多要素認証（MFA）

解説

多要素認証（MFA：Multi-Factor Authentication）は、システムにログインする人が本人であることを、種類の異なる2つ以上の認証要素で確かめる方式です。総務省は、認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することと説明しています。パスワードが漏えいしても、ほかの要素がなければログインできないため、不正アクセスの被害を減らせます。

仕組み

多要素認証では、次の3種類の要素から、異なる種類を組み合わせます。

• 知識情報：本人だけが知っている情報（パスワード、暗証番号など）
• 所持情報：本人だけが持っている物（スマートフォン、ハードウェアトークン、ICカードなど）
• 生体情報：本人の身体の特徴（指紋、顔など）

たとえば、ID・パスワードを入力したあとに、登録したスマートフォンにSMSで届いた確認コードを入力する方式は、知識情報と所持情報を組み合わせた2要素認証です。

米国国立標準技術研究所（NIST）のSP 800-63B-4（2025年7月公開）は、認証の強度を3つの保証レベルに分けています。同文書は、中位の保証レベルでフィッシング耐性のある方式を少なくとも1つ提供することを求め、最上位のレベルではフィッシング耐性を必須としています。また、電話網を使うSMSや音声での確認は、使用を制限する方式に位置づけられています。

実務での使われ方

カスタマーサポートでは、CRMやヘルプデスクツールなど、顧客の個人情報を扱うシステムへの担当者のログインに多要素認証を設定します。また、顧客向けのマイページで多要素認証を導入すると、「確認コードが届かない」「機種変更で認証アプリが使えなくなった」といった問い合わせが増えます。そのため、導入前に、認証の復旧手順と、窓口で本人確認をしてから復旧を受け付ける手順を決めておきます。

注意点

多要素認証は、SSOや窓口の本人確認とは目的が異なります。SSOは一度の認証で複数のシステムを使えるようにする仕組みで、多要素認証と組み合わせて使われます。窓口の本人確認は、担当者が電話やチャットの相手を契約者本人か確かめる手続きです。

また、多要素認証と二段階認証は同じ意味ではありません。総務省は、二段階認証を、ID・パスワードの入力後に再度の認証を求める仕組みと説明しています。二段階認証には、パスワードと秘密の質問のように、同じ知識情報を2回使う場合も含まれます。