「2段階認証を設定してくださいと出たけれど、何のことか分からない」
教室の個別レッスンでも、セキュリティのご相談をよくいただきます。なかでも分かりにくいのが、この2段階認証です。
先日のレッスンでも、設定の画面を一緒に進めたあとに、こんな質問をいただきました。
「これは、ほかの人がログインするときに聞かれるものですよね？」
「数字の時間を長くして、聞かれないようにはできないんですか？」
どちらも、とても自然な疑問です。設定の手順は画面に出てくるので、一緒に進めれば終わります。ただ、何のためにやっているのかが分からないままだと、次にログインしたときに「なんで自分が数字を聞かれるの？」と困ってしまいます。
この記事では、操作の手順より先に、2段階認証が何を守っているのかをお伝えします。
2段階認証とは「鍵を2つにすること」
ひと言でいうと、ログインするときに、パスワードともう一つ、別の確認を求める仕組みです。
家の玄関にたとえると分かりやすいかと思います。
| 鍵の数 | 入れる人 | |
|---|---|---|
| パスワードだけ | 1つ | 鍵の形（パスワード）を知っている人なら、誰でも |
| 2段階認証 | 2つ | 鍵の形を知っていて、さらにあなたのスマホを持っている人だけ |
ポイントは、2つの鍵の種類が違うことです。
- 1つ目の鍵＝知っているもの（パスワード）
- 2つ目の鍵＝持っているもの（あなたのスマホ）
パスワードは、文字なので盗まれることがあります。でも、あなたの手元にあるスマホまでは、遠くにいる人には盗めません。だから、パスワードが知られてしまっても、それだけでは入られなくなります。
なぜ必要なのか
「自分のパスワードなんて、誰も知らないはず」と思われるかもしれません。
ところが、パスワードは本人が気づかないうちに漏れることがあります。たとえば、
- 登録していた別のお店やサービスから、パスワードが流出する
- 同じパスワードを使い回していて、ほかのサービスにも入られてしまう
- 本物そっくりの偽のログイン画面に、自分で入力してしまう
実際に、情報を盗むウイルスに感染したパソコンから、ChatGPTのログイン情報だけで約10万件が盗まれ、売り買いされていたという調査もあります（2023年・Group-IB）。
どれも、本人は何も悪いことをしていないのに起きます。2段階認証は、パスワードが漏れてしまった「あと」でも守れる、いわば保険です。
ログインのとき、何が起きるのか
設定したあとのログインは、次のような流れになります。
- いつもどおり、メールアドレス（またはID）とパスワードを入れる
- 「確認コードを入力してください」のような画面が出る
- スマホに届いた数字（6桁などが多い）を入れる、または、スマホに出た「はい（ログインしますか？）」を押す
- ログインできる
自分がログインするときも、聞かれます
「ほかの人がログインしようとしたときだけ、聞かれるもの」と思われることがあります。じつは、自分がログインするときにも聞かれます。
サービスの側からは、ログインしようとしているのが本人なのか、パスワードを盗んだ別の人なのか、見分けがつきません。だから、誰に対しても同じように「スマホを持っていますか？」と確かめます。本人ならスマホが手元にあるので、すぐに通れます。別の人は、ここで止まります。
聞かれるのは、主に次のようなときです。
- 新しいパソコンやスマホでログインしたとき
- いつもと違うブラウザでログインしたとき（Edge から Chrome に替えた、など）
- ログアウトしたり、ブラウザの履歴をまとめて消したりしたあと
いつも使っているパソコンとブラウザなら、2回目以降は聞かれないことが多いです。
「数字の時間」と「聞かれる間隔」は、別のもの
もう一つよくあるのが、「時間を長くして、聞かれないようにできないか」というご質問です。ここには、2つの「時間」が混ざっています。
| 何の時間か | 変えられるか | |
|---|---|---|
| ① 数字の有効期限 | 届いた数字が使える時間（数十秒〜数分） | 変えられません。 短いから、見られても次に使えない＝ここが守りの中心です |
| ② 次に聞かれるまで | 同じパソコンで、もう一度確認を求められるまで | サービスによっては、ログインのときに「このデバイスを記憶する」「次回から確認しない」のような欄があり、チェックを入れると聞かれにくくなります |
届いた数字は、毎回変わる使い捨てです。「ワンタイムパスワード」と呼ばれることもあります。この数字の時間は延ばせませんが、延ばす必要もありません。届いたら、その場で入れればいいだけです。
