によって低い	OTP型は中継される可能性あり	方式によって大きく変わる	FIDO2、パスキー、証明書ベース認証を優先する
企業導入の落とし穴	2回確認しているだけで安心する	SMS認証だけで十分と考える	MFA済みの範囲に穴が残る	管理者、VPN、SaaS、非対話ログインまで対象にする
推奨される方向性	重要アカウントでは補助的位置付け	最低ライン	標準対策	フィッシング耐性MFAを高リスク領域から段階導入

二要素認証、二段階認証、多要素認証は同じではない

二要素認証、多要素認証、二段階認証は、日常会話ではほぼ同じ意味で使われがちです。利用者向けの画面でも、サービスによって「2段階認証」「2要素認証」「多要素認証」「MFA」「2SV」と表記がばらついています。ここが最初のつまずきです。

二要素認証とは、本人確認に使う要素を2種類組み合わせる認証方式です。代表的な認証要素は、パスワードやPINのような知識要素、スマートフォンやセキュリティキーのような所持要素、指紋や顔認証のような生体要素です。パスワードと認証アプリのワンタイムパスワードを組み合わせる場合は、知識要素と所持要素を使うため、二要素認証に該当します。

多要素認証は、2種類以上の認証要素を組み合わせる考え方です。したがって、厳密には二要素認証は多要素認証に含まれます。多要素認証だから必ず3要素以上という意味ではありません。企業のID基盤では、パスワード、端末準拠状態、FIDO2認証、場所、リスクスコアなどを組み合わせてアクセス可否を判断するため、単純な二要素認証よりも広い概念として扱われます。

一方、二段階認証は「手順が2段階ある」ことに着目した言葉です。たとえば、パスワードを入力した後に秘密の質問へ回答する仕組みは2段階ではありますが、どちらも知識要素です。この場合、異なる認証要素を組み合わせた二要素認証とは言いにくく、攻撃者が利用者の個人情報を事前に把握していれば突破される可能性があります。

情報システム部門の現場では、「当社は二段階認証を入れているか」ではなく、「その認証は何の要素を使っているのか」「偽サイトに入力された場合に中継されるのか」「管理者やSaaS管理画面も対象か」と確認する必要があります。

海外公的レポートはMFAの有無よりフィッシング耐性を重視している

NISTのデジタルアイデンティティガイドラインSP 800-63B-4は、2025年7月31日に最終版が公表され、デジタル認証と認証器管理の要求事項を整理しています。NISTは認証保証レベルを定義し、より高い保証レベルでは、公開鍵暗号を使い、秘密鍵が容易に複製されず、フィッシング耐性を備える認証方式を重視しています。ここで重要なのは、単に追加コードを求めることではなく、攻撃者がその認証情報を別サイトで再利用できない構造にすることです。

CISAも、MFAを「パスワードを超える防御」と位置付けつつ、フィッシング耐性MFAへの移行を繰り返し推奨しています。CISAとNSAのアイデンティティ管理ベストプラクティスでは、OTPはパスワードより有効であっても、偽サイトへ入力されるとパスワードと同じように盗まれる可能性があると説明されています。これは、セキュリティ対策Labのワンタイムパスワード(OTP)とは？種類・メリット・注意点をわかりやすく解説で扱っているOTPの限界とも重なります。

英国NCSCは2026年4月、サービスが対応している場合はパスキーを推奨し、対応していない場合は2段階認証を使うという方向性を示しました。同機関は、SMSコード、メールコード、TOTP、プッシュ承認を含む従来型MFAは本質的にフィッシングされ得る一方、FIDO2認証情報やパスキーは、現実に観測される一般的な認証情報攻撃に対して、従来型MFAと同等以上に安全だと評価しています。利用者確認を伴うFIDO2認証は、それ自体が多要素認証を構成するという説明も重要です。

豪州ASDのサイバーセキュリティセンターも、Essential Eightの文脈でMFAを重要な緩和策に位置付けています。特に、オンラインサービス、システム、データリポジトリにはフィッシング耐性MFAを実装すべきであり、SMSや音声通話に依存する方式は、総当たり攻撃や中間者攻撃に対して弱いと整理しています。

