多要素認証（MFA）とは？二段階認証・パスキーとの違いを解説

サービスの設定画面では「二段階認証」「2要素認証」「MFA」など似た言葉が並びます。確認を2回行えば、必ず多要素認証になるわけではありません。

30秒で説明

多要素認証（MFA: Multi-Factor Authentication）は、本人確認に使う要素を二種類以上組み合わせる方法です。代表的な要素は、本人が知っているもの、本人が持っているもの、本人の身体的特徴です。NISTでは、生体情報を単独の認証器としてではなく、端末や暗号鍵などの認証器を起動する要素として扱います。

パスワードの後に同じ秘密の質問へ答える方法は、確認が二段階でも「知識」という同じ種類に偏っています。パスワードとスマートフォン上の認証アプリを組み合わせれば、知識と所持という異なる要素になるため、多要素認証です。

3分で詳しく

三つの代表的な認証要素

要素	意味	例
知識要素	本人が知っているもの	パスワード、PIN
所持要素	本人が持っているもの	スマートフォン内の認証器、セキュリティキー、ICカード
生体要素	本人の身体的特徴	指紋、顔、虹彩。多くの実装では端末内の認証器を解除するために使う

位置情報や普段の操作傾向などを補助的なリスク判断に使うサービスもありますが、一般的なMFAの説明では、まず三つの基本要素を理解すると分かりやすくなります。

二段階認証との違い

二段階認証は、認証の手順が二段階あることを表します。二要素認証は、異なる二種類の要素を使うことを表します。二要素認証は多要素認証の一種です。

ただし、サービス画面では厳密な用語区分をせず「二段階認証」と表示している場合があります。名称だけで判断せず、実際に何を組み合わせているかを確認します。

SMS・認証アプリ・セキュリティキーの違い

SMSコード：導入しやすい一方、電話番号の乗っ取り、通信の転送、偽サイトへのコード入力などのリスクがある
認証アプリ：端末内で一定時間ごとのコードを生成する方式や、ログイン通知を承認する方式がある
セキュリティキー：専用機器を端末へ接続・近づけて認証する。正しいサイトかを暗号的に確認できる方式はフィッシングに強い
パスキー：公開鍵暗号を使い、端末の画面ロック解除などと組み合わせてログインする

スマートフォンを持っていることと、同じスマートフォン内の認証アプリがコードを生成することを、常に別々の所持要素として数えるわけではありません。認証器と、それを起動するPIN・生体認証がどのように組み合わされ、サービス側で検証されるかによって判断が変わります。

同じ「MFA対応」でも、方式によってフィッシングへの強さや復旧方法が異なります。SMSや認証アプリのコードは、偽サイトへ入力すると盗まれる可能性があります。正しいサービスのドメインと暗号的に結び付くFIDOセキュリティキーやパスキーなどは、一般にフィッシング耐性のある方式として区別されます。CISAは、可能な環境ではフィッシング耐性のあるMFAを優先するよう案内しています。

パスキーはMFAなのか

パスキーは、端末側の秘密鍵とサービス側の公開鍵を使う認証方式です。端末内の鍵という所持要素を、PINや生体認証など別種類の要素で起動し、サービスがその要件を満たすものとして検証する実装では、多要素認証器として扱われる場合があります。

ただし「パスキー」という名前だけで、すべてのサービスが同じ同期方式、端末管理、本人確認レベルを持つわけではありません。パスキーとMFAを完全な同義語として扱わず、各サービスの仕様と復旧方法を確認します。

MFAでも防げないこと

本人が偽サイトへ認証コードを入力する
大量の承認通知を送り、誤って承認させる
ログイン後のセッション情報が盗まれる
復旧用メールやサポート手続きが悪用される
端末自体が不正に操作される

MFAは重要な防御ですが、フィッシング対策、端末更新、ログイン通知の確認、復旧手段の保護などと組み合わせる必要があります。

設定前に確認すること

利用できる認証方式
端末を紛失した場合の復旧方法
バックアップコードの安全な保管場所
複数端末を登録できるか
身に覚えのない承認通知を拒否・報告する方法

人間ではないアプリや自動処理の認証は、通常のMFAとは管理方法が異なります。機械側のID管理は非人間ID（NHI）で整理しています。

よくある誤解

生体認証を使えば必ずMFA？

生体認証一つだけなら、生体という一種類の要素です。端末の所持などとどう組み合わされるかは実装によります。

SMS認証は意味がない？

万能ではありませんが、パスワードだけよりリスクを下げる場合があります。利用できる選択肢の中で、よりフィッシング耐性の高い方法があれば検討します。

MFAを設定すればパスワードを使い回してよい？

使い回しは避けます。一つのサービスから漏れた情報が、別サービスへの不正ログインに使われる可能性があります。

ひとことで振り返る

MFAは確認回数ではなく、異なる種類の本人確認要素を組み合わせる仕組みです。方式ごとの強さと復旧方法まで確認することが重要です。

参考資料

NIST, Digital Identity Guidelines: Authentication and Authenticator Management, 公開日: 2025年7月, 対象: 認証要素・認証保証, 確認日: 2026年10月10日
CISA, More than a Password, 更新状況: 2026年10月確認, 対象: MFAの基本と方式, 確認日: 2026年10月10日
CISA, Implementing Phishing-Resistant MFA, 公開日: 2022年10月, 対象: フィッシング耐性, 確認日: 2026年10月10日
FIDO Alliance, Passkeys, 更新状況: 2026年10月確認, 対象: パスキーの仕組みと認証, 確認日: 2026年10月10日