【セキュリティ入門 第3回】多要素認証（MFA）——パスワードが漏れても突破されないしくみ

中小企業のための情報セキュリティ超入門 3 / 8

深夜、スマホに「あなたはサインインしようとしていますか？」という通知が5回連続で届いた。
心当たりはないが、寝ぼけて「はい」を押しかけた——

実はこれ、実際の中小企業の現場で起きているMFA疲労攻撃（えむえふえーひろうこうげき：しつこい認証通知を送りつけてユーザーに誤タップさせる手口）の典型例です。パスワードが漏れても最後の砦になる多要素認証（MFA：エムエフエー。Multi-Factor Authentication。パスワードに加えてもう1つの確認を組み合わせるしくみ）を、Microsoft 365とGoogle Workspaceの両方で今日中に有効化する手順、そして「押していい通知」「押してはいけない通知」の見分け方までを、この1本にまとめました。

読み終わるころには、今夜のうちに設定完了できる自信がついているはずです。

▼前回の記事はこちら

この記事でわかること

• なぜパスワードだけでは足りないのか、MFAが「最後の砦」と呼ばれる理由

• Microsoft 365でMicrosoft Authenticator（マイクロソフト オーセンティケーター：本人確認アプリ）を有効化する画面動線

• Google Workspaceで2段階認証プロセスと Google認証システムを有効化する画面動線

• SMS認証を選ばないほうがいい理由と、パスキー（ぱすきー：指紋・顔認証で本人確認する新しいログイン方式）という次の選択肢

• MFA通知が届いたときに「押していい」「押してはいけない」を見分ける判断基準

なぜパスワードだけでは足りないのか

第2回で「使い回しをやめる」「長く複雑にする」というパスワードの基本を確認しました。それでも、パスワードは「知られたら終わり」の1つの要素にすぎません。警察庁の令和6年サイバー犯罪レポートによると、2024年に企業・団体で報告されたランサムウェア（らんさむうぇあ：データを暗号化して身代金を要求するウイルス。第5回で詳しく扱う）被害の約63パーセントが中小企業で、前年比37パーセントの増加でした。被害企業の約半数は復旧に1か月以上を要し、費用が1000万円を超えた組織も約半数にのぼります。侵入経路の多くは「盗まれたID・パスワードでのなりすましログイン」です。

ここで登場するのがMFAです。MFAは、次の3つの要素のうち2つ以上を組み合わせて本人確認をするしくみです。

• 知っているもの：パスワード、PIN、秘密の質問

• 持っているもの：スマートフォン、認証アプリ、物理セキュリティキー

• 本人自身：指紋、顔、声などの生体情報

パスワード（知っているもの）が漏れても、スマホ（持っているもの）が攻撃者の手元になければログインは通りません。IPA（アイピーエー：情報処理推進機構。国のIT政策を支える独立行政法人）が2026年3月に公表した「中小企業の情報セキュリティ対策ガイドライン第4.0版」でも、クラウドサービスへのアクセスにはMFAを可能な限り使うことを強く求めています。米国のCISA（シーサ：米国サイバーセキュリティ・インフラセキュリティ庁）の資料では、MFAを有効にするだけで、アカウント乗っ取り攻撃の99パーセント以上を防げると報告されています。

Microsoft 365でMFAを有効にする——Microsoft Authenticatorを使う手順

Microsoft 365の管理者がまだMFAを組織全体に強制していない場合でも、個人のアカウントであれば今日中に自分で有効にできます。手順はスマートフォンとパソコンを両方使うので、あらかじめスマホを手元に用意してください。

まず、パソコンのWebブラウザ（うぇぶぶらうざ：インターネット閲覧用ソフト。Microsoft EdgeやGoogle Chromeなど）でMicrosoft 365にサインインし、アドレスバーに「mysignins.microsoft.com/security-info」と入れてアクセスします。

ここが「セキュリティ情報」の管理ページで、サインインに使う認証方法を追加・変更する場所です。「サインイン方法の追加」→「Microsoft Authenticator」を選び、案内に沿って進めます。

次に、スマートフォンで App Store（アップル製品向けアプリ配信）または Google Play ストア（アンドロイド製品向けアプリ配信）から「Microsoft Authenticator」を検索・インストールします。

アプリを起動して「職場または学校アカウントを追加」→「QRコードをスキャン」を選ぶと、パソコン画面に表示されているQRコードを読み取れます。読み取り後、パソコン画面に2桁の数字が表示されるので、スマホ側のアプリに同じ数字を入力すれば設定完了です。

この「2桁の数字を入力させる」動作は数字マッチング（ログイン画面に出た数字を、スマホ側にも入力させて一致を確認する方式）と呼ばれ、冒頭で紹介したMFA疲労攻撃を防ぐために2023年5月から標準化された仕組みです。単純に「はい／いいえ」を押すだけの旧方式に比べて、「攻撃者のログイン試行にうっかり承認してしまう事故」が起きにくくなっています。

法人アカウントを管理する立場の方は、Microsoft 365管理センター（admin.microsoft.com）から「ユーザー」→「アクティブなユーザー」→「多要素認証」に進み、一括で有効化できます。Microsoft Entra ID（エントラ アイディー：Microsoft 365のユーザー認証を担う旧Azure Active Directoryの新名称）のライセンスがある場合は、より柔軟な条件付きアクセスで運用できます。

