用語集・認証とアクセス
多要素認証
Multi-Factor Authentication (MFA)
多要素認証（Multi-Factor Authentication）は、知識情報、所持情報、生体情報という認証の3要素のうち2つ以上を組み合わせて本人を確かめる方式である。
別の呼び方 MFA、二要素認証、2FA
要点
- 意味 多要素認証（Multi-Factor Authentication）は、知識情報、所持情報、生体情報という認証の3要素のうち2つ以上を組み合わせて本人を確かめる方式です。
- 中小企業にとって パスワードが漏れても、もう一つの要素がなければ入れないため、不正ログインの多くを防げる。
- このサイトでは 攻撃手法 2 種、事例 3 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
パスワードが漏れても、もう一つの要素がなければ入れないため、不正ログインの多くを防げる。
国内外の大きな被害では、例外的に多要素認証がなかった遠隔接続の入口が狙われている。
まずはVPNなどの遠隔接続、メール、管理者アカウントから例外なく有効にするのが優先である。
よくある誤解
- 誤解パスワードを2回入れる2段階認証も多要素認証だ
- 実際IPAは、パスワードを2回入れるような方式は多段階認証であり、2つとも漏れれば不正ログインされると説明している。多要素認証は知識、所持、生体のうち異なる要素を組み合わせるものである。
- 誤解多要素認証ならどの方式でも同じくらい安全だ
- 実際CISAは方式ごとの強さに差があるとし、SMSや音声は最後の手段、承認通知は連打攻撃に弱いとしている。FIDO/WebAuthnなどフィッシングに強い方式が最も強いとされる。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法認証情報の悪用
この手口の対策として、全てのログインで多要素認証を例外なく適用することが挙げられている。
- 攻撃手法多要素認証の回避
多要素認証も方式によっては中継や承認通知の連打で回避されるため、フィッシングに強い方式を選ぶ必要があることを示す手口である。
- 事例アスクル
記録では業務委託先向けの管理者アカウントだけが多要素認証の例外になっており、記録が挙げる例外のない多要素認証はその不備に当たる対策である。
- 事例Change Healthcare
記録では遠隔接続ポータルに多要素認証がなかったと証言されており、記録が挙げる遠隔接続への多要素認証に当たる。
- 事例Colonial Pipeline
記録では古いVPNプロファイルがパスワードだけで使えたとされ、記録が挙げる遠隔接続への多要素認証に当たる。
出典
- 「情報セキュリティ10大脅威 2026」解説書［組織編］ IPA・2026-03
- 情報セキュリティ10大脅威 知っておきたい用語や仕組み IPA・2025-07
- Implementing Phishing-Resistant MFA CISA・2022-10
- NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management NIST・2025-07
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）