SMS依存で海外出張時にログインできない『多要素認証（MFA）運用ミスの話④』
「海外からログインできないんだけど」
原因はシンプル。
MFAをSMS（ショートメッセージ）だけに依存している。
国内では問題ない。
しかし海外に出た瞬間、
認証コードが届かないという事態になる。
冒頭の一言要約
SMSは便利だが不安定。
認証手段を1つに依存すると詰む。
症状（あるある）
海外でSMSが届かない
ローミング設定していない
現地SIMに切り替えて受信不可
管理者がログインできない
緊急対応が止まる
VPNにも入れない
原因と仕組み（なぜ起きるか）
SMSのみをMFA手段にしている
認証アプリを使っていない
代替手段を用意していない
海外利用を想定していない
電話番号変更に弱い
通信環境に依存
SMS認証は
通信キャリアに依存する仕組み。
そのため
圏外
ローミング未設定
SIM変更
これらで簡単に使えなくなる。
図：SMS依存の問題
ログイン
↓
SMS送信
↓
海外で受信不可
↓
ログイン不可切り分け（最短コース）
MFA方式確認
SMSのみか
通信状態確認
ローミング
SIM状態確認
国内／海外
代替手段確認
認証アプリ
別手段でログイン
今すぐ効く対処（テンプレ）
◆ MFAの基本設計
SMSに依存しない
複数手段を用意
◆ 推奨構成
主：認証アプリ（TOTP）
副：バックアップコード
補助：SMS（任意）恒久対策／再発防止チェックリスト
認証アプリ必須化
SMS単独利用禁止
バックアップコード保管
複数認証手段登録
海外利用手順整備
管理者アカウント確認
MFA方式レビュー
定期テスト実施
落とし穴（やりがちミス）
SMSだけ設定
認証アプリ未導入
SIM変更を考慮しない
海外出張を想定しない
バックアップ手段なし
まとめ（行動指針）
MFAは
「使えること」も重要な要件。
セキュリティだけでなく
可用性も設計する。
単一手段に依存しない。
必ず複数の認証手段を持つ。
これがMFA運用の基本。
