2段階認証・パスキーとは？企業のアカウントを守るために見直したい認証対策

Webサイトの管理画面やメール、クラウドサービスなど、企業の業務ではさまざまなアカウントを利用します。これらのアカウントが第三者に不正利用されると、情報漏えいやWebサイトの改ざんなどにつながる可能性があります。

こうしたリスクを抑えるために取り組みたいのが、2段階認証や多要素認証、パスキーの活用です。

パスワードを長く複雑にするだけでなく、ログイン方法そのものを見直すことで、アカウントをより安全に管理しやすくなります。

この記事では、それぞれの仕組みや違いを整理し、企業のWeb担当者が優先して確認したい対策を紹介します。

なぜパスワードだけでは不十分なのか

多くのWebサービスでは、IDとパスワードを使って本人確認を行います。しかし、パスワードが漏えいしたり、ほかのサービスで使っているパスワードを流用していたりすると、第三者にログインされるおそれがあります。

たとえば、次のような状況が考えられます。

• 別のサービスから流出したパスワードを使ってログインを試みられる
• 偽のログイン画面に誘導され、IDやパスワードを入力してしまう
• 推測されやすいパスワードを使っているため、不正ログインを試みられる
• 退職者や外部委託先のアカウントが残り、不要なアクセス経路になる

特に企業では、個人のメールアカウントだけでなく、Webサイトの管理画面や業務用クラウドサービスなど、複数のアカウントを管理する必要があります。

IPAも、不正ログインへの対策として、パスワードの使い回しを避けること、多要素認証を設定すること、対応サービスではパスキーを利用することを推奨しています。

参考：IPA「インターネットサービスへの不正ログインによる被害が増加中」

2段階認証・多要素認証・パスキーの違い

それぞれ似た言葉ですが、仕組みは異なります。まずは違いを整理しておきましょう。

2段階認証とは

2段階認証とは、ログイン時に本人確認を2つの段階で行う仕組みです。

たとえば、パスワードを入力した後に、スマートフォンに届いた確認コードを入力する方法があります。パスワードだけでログインできないようにすることで、不正ログインのリスクを抑えます。

ただし、2段階で認証すれば必ず多要素認証になるわけではありません。同じ種類の要素を2回確認する方式もあるためです。

多要素認証（MFA）とは

多要素認証は、異なる種類の情報や仕組みを組み合わせて本人確認を行う方式です。一般的には、次の3種類の要素に分類されます。

• 知識情報： パスワードやPINなど、本人が知っている情報
• 所持情報： スマートフォンやセキュリティキーなど、本人が持っているもの
• 生体情報： 指紋や顔など、本人の身体的な特徴

たとえば、パスワードとスマートフォンの認証アプリを組み合わせる方法は、異なる要素を使う多要素認証の一例です。

サービスによって「2段階認証」「2要素認証」「多要素認証」などの名称が使われます。名称だけで判断せず、どのような仕組みで本人確認を行っているかを確認することが大切です。

パスキーとは

パスキーは、従来のパスワードに代わるログイン認証方式です。対応するサービスと端末で設定すると、指紋認証や顔認証、端末のPINなどを使ってログインできます。

パスワードを入力してサービス側に送信する方式とは異なり、公開鍵暗号方式を利用して本人確認を行います。認証情報を偽のログインサイトに入力してしまうタイプのフィッシング攻撃にも強い仕組みです。

パスキーは、利用するサービスや設定によって認証の構成が異なります。すべてのパスキーが必ず多要素認証として扱われるわけではありませんが、パスワードへの依存を減らす有力な選択肢です。

なお、パスキーはサービス側が対応している必要があります。利用できる場合は、公式の設定画面やヘルプを確認して導入を検討しましょう。

企業ではどの認証方法を優先すべきか

どの方法を選ぶかは、サービスの対応状況やアカウントの重要性によって異なります。まずは、業務への影響が大きいアカウントから対策を進めましょう。

1. パスキーに対応している場合は導入を検討する

パスキーは、パスワードの入力や管理に伴うリスクを減らせる認証方式です。

特に、メールやクラウドサービス、管理者用アカウントなど、重要な情報や設定を扱うサービスでは、対応状況を確認する価値があります。

導入する際は、複数の担当者が利用する場合の登録方法や、端末を紛失した場合の復旧手順も確認しておきましょう。

2. パスキーに対応していない場合は多要素認証を設定する

パスキーを利用できないサービスでは、多要素認証の設定を優先します。

認証アプリやセキュリティキーなど、サービスが提供している方法を確認し、業務に適した方式を選びましょう。

SMSによる確認コードしか利用できない場合でも、パスワードだけの認証より有効な対策となる場合があります。利用可能な方式を確認し、対策を先送りにしないことが大切です。

