どんな危険がある？
パスワードだけでログインできるサービスは、パスワードが盗まれると、第三者にログインされる可能性があります。
多要素認証（MFA）は、知っている情報、持っているもの、指紋などの身体的な特徴といった、異なる種類の要素を組み合わせて本人確認する仕組みです。例えば、パスワードに加え、スマートフォンの認証アプリを使う方法があります。
また、指紋・顔認証や端末のPINなどを使ってログインする「パスキー」もあります。パスキーは、パスワードを使わずにログインできる方式で、パスワードに追加する方式とは限りません。
どうすれば防げる？
- 仕事で使う重要なサービスのMFAを有効にする。
特にメール、顧客管理、予約、会計、広告管理などを優先します。
- 対応している場合は、パスキーやセキュリティキーを活用する。
フィッシングに強い方式です。利用するサービスが案内する設定方法を確認します。
- 認証アプリも活用する。
SMSしか利用できない場合も、利用可能な方式でMFAを有効にします。
- 身に覚えのない認証要求を承認しない。
不審な通知が届いたら、公式アプリやブックマークからログイン履歴や設定を確認します。認証コードを他人に教えないことも大切です。
- 機種変更や紛失に備える。
バックアップコードなど、そのサービスで利用できる復旧方法を確認し、安全に保管します。
設定できない立場の方は、サービスの管理者や運用担当者に設定状況を確認してください。
具体的な手順は、必要な項目を開いて確認してください。
詳しく見る認証アプリとは？どのアプリを選べばいい？
Authenticator（オーセンティケーター）は、本人確認を助けるアプリです。一定時間ごとに変わる確認コードを表示するものや、ログイン時の承認通知を受け取るものがあります。アプリをインストールしただけでは、そのサービスのMFA設定は完了しません。利用するサービスの設定画面で登録する必要があります。
公式情報と入手先を確認できる例として、Google Authenticator（Google 認証システム）とMicrosoft Authenticatorがあります。まずは、使っているサービスや会社が指定するアプリ・方式に従ってください。すべての認証アプリで、同じ認証方式を使えるわけではありません。
下の公式案内からApp StoreやGoogle Playへ進み、提供元を確認して入手します。アプリ名・アイコン・検索順位だけで選ばないようにしましょう。
- Google Authenticator（Google 認証システム）
Googleが提供する認証アプリです。認証コード方式に対応するサイトやアプリで使えます。Googleのサービス以外でも、対応しているサービスなら利用できます。
- Microsoft Authenticator
Microsoftが提供する認証アプリです。Microsoftの個人用・職場用アカウントや、対応するほかのサービスで利用できます。組織の設定により、コード入力や通知の承認などを使います。
詳しく見る認証アプリを設定する基本手順
サービスによって、画面の名称や利用できる方式が異なります。以下は認証コード方式などを登録するときの基本的な流れです。操作を始める前に、公式の設定手順も開いておきましょう。
- 正規の管理画面と、認証に使うスマホを用意する。
普段のブックマークや公式アプリからサービスへログインし、指定された認証アプリをスマホに入れます。
- サービス側のセキュリティ設定を開く。
「セキュリティ」「多要素認証」「二段階認証」「認証アプリ」などの項目を探し、追加・設定を始めます。名称が違う場合は、そのサービスの公式ヘルプを確認してください。
- 表示されたQRコードを認証アプリで読み取る。
アプリの「アカウントを追加」「＋」などから、今自分で開いた正規の設定画面のQRコードを読み取ります。同じスマホで作業して読み取れない場合は、公式手順に従って設定キーを手入力する方法などを使います。QRコードや設定キーを他人へ送ったり、スクリーンショットを共有したりしないでください。
- サービスの画面に戻り、登録を完了する。
求められた確認コードの入力や通知の承認を行い、サービス側で設定完了になったことを確認します。アプリにサービス名が表示されただけで終わらせないようにします。
- スマホを使えなくなったときの復旧方法を用意する。
バックアップコードが発行される場合は保存し、サービスが認める予備の認証方法も確認します。バックアップコードは、認証に使うスマホを失っても取り出せるよう、組織のルールに沿って保管します。
- 新しい認証方法でログインできるか確認する。
元の設定画面は閉じずに、別のブラウザーやプライベートウィンドウなどでログインを試し、新しい認証方法を使えることを確認します。旧端末や旧認証方法を使うのをやめるのは、この確認ができてからにしてください。
詳しく見るMicrosoft 365の職場アカウントで設定する例
Microsoft Authenticatorを使う場合の例です。会社の設定や権限によって画面が異なったり、選べる認証方法が制限されたりします。個人用のMicrosoftアカウントとは手順が異なります。
- 職場アカウントの「セキュリティ情報」を開く。
下のMicrosoft公式の設定手順から「セキュリティ情報」へ進み、設定する職場アカウントでログインします。