カナダCyber Centreの2025年のガイダンスは、実務担当者にとってかなり参考になります。同センターは、カナダ政府や重要インフラ関係者で観測したAiTM攻撃について、MFAや条件付きアクセス、登録済み端末ポリシーによる防御状況を四半期ごとに示しています。2023年第3四半期にはフルセッション侵害が17.4％だったのに対し、2025年第2四半期には6.1％まで低下しており、登録済み端末とフィッシング耐性MFAの組み合わせが効果を持つことを示すデータとして読めます。

海外公的レポートをまとめると、MFAの議論はすでに「導入するかどうか」から「どのMFAを、どの範囲に、どの条件で強制するか」へ移っています。日本企業も、SMS認証を有効化して終わり、管理者だけMFAを入れて終わり、という段階から抜け出す必要があります。

2FAを入れても破られる典型パターン

二要素認証や多要素認証は、パスワードだけの状態に比べれば明らかに強力です。ただし、すべてのMFAが同じ強度を持つわけではありません。現場で特に問題になりやすいのは、MFAを「1回追加の確認をする仕組み」として扱い、攻撃者の中継や回避を前提にしていないケースです。

SMS認証は導入しやすく、利用者にも分かりやすい方式です。銀行、EC、SNS、行政サービスでも長く使われてきました。しかし、SMSコードは利用者が読んで入力する情報である以上、偽サイトに入力させられれば攻撃者に渡ります。SIMスワップ、通信事業者を装った詐欺、端末乗っ取り、SMS転送マルウェアなどのリスクもあります。SMS認証は「何もないよりはよい」ものの、重要システムの最終防衛線としては弱い方式です。

メールOTPも同じです。メールアカウント自体が侵害されている場合、認証コードは攻撃者に読まれます。特にMicrosoft 365やGoogle Workspaceを中心に業務を組んでいる企業では、メールは認証手段であると同時に、業務情報の保管場所でもあります。メールを第二要素にする場合、そのメールアカウントの保護が弱いと、認証全体が崩れます。

TOTPはSMSより安全とされる場面が多く、実際に通信事業者側の乗っ取りには強くなります。しかし、利用者が偽サイトへTOTPコードを入力すれば、攻撃者はリアルタイムで正規サイトへ中継できます。ここで登場するのがAiTM攻撃です。攻撃者は偽ログインページと正規サービスの間に立ち、ID、パスワード、OTP、セッションクッキーをまとめて窃取します。セキュリティ対策Labでも、多要素認証(MFA)を回避しMicrosoft 365へ不正アクセスするフィッシングサービス Rockstar 2FAやAiTM攻撃の記事で扱っているように、攻撃ツール化が進んでいます。

プッシュ承認型MFAにも落とし穴があります。利用者のスマートフォンに「承認しますか」と表示される方式は便利ですが、攻撃者が何度も認証要求を送ると、利用者が疲れて承認してしまうことがあります。いわゆるMFA疲労攻撃です。番号照合や位置情報表示を入れれば軽減できますが、フィッシング耐性を持つFIDO2やパスキーとは性質が異なります。

さらに見落とされがちなのが、MFAが適用される認証フローの範囲です。セキュリティ対策LabのMicrosoft 365環境へ8,100万回超のログイン試行-大規模パスワードスプレー攻撃では、被害組織の多くが条件付きアクセスポリシーによるMFAを導入していたにもかかわらず、攻撃者が使った認証フローをカバーできていなかった点が問題になりました。MFAを入れたかどうかだけでなく、レガシー認証、非対話ログイン、サービスアカウント、OAuth同意、デバイスコード認証、管理APIまで含めて確認しなければなりません。

パスキーとFIDO2はなぜフィッシングに強いのか

パスキーやFIDO2セキュリティキーが注目される理由は、単に入力が簡単だからではありません。最大の違いは、認証情報が正規のサービスに暗号的に結び付いている点です。

従来のパスワードやOTPは、人間が見て、コピーして、別の画面へ入力できます。この性質があるため、攻撃者は偽サイトを作り、利用者に入力させれば盗めます。TOTPも、有効時間が短いだけで、リアルタイム中継されれば悪用されます。

FIDO2やパスキーでは、秘密鍵は利用者の端末やセキュリティキー側に保持され、サービス側には公開鍵が登録されます。ログイン時には、サービスが出したチャレンジに対して端末側が署名し、サービス側がそれを検証します。秘密鍵そのものはサービスにも送られず、利用者が偽サイトに何かのコードを入力するわけでもありません。