3. パスワードの管理も続ける

多要素認証やパスキーを導入しても、アカウント管理が不要になるわけではありません。

パスワードを利用するサービスでは、十分な長さを確保し、使い回しを避けましょう。必要に応じてパスワード管理ツールを活用すると、サービスごとに異なるパスワードを管理しやすくなります。

また、認証方法を変更した場合も、登録済みのメールアドレスや電話番号、復旧用情報が最新であることを確認してください。

WordPressや企業サイトで確認したい認証設定

企業のWebサイトを管理している場合は、サイトの管理画面だけでなく、関連するアカウントも確認することが重要です。

WordPressの管理者アカウント

WordPressでは、管理者権限を持つアカウントが不正利用されると、記事や設定の変更、ユーザーの追加などにつながる可能性があります。

次の点を確認しましょう。

• 管理者アカウントが必要な担当者に限定されているか
• 各担当者が個別のアカウントを利用しているか
• 利用中の認証関連プラグインやサービスで多要素認証を設定できるか
• 不要になったアカウントや権限が残っていないか
• 復旧方法や緊急時の管理手順を把握しているか

WordPress本体の標準機能だけで、すべての環境に共通する多要素認証が自動的に有効になるわけではありません。利用中の認証サービスやプラグイン、ホスティング環境の機能を確認し、既存の構成との互換性を考慮して導入しましょう。

メール・ドメイン・サーバーの管理アカウント

企業サイトを運営するうえでは、WordPress以外のアカウントも重要です。

たとえば、次のアカウントを確認します。

• 会社のメールアカウント
• ドメイン管理サービス
• レンタルサーバーやクラウド基盤
• Webサイトのアクセス解析や広告関連サービス
• 問い合わせフォームや外部連携サービス

これらのアカウントが不正利用されると、Webサイトの運営や問い合わせ対応、広告配信などに影響する可能性があります。

まずは管理対象を一覧にし、重要度の高いアカウントから認証設定を見直しましょう。

導入時に注意したい3つのポイント

1. 端末の紛失や担当者の変更に備える

認証に使うスマートフォンやセキュリティキーを紛失した場合に、どのようにアカウントを復旧するかを事前に決めておきます。

退職や担当変更の際には、アカウントの権限や登録済みの認証方法を確認し、不要なアクセス手段を整理しましょう。

2. 復旧手段を安全に管理する

予備の認証方法や復旧コードが用意されている場合は、必要な担当者が安全に管理できるようにします。

復旧手段を誰でも見られる場所に保存したり、複数人で共有するパスワードに依存したりすることは避けましょう。業務で共有が必要な場合は、管理方法と利用者を明確にします。

3. 認証設定だけで対策を完了させない

認証を強化しても、不要なアカウントや過剰な権限、未適用のセキュリティ更新などの問題は残ります。

アカウント管理、権限の見直し、ソフトウェア更新、ログの確認などを組み合わせて、継続的に管理することが大切です。

まずは重要なアカウントから見直そう

2段階認証や多要素認証、パスキーは、アカウントへの不正ログインを防ぐための重要な対策です。

企業で導入を進める際は、次の順番で取り組むとよいでしょう。

1. メールやドメイン、サーバー、Webサイトなどの重要なアカウントを洗い出す
2. パスキーに対応しているサービスでは、導入を検討する
3. パスキーに対応していないサービスでは、多要素認証を設定する
4. パスワードの使い回しや不要なアカウントを見直す
5. 担当者の変更や端末紛失に備え、復旧手順を確認する

すべてを一度に変更する必要はありません。まずは、会社のメールやWebサイトの管理者アカウントなど、影響の大きいものから着手しましょう。

North Riverでは、Webサイトの制作だけでなく、公開後の運用や保守、セキュリティ面の確認も重要だと考えています。自社サイトの管理体制や認証設定に不安がある場合は、現在の運用状況を整理するところから始めてみてください。

参考情報

• IPA：インターネットサービスへの不正ログインによる被害が増加中
• IPA：不正ログイン対策特集ページ
• IPA：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について