「何度も聞かれて面倒」と感じるときは、①ではなく②のほうを見直します。自分の家のパソコンなら、「このデバイスを記憶する」のような欄にチェックを入れておくと楽になります。ただし、教室や図書館など、ほかの人も使うパソコンでは、チェックを入れないでください。
2つ目の確認には、いくつか種類があります
| 種類 | どうやって確認するか | ひと言 |
|---|---|---|
| SMS（ショートメッセージ） | 電話番号に数字が届く | いちばん分かりやすい。電話番号があればすぐ使える |
| 確認用のアプリ | スマホのアプリに、数字が表示される | 電波がなくても使える。スマホを替えるときは引っ越しが必要 |
| スマホに届く「はい／いいえ」 | ログインしようとするとスマホに通知が出て、「はい」を押す | 数字を打たなくてよい |
| メール | 登録しているメールに数字が届く | メールに入られると意味がうすくなる |
どれを選ぶか迷ったら、初めての方は画面がすすめてくる方法で大丈夫です。設定していないより、ずっと安全です。
設定する前に、準備しておくこと
ここがいちばん大事なところです。2段階認証は、本人も入れなくなることがある仕組みでもあります。設定する前に、次の3つを確かめておきましょう。
1. 登録する電話番号やメールが、今使えるものか
昔の携帯の番号や、もう見ていないメールアドレスを登録すると、確認の数字が届きません。
2. 「予備のコード（バックアップコード）」を紙に控える
設定の途中で、「予備のコード」「バックアップコード」などの名前で、数字の一覧が出ることがあります。これは、スマホをなくしたときに使う合鍵です。
印刷するか紙に書き写して、通帳などと同じ場所にしまっておきましょう。スマホの中だけに保存すると、スマホをなくしたときに一緒になくなります。
3. スマホを買い替えるときは、古いスマホを先に手放さない
確認用のアプリを使っている場合は、新しいスマホへの引っ越しが必要です。新しいスマホで、ログインできることを確かめてから、古いスマホを下取りに出しましょう。
いちばん大事な注意点：その数字は、誰にも教えない
2段階認証の数字は、あなただけが知っていればいいものです。
- 電話で「確認のため、届いた番号を読み上げてください」と言われても、教えない
- メールやSNSで「この番号を入力してください」と言われても、入れない
本物の会社やお店が、この数字を電話で聞いてくることは、まずありません。届いた数字を人に伝えた時点で、2つ目の鍵を渡したのと同じです。
「自分がログインしようとしていないのに、数字が届いた」ときは、パスワードが誰かに知られているかもしれません。数字は誰にも教えず、パスワードを変えておきましょう。
スマホに「ログインしますか？」と出る種類も同じです。自分がログインしようとしていないときは、「はい」を押さないでください。
よくある心配
| 心配なこと | 答え |
|---|---|
| 毎回、数字を入れるのが面倒 | 数字の時間は延ばせませんが、自分の家のパソコンなら「このデバイスを記憶する」のような欄にチェックを入れると、聞かれにくくなります |
| 数字の画面が出たけれど、何もしていない | 誰かがあなたのパスワードを使おうとしているかもしれません。数字は入れず、パスワードを変えます |
| スマホを持っていない | メールで届く方法や、固定電話に音声で知らせる方法が選べるサービスもあります |
| 設定したら、ログインできなくなった | 予備のコードを使います。ない場合は、サービスの「ログインできない方」の案内から本人確認をします |
まとめ
- 2段階認証は、パスワード（知っているもの）＋スマホ（持っているもの）の2つの鍵
- パスワードが漏れても、スマホがなければ入られない
- 自分がログインするときも聞かれる（新しいパソコン・違うブラウザのとき）。数字の時間は延ばせない
- 設定の前に、電話番号の確認・予備のコードを紙に控える
- 届いた数字は、誰にも教えない
まずは、いちばん大事なアカウントから設定してみてください。GoogleやApple、LINE、ネットバンキングなど、入られると困るものから順番で大丈夫です。
スタディPC練馬校では、個別のレッスンも行っております。オンラインレッスンはもちろん、教室での対面レッスンをご希望の方もご相談いただけます。
まずはお問い合わせフォームよりお気軽にご相談ください。体験・お問い合わせ専用LINEからもお問い合わせいただけます。
