二段階認証とは——パスワードだけに頼らない理由

「知っているもの」と「持っているもの」

認証の要素は大きく3種類に分けられます。パスワードのような「本人だけが知っている情報」、スマートフォンやセキュリティキーのような「本人だけが持っているもの」、指紋や顔のような「本人自身の特徴」です。二段階認証は、このうち異なる種類を2つ組み合わせる仕組みです。パスワード（知っているもの）に加えて、スマホに届く確認コード（持っているもの）を要求すれば、パスワードだけが漏れても、攻撃者はログインできません。

方式による強さの違い

もっとも手軽なのはSMSに届くコードを入力する方式ですが、電話番号を乗っ取る「SIMスワップ」という手口があるため、強度としては中程度です。より安全なのは、Google AuthenticatorやMicrosoft Authenticatorのような認証アプリで、端末内でコードを生成するため通信を横取りされる心配がありません。さらに強固なのが、物理的なセキュリティキー（USBやNFCで認証するデバイス）で、フィッシングサイトへの入力自体を技術的に防げる方式です。すべてのサービスがすべての方式に対応しているわけではないため、対応状況に応じて選ぶことになります。

どこから設定すべきか

全部のサービスに一度に設定するのは大変なので、優先順位をつけるのが現実的です。まず、他のサービスの復旧に使われるメールアカウント。次に、決済情報が紐づくサービス（ネットバンキング、通販サイト）。そして、SNSアカウント。この順で設定していくと、被害が連鎖するリスクを効率よく減らせます。

なお、二段階認証はパスワードの使い回しを許容する理由にはなりません。あくまで最後の砦であって、最初の壁であるパスワード自体を強く保つ重要性は変わりません。当サイトのパスワード生成では、強いパスワードの生成に加えて、今使っているパスワードの強度チェックもできます。