- サインイン方法の追加からMicrosoft Authenticatorを選ぶ。
公式手順に沿って追加を進め、QRコードを表示します。選択肢が見つからない場合は、会社の管理者や契約しているMicrosoft 365のサポート窓口へ確認します。
- スマホのアプリで職場アカウントを追加する。
Microsoft Authenticatorで追加を選び、「職場または学校アカウント」からQRコードを読み取る方法を選びます。
- 画面の案内に従って登録と確認を完了する。
求められた通知の承認や確認を行い、サービス側で登録が完了したことを確認します。登録後は新しい方法でのログインと、スマホを使えない場合の復旧方法も確認してください。
詳しく見る機種変更やスマホの紛失に備えるには？
機種変更は、古いスマホを使えるうちに、利用サービスの一覧と移行・再登録の手順を確認して進めます。認証アプリの同期・バックアップ機能があっても、職場アカウントなどでは再登録や追加確認が必要な場合があります。
紛失などですでに認証できない場合は、用意していた復旧コードや予備の方法を使います。それも使えなければ、サービスの公式窓口に本人確認・復旧を依頼します。MFAを使えないからといって、他人のアカウントを借りたり、ずっと無効にしたまま運用したりしないでください。
- 新しいスマホでのログインを先に確認する。
会社・サービスの手順に従って新しい端末を登録し、動作確認ができてから古い登録を外します。
- 古い端末の登録は、利用サービス側でも確認する。
古いスマホからアプリを削除するだけでは、サービス側の端末や認証方法の登録が残る場合があります。認証設定の一覧で、旧端末の登録が不要になっているか確認します。
- 復旧コードと保管先を見直す。
バックアップコードを再発行した場合は、新しいものを保管し直します。従業員の私用スマホや私用クラウドだけを、業務アカウントの唯一の復旧手段にしないよう、会社として保管・復旧方法を決めておきます。
詳しく見る退職者本人の業務アカウントを停止するときは？
退職者のアカウントを使わなくする場合は、認証アプリの削除やMFAの解除だけで終わらせません。MFAだけを解除すると、パスワードだけでログインできる状態になるおそれがあります。
- 業務データと管理者の引き継ぎを先に確認する。
必要なメールやファイルの保管・引き継ぎと、後任が管理できる状態を確認します。アカウント削除によるデータの消失にも注意します。
- 決めた日時にログインを停止し、接続も終了する。
サービスの管理画面やサポート窓口でアカウントを停止し、ログイン中の接続や外部連携の扱いも確認します。MFAの登録を消すことと、ログインを止めることは別です。
- 業務アカウントに残る認証・復旧先を確認する。
退職者のスマホ・電話番号・認証アプリ・セキュリティキーなどの登録と、復旧用メールや発行済みコードの扱いを、サービス側の管理者・公式窓口と確認します。
- 従業員の私用アカウントまで引き継がせない。
私用のGoogleアカウントやApple Accountのパスワードを聞いたり、ほかの私用サービスを含む認証情報をまとめて渡してもらったりせず、業務で使うサービスの登録を管理します。退職時の全体の確認はACC-04も参照してください。
詳しく見る引き継ぐ業務用アカウントに、退職者のスマホが登録されているときは？
まずは後任用の個別アカウントを作り、必要な権限を付けて引き継ぐ方法を優先します。アカウントの転用が認められているかはサービスのルールも確認してください。やむを得ず業務用アカウントを引き継ぐ場合は、次の順で認証設定を切り替えます。
認証アプリのコードを後任へ移すだけで終わらせず、利用サービス側で、新しい担当者の認証方法を登録します。
- 別の管理者や復旧方法を確保する。
唯一の認証方法を先に削除すると、誰もログインできなくなる場合があります。変更前に、別の管理者や公式の復旧手段を使えることを確認します。
- 新しい担当者の認証方法を登録する。
後任の個別アカウント、または会社が管理方法を決めた業務用端末などを登録します。複数の方法を追加できないサービスは、先に公式の再登録・変更手順を確認してください。
- 新しい認証方法でログインを確認する。
別のブラウザーなどから、新しい方法でログインし、必要な管理操作を行えることを確認します。
- 旧担当者の認証方法とログイン状態を外す。
利用サービスの設定で、旧担当者の端末・認証アプリ・電話番号・キーの不要な登録を外し、既存のログイン状態も終了させます。
- パスワード・復旧先・バックアップコードを見直す。
引き継ぐアカウントのパスワードを変更し、復旧用メール・電話番号も確認します。以前のバックアップコードを無効化して再発行できるサービスでは再発行し、旧担当者が復旧できる状態を残さないようにします。
- 本人がすでに退職して操作できない場合は、公式窓口に相談する。
サービス名、業務アカウント、管理権限の状況、旧スマホを利用できないことを伝え、公式の本人確認・復旧手順を確認します。パスワードや認証コードを、メールなどで送らないでください。
自分でできるチェックリスト
確認済み 0 / 6
確認の進み具合を示すものです。すべて確認しても、安全を保証するものではありません。チェックはこのページを開いている間だけ有効です。
機能がない場合や分からない項目は、無理にチェックせず、サービスの提供元や運用担当者に確認してください。