この仕組みにより、攻撃者が見た目だけ本物そっくりの偽サイトを作っても、正規ドメイン向けに登録された認証情報をその偽サイトで使うことは困難になります。英国NCSCが「パスキーは従来型MFAより安全または同等以上」と評価しているのは、ここが大きな理由です。

もちろん、パスキーなら絶対安全という話ではありません。端末の紛失、クラウド同期アカウントの保護、アカウント回復手順、ヘルプデスクを狙うなりすまし、弱い代替認証手段へのダウングレードなどは残ります。英国NCSCも、パスキーの同期について、同期アカウント自体を強く保護することが重要だと説明しています。

そのため企業では、パスキーを導入する際に、回復手順、端末登録、MDM、退職者対応、共有端末、特権アカウント、クラウド同期の可否をセットで設計する必要があります。セキュリティ対策Labのパスキーとは？メリットや概要を解説で解説している通り、パスキーは利用者体験を改善しながら認証強度を上げられる一方、企業導入では運用設計を軽く見ない方がよい領域です。

公的統計から見る認証強化の必要性

MFAの重要性は、技術論だけではなく、被害統計からも見えてきます。

FBIの2025年Internet Crime Reportでは、IC3に寄せられたインターネット犯罪の苦情が100万件を超え、報告損失額は200億ドルを超えたとされています。FBIは別の注意喚起で、金融機関サポートを装うアカウント乗っ取り詐欺について、2025年1月以降に5,100件超の苦情と2億6,200万ドル超の損失が報告されたと公表しています。これは、認証情報だけでなく、電話、偽サイト、心理的圧力、本人確認情報を組み合わせて口座を乗っ取る攻撃が現実に大きな被害を出していることを示しています。

英国政府のCyber Security Breaches Survey 2025/2026では、英国企業の43％、慈善団体の28％が過去12か月にサイバーセキュリティ侵害または攻撃を経験したと回答しています。企業全体で二要素認証を要求する割合は、2024/2025年の40％から2025/2026年には47％へ上昇しました。特にマイクロビジネスでは、二要素認証要求が35％から43％へ上昇しています。英国では中小規模の組織でも認証強化が進んでいる一方、全社的に定着したとはまだ言えない状況です。

カナダCyber CentreのAiTM関連データも見逃せません。2023年第3四半期から2025年第2四半期にかけて、フルセッション侵害の割合が17.4％から6.1％へ下がっています。カナダ側は、登録済み端末を前提にした条件付きアクセスやフィッシング耐性MFAの採用が主な理由だと説明しています。これは、日本企業にとっても、MFAを単体の認証追加ではなく、端末管理、IP制限、条件付きアクセスと組み合わせるべきことを示す実例です。

日本でも、IPAが不正ログインの増加を注意喚起しており、セキュリティ対策Labでは不正ログイン、2025年で過去最多-IPA発表として取り上げています。ネット証券、EC、SaaS、メール、クラウドストレージ、開発基盤のいずれでも、IDと認証は攻撃者にとって最も効率のよい入口です。

この流れを見ると、MFA導入は「セキュリティ意識の高い企業が追加でやる対策」ではなくなっています。いまは、MFAがないこと自体が、取引先審査、サイバー保険、監査、委託先管理で説明しにくい状態になりつつあります。

二要素認証と多要素認証の違いを現場でどう説明するか

社内説明では、厳密な定義から入るよりも、次のように説明した方が通じやすいです。

二段階認証は、ログイン時に2回確認する仕組みです。二要素認証は、パスワードとスマートフォン、パスワードと生体認証のように、異なる種類の証拠を2つ使う仕組みです。多要素認証は、その考え方をさらに広げ、2つ以上の要素や端末状態、場所、リスク判定を組み合わせて、本人らしいアクセスかどうかを確認する仕組みです。

ただし、社内規程に落とし込むときは、用語の説明だけでは足りません。「MFAを必須にする」と書くだけでは、SMSでもよいのか、メールOTPでもよいのか、管理者はFIDO2必須なのか、例外承認は誰が出すのかが曖昧になります。実際の統制としては、対象システムごとに認証強度を分ける必要があります。

たとえば、一般社員の通常業務SaaSでは、認証アプリやパスキーを標準にします。経理、役員、情報システム、開発者、SaaS管理者、ドメイン管理者、クラウド管理者、VPN利用者には、FIDO2セキュリティキー、端末登録、証明書ベース認証、条件付きアクセスを優先します。特権管理では、共有アカウントを廃止し、JIT権限付与やPAMと組み合わせます。

