二段階認証（2FA）
別名: 2FA · 二要素認証 · 2段階認証 · two-factor authentication
定義
二段階認証（2FA）とは、パスワードに加えて認証アプリのコードやセキュリティキーなど別の要素を求めることで、不正ログインを防ぐ仕組みです。
二段階認証の仕組み
取引所では、ログイン、出金、APIキーの作成、セキュリティ設定の変更などで2FAが求められます。パスワードが漏れても、2つ目の要素がなければ攻撃者は操作を完了できません。
方式によって強さが異なります。一般に、SMS認証はSIMスワップ（電話番号の乗っ取り）の被害例があるため、Google Authenticatorなどの認証アプリや、物理的なセキュリティキー（パスキーを含む）の方が強いとされています。
認証アプリを設定するときに表示されるバックアップキーは、スマホを機種変更・紛失したときの復旧に必要です。シードフレーズと同じく、オフラインで保管しておきましょう。
具体例
認証アプリのコードは6桁の数字で、通常30秒ごとに新しくなります。6桁なら100万通りの組み合わせがあり、しかも30秒で無効になるため、パスワードだけを盗んだ攻撃者が当てずっぽうで突破するのは困難です。ただし、偽サイトにパスワードと6桁のコードをその場で入力してしまうと、攻撃者はそのコードが有効な30秒以内に本物のサイトへログインできます。
よくある失敗
- セキュリティが弱いSMS認証だけに頼り、認証アプリやセキュリティキーを設定しないこと。
- バックアップキーを保存せずに機種変更し、自分の口座にログインできなくなること。
- 電話やチャットで「確認のため」と言われて6桁のコードを読み上げてしまうこと。
学んで試す
よくある質問
SMS認証と認証アプリはどちらが安全ですか？
一般的には認証アプリの方が安全とされています。SMSは電話番号の乗っ取りで受信される可能性があるためです。さらに強い対策として物理セキュリティキーがあります。
スマホをなくして2FAが使えなくなったらどうしますか？
保管しておいたバックアップキーで認証アプリを復元します。バックアップがない場合は、取引所の本人確認を伴うリセット手続きが必要で、時間がかかることがあります。