Google WorkspaceでMFAを有効にする——2段階認証プロセスを使う手順

Google Workspaceでは、多要素認証にあたる機能を2段階認証プロセス（にだんかいにんしょうぷろせす：Googleでの多要素認証の呼び名。英語では2-Step Verification）と呼びます。

個人ユーザーとして有効化するには、パソコンで「myaccount.google.com/security」（マイアカウント：Googleアカウントの本人設定ページ）にアクセスします。「Googleへのログイン」の項目に「2段階認証プロセス」があるので、これを開いて「使ってみる」から案内に沿って進めます。

認証方法は複数から選べますが、初心者にはGoogle認証システム（グーグルにんしょうしすてむ：Googleの本人確認アプリ。英語名は Google Authenticator）が扱いやすい選択肢です。

スマホの App Store または Google Play ストアで「Google Authenticator」を検索してインストールし、パソコン画面のQRコードを読み取れば、6桁の確認コードが30秒ごとに更新表示されるようになります。
ログイン時にこのコードを入力すれば完了です。

管理者は Google Workspace管理コンソール（admin.google.com）から「セキュリティ」→「認証」→「2段階認証プロセス」に進み、組織全体または特定の組織単位に強制できます。「セキュリティキーのみ」「認証システム以外」など、利用できる認証方法をきめ細かく制御することもできます。中小企業でこれから始める場合は、まず「オンにする」だけで十分な効果があります。

用語メモ：

• SIMスワップ詐欺（しむすわっぷさぎ）：他人になりすまして携帯電話会社に再発行を申請し、被害者の電話番号を乗っ取る手口

「はい」を押していい通知・押してはいけない通知の見分け方

MFAを設定した瞬間から、スマホに「サインインしようとしていますか？」という通知が届くようになります。冒頭で紹介したように、この通知に紛れた攻撃を見分けることが、MFAを本当に機能させる最後の関門です。

判断基準は3つあります。

第一に、時刻と場所です。
自分が今この瞬間にログインしようとしていない時に届いた通知は、原則として「いいえ」または無視です。
深夜や休日、自分が海外にいないのに海外からのログイン通知が来た、といった状況では絶対に承認しないでください。

第二に、Microsoft Authenticatorの数字マッチングであれば、「パソコン画面と同じ数字」が出ているかどうかを必ず目で確認します。
自分が今操作しているパソコン画面に何の数字も出ていないのに通知だけ届いた、というのは他人のログイン試行のサインです。

第三に、しつこく連続で届く通知は要注意です。
攻撃者がMFA疲労を狙って何度も送信している可能性が高く、「うるさいから承認してしまえ」は最悪の選択です。

誤って承認してしまった・怪しい通知が続いた場合の初動

もし誤って承認してしまった、もしくは怪しい通知が続いている場合の初動は次の3つです。

• パスワードを今すぐ変更する。パスワードそのものが漏れている可能性が高いためです。

• 自分のサインイン履歴を確認する。Microsoft 365なら「mysignins.microsoft.com」（マイ サインイン）、Google Workspaceなら「myaccount.google.com/security」→「お使いのデバイス」で、見覚えのない端末や地域からのログインを探します。

• 会社の情報システム担当者かITサポート（みよし屋など）に共有する。他の社員のアカウントにも同じ攻撃が及んでいる可能性を横で確認してもらうためです。

MFAの次に来る「パスキー」——覚えておきたい今後の流れ

MFAはとても効果的な仕組みですが、実は「パスワード＋MFA」よりさらに新しい方式が急速に広がっています。

それがパスキーです。
パスキーは、パスワードを一切使わず、スマホやパソコンに保存された鍵と指紋・顔認証だけでログインする仕組みです。フィッシング（にせサイトへの誘導。第4回で詳しく扱う）にも強く、覚える必要がなく、通知を承認する手間もありません。

Microsoft 365は2024年からMicrosoft Authenticatorアプリでパスキーを扱えるようになり、Google WorkspaceでもGoogleアカウントのパスキー登録が正式サポートされています。

今すぐ全社で切り替える必要はありませんが、「そのうちパスワードそのものを使わなくなる方向」に世界が動いていることは覚えておくと、社内ルールの設計に役立ちます。まずは第3回で扱ったMFAをしっかり有効にする——ここから始めれば十分です。

まとめ：第3回のポイント

• パスワードは「知られたら終わり」の1要素。MFAで「持っているもの」「本人自身」を組み合わせれば、アカウント乗っ取り攻撃の99パーセント以上を防げる

• Microsoft 365は「mysignins.microsoft.com/security-info」、Google Workspaceは「myaccount.google.com/security」から今日中に有効化できる。認証アプリを主にしてSMSは補助にする

• 見覚えのない通知は絶対に承認しない。誤って押した・怪しい通知が続いた場合は「パスワード変更→サインイン履歴確認→情報システム担当・ITサポートに共有」の3ステップで動く

次回は、MFAをすり抜けようとする攻撃者の主戦場——あやしいメール、いわゆるフィッシング詐欺となりすましを見破る具体的なポイントを解説します。

情報セキュリティ対策や社内ルールづくりでお困りのことがあれば、みよし屋までお気軽にご相談ください。

#情報セキュリティ #中小企業 #多要素認証 #MFA #Microsoft365 #GoogleWorkspace #IT初心者 #みよし屋