ここで重要なのは、SMS認証やメールOTPを全否定しないことです。現実には、すべてのサービスがパスキーやFIDO2に対応しているわけではありません。古い業務システムや取引先ポータルでは、SMSしか選べない場面もあります。その場合は、「高リスク領域では使わない」「代替手段として位置付ける」「ログ監視と端末制御で補う」といった現実的な線引きが必要です。

サイト内事例から見るMFAの限界

セキュリティ対策Labの過去記事を振り返ると、MFAは必要だが、MFAだけでは止まらない攻撃が増えていることが分かります。

多要素認証(MFA)とは？メリットや必要性を解説では、MFAがパスワードリスト攻撃やパスワードスプレー攻撃のリスクを下げる基本対策であることを説明しています。Microsoftの研究を取り上げた多要素認証で約99%のセキュリティリスクを削減できる Microsoftが発表でも、MFAが侵害リスクの大幅な低減につながることを紹介しています。

一方で、中間者攻撃(AiTM攻撃)とは？多要素認証で防げない理由と対策を解説では、攻撃者が認証情報だけでなくセッションクッキーを窃取する手口を扱っています。ここでは、利用者がOTPを正しく入力していても、攻撃者がその認証済みセッションを奪う可能性があります。

Microsoft 365環境へ8,100万回超のログイン試行-大規模パスワードスプレー攻撃では、MFAを導入していても、条件付きアクセスポリシーが対象外にした認証フローを攻撃者が狙う問題が出ています。これは、MFAの方式だけでなく、ID基盤全体の設計ミスが攻撃面になる例です。

サイバー攻撃は「ID」への不正アクセスへ移行-2025年 Microsoftレポートでも触れているように、いまの攻撃は人間のIDだけを狙うわけではありません。OAuthアプリ同意、デバイスコード、APIキー、サービスプリンシパル、シークレット、Key Vaultなど、非人間IDも攻撃対象になります。人間のログインだけにMFAを入れても、アプリや自動化アカウントが抜け道になる可能性があります。

さらに、FBI、銀行サポートを装うアカウント乗っ取り詐欺に警鐘 -2025年だけで2億6,200万ドル（約409億円）超の被害のような事例では、攻撃者は金融機関サポートを装い、電話や偽サイトを組み合わせて利用者を誘導します。認証強化はシステム側だけの話ではなく、コールセンター、経理、総務、役員秘書、ヘルプデスクの確認手順とも連動させなければなりません。

過去記事を横串で見ると、MFAの価値は変わっていません。むしろ重要性は増しています。ただし、攻撃者もMFAを前提に動くようになったため、企業側も「MFAを有効化したか」ではなく、「MFAをどう突破される可能性があるか」まで考える段階に入っています。

認証方式ごとの現実的な優先順位

企業で認証方式を選ぶ場合、理想論だけでは進みません。コスト、端末、ユーザー体験、既存システム、海外拠点、委託先、障害時対応まで考える必要があります。とはいえ、優先順位はかなりはっきりしています。

最優先にしたいのは、FIDO2セキュリティキー、パスキー、証明書ベース認証、端末登録を前提にしたフィッシング耐性MFAです。全社員に一気に展開できない場合でも、管理者、経理、役員、開発者、SOC、SaaS管理者、クラウド管理者、VPN利用者から始める価値があります。特に、Microsoft 365、Google Workspace、IDプロバイダ、EDR管理画面、MDM、PAM、クラウド管理コンソールは優先度が高い領域です。

次に、認証アプリのTOTPや番号照合付きプッシュ通知です。フィッシング耐性はありませんが、SMSよりは強く、導入しやすい方式です。番号照合や地理情報表示、異常な連続要求のブロックを有効化し、MFA疲労攻撃を受けにくくします。

SMSや音声通話は、どうしても他の方式を使えない場合の補助策にとどめるべきです。特権アカウント、金融操作、経理承認、個人情報大量閲覧、顧客データエクスポート、クラウド管理者ログインでは避けた方がよいです。どうしても使う場合は、金額上限、承認分離、通知、ログ監視、コールバック確認など、業務側の統制を併用します。

メールOTPは、メールアカウントが強固に保護されていることが前提です。メールアカウントのMFAが弱いまま、他の業務システムの第二要素にメールを使うと、メールが落ちた瞬間に連鎖的に認証が突破されます。

秘密の質問は、現代の業務システムでは強い認証要素として扱うべきではありません。SNS、過去の漏洩データ、ダークウェブ、名簿、公開プロフィールから推測される情報が多く、攻撃者にとって調査しやすいからです。本人確認の補助にはなっても、第二要素として過信するのは危険です。

企業が移行計画で押さえるべきポイント

MFAの導入や見直しで失敗しやすいのは、方式の選定よりも運用設計です。情シス部門が技術的に正しい方針を決めても、利用者が使えない、例外が増える、端末紛失時に復旧できない、委託先が対応できない、といった理由で形骸化することがあります。

最初に行うべきことは、認証対象の棚卸しです。メール、グループウェア、VPN、IDプロバイダ、SaaS、クラウド、開発基盤、会計、人事、CRM、MDM、EDR、バックアップ、ドメイン管理、DNS、証明書管理、CI/CD、リモート保守、委託先ポータルを洗い出します。社内利用者だけでなく、委託先、保守ベンダー、派遣社員、海外拠点、共有端末、サービスアカウントも対象です。

次に、リスク別に認証強度を決めます。全アカウントに同じルールを当てると、利便性の問題で例外が膨らみます。一般業務、機密情報閲覧、金銭処理、管理者、開発者、外部公開システム管理、インシデント対応用アカウントなどに分け、それぞれに許容方式を決めます。

復旧手順も重要です。パスキーやセキュリティキーは強力ですが、端末故障や紛失時に復旧できなければ業務が止まります。ただし、復旧手順を弱くすると、攻撃者はそこを狙います。本人確認は、上長承認だけでなく、別チャネル確認、チケット管理、監査ログ、一定時間の権限制限、重要操作の保留などを組み合わせるべきです。

ログ監視も欠かせません。MFA成功だけを見ても不十分です。失敗回数、異常な国やASN、Impossible Travel、レガシー認証、デバイス登録の変化、MFA方式の追加、電話番号変更、バックアップコード生成、OAuth同意、メール転送ルール、条件付きアクセスポリシー変更を監視します。

利用者教育では、「MFAコードを教えない」だけでは足りません。正規のサポート担当者、銀行、警察、取引先、経営者を名乗る相手であっても、電話越しに認証コードや承認操作を求められたら拒否する、という具体的な行動基準が必要です。FBIの金融機関サポートなりすまし事例のように、攻撃者はメールだけでなく電話も使います。

情報システム部門への示唆

情報システム部門がこのテーマで最初にやるべきことは、「MFA導入率」の数字だけを追わないことです。導入率はもちろん重要ですが、SMSやメールOTPだけで100％になっていても、実際の防御力は限定的です。経営層へ報告する際も、「MFA導入済み」ではなく、「フィッシング耐性MFA適用率」「特権アカウント適用率」「レガシー認証遮断率」「弱い代替手段の残存数」といった指標に変えていく必要があります。

高リスクアカウントから優先的に移行してください。具体的には、IdP管理者、Microsoft 365管理者、Google Workspace管理者、クラウド管理者、ドメイン管理者、VPN利用者、経理承認者、役員、開発者、CI/CD管理者、バックアップ管理者です。この層にSMSやメールOTPを残すのは、現代の攻撃手口を考えると危険です。

条件付きアクセスの棚卸しも必要です。MFAを求めるポリシーが、すべてのアプリ、すべてのクライアント、すべての認証フロー、すべてのユーザーに適用されているとは限りません。除外グループ、古いサービスアカウント、非対話ログイン、デバイスコード認証、レガシープロトコル、海外拠点向け例外が残っていないか確認してください。

パスキーやFIDO2は、全社展開の前に小さく始めるのが現実的です。情シス部門、SOC、開発部門、経理部門、役員秘書など、被害時の影響が大きい部署から試験導入し、端末紛失、機種変更、退職、海外出張、委託先利用、共有端末、障害時復旧を検証します。ここを飛ばして一気に強制すると、例外運用が増えて本来の効果が落ちます。

最後に、MFAは単独の対策ではありません。端末管理、EDR、メール防御、IDログ監視、権限管理、PAM、ゼロトラスト、バックアップ、利用者教育、ヘルプデスク本人確認と組み合わせて初めて機能します。二要素認証と多要素認証の違いを理解することは入口にすぎません。2026年時点の実務では、「どの認証方式なら、いま観測されている攻撃に耐えられるか」を基準に、認証基盤を作り直す必要があります。