多要素認証（MFA）とは？なぜ普通のMFAでは防げないのか¶

2026-10-28 更新約9分で読めます

最終確認: 2026-10-27

30秒で復習¶

MFA（エムエフエー）＝「知っているもの」「持っているもの」「本人そのもの」のうち、2種類以上を組み合わせてログインすること。 パスワードだけより、乗っ取られにくい。
MFAには強さの順番がある：SMS・電話＜認証アプリのコード＜プッシュ通知（番号の照合つき）＜ パスキー・FIDO2・証明書。
普通のMFA（SMS・コード・プッシュ）が防げない攻撃がある：偽サイトがコードを本物へ中継するリアルタイムフィッシング・AiTM、何度も承認を求めるMFA疲労、ログイン後のトークンや Cookie の盗難。
理由は、普通のMFAは「どのサイトにログインしているか」を確かめないから。人が偽サイトに入力すれば、そのまま使われる。
パスキー（FIDO2）が防げる理由：鍵が本物のドメインに結び付いていて、偽サイトでは鍵が反応しない。秘密鍵も端末から出ない。
それでも、ログインした後のトークンは盗まれうる。会社の端末からだけ許可する、トークンを端末に結び付ける、などを組み合わせる。
覚え方：「コードは人が運ぶから偽物にも渡る。パスキーは鍵が相手の住所（ドメイン）を確かめる」

こんな場面で出会う¶

Microsoft Authenticator に「承認しますか？」や「表示されている番号を入力」と出る
身に覚えのない承認の通知が何度も届く（MFA 疲労攻撃のサイン）
「パスキーを作成しますか？」と聞かれる

用語の正式名称と読み方¶

用語	読み方・正式名称	意味
MFA	Multi-Factor Authentication	多要素認証。種類の違う要素を2つ以上組み合わせる
2段階認証	—	手順が2段階。同じ種類（パスワード＋秘密の質問）でも2段階と呼ぶことがあるので、MFAとは厳密には別
OTP	One-Time Password	1回だけ使えるコード（SMSや認証アプリの6桁など）
FIDO2	ファイドツー	パスワードを使わず、公開鍵の仕組みでログインする標準
パスキー	passkey	FIDO2 の鍵を、スマホやPCで使いやすくしたもの
フィッシング耐性	—	偽サイトにだまされても、認証情報が使われない性質
AiTM	Adversary-in-the-Middle	攻撃者が利用者と本物のサイトの間に入って、中継しながら盗む手口
セッション Cookie・トークン	—	ログインした後に「ログイン済み」を示すデータ。持っている人が使える

質問：MFAとは？¶

答え： 本人確認の「要素」を種類の違う2つ以上組み合わせること。パスワードが漏れても、もう1つの要素がなければログインできない。

要素	例	弱点
知っているもの（知識）	パスワード、PIN、秘密の質問	漏れる・推測される・使い回される
持っているもの（所持）	スマホ（認証アプリ・SMS）、セキュリティキー、ICカード、証明書の入った端末	なくす・盗まれる・SIMを乗っ取られる
本人そのもの（生体）	指紋、顔	変えられない（ただし多くは端末の中だけで照合する）

パスワード＋秘密の質問は、どちらも「知っているもの」なので、MFAではない（2段階ではある）。
パスキーでは、スマホやPC（持っているもの）に入った鍵を、指紋・顔・PINで使う。1回の操作で2つの要素がそろう。

質問：MFAの方式には、どんな強さの違いがある？¶

答え： 「偽サイトにだまされたときにも守れるか（フィッシング耐性）」で大きく分かれる。

方式	強さ	主な弱点
パスワードだけ	✕	漏えい・使い回し・総当たり
SMS・音声電話のコード	△	SIMの乗っ取り（SIMスワップ）、偽サイトへの入力、SMSの盗み見
認証アプリのコード（6桁）	○	偽サイトに入力すると、そのまま中継される
プッシュ通知（番号の照合つき）	○	MFA疲労は番号の照合でかなり防げるが、偽サイトへの中継（AiTM）は防げない
パスキー・FIDO2・Windows Hello for Business・証明書	◎ フィッシング耐性あり	端末の紛失時の手続き、ログイン後のトークン盗難は別に対策が必要

「MFAをしているか」だけでなく、「どの方式か」が大事。Entra ID では、条件付きアクセスの認証強度で「フィッシング耐性のある MFA だけ許可」と指定できる。

質問：なぜ普通のMFAでは防げないのか？¶

答え： 普通のMFA（SMS・コード・プッシュ）は、どのサイトにログインしているかを確かめない。人が偽サイトにコードを入れたり、承認ボタンを押したりすれば、攻撃者はそれをそのまま本物に使える。さらに、ログインした後のトークンや Cookieは、MFAとは関係なく使える。

防げない攻撃の一覧¶

攻撃	何が起きる	普通のMFAで防げない理由
リアルタイムフィッシング	偽サイトに入れたパスワードとコードを、攻撃者がすぐ本物に入力する	コードは30秒くらい有効で、どこで入力されたかを区別しない
AiTMフィッシング	偽サイトが本物への中継（リバースプロキシ）になっていて、ログイン後の Cookie を盗む	利用者は本物と同じ画面でMFAまで終わらせてしまう。盗まれるのはMFAの後のもの（→プロキシの攻撃者視点）
MFA疲労（プッシュ爆撃）	夜中に何十回も「承認しますか？」を送り、根負けして押させる	パスワードはすでに盗まれていて、人が押せば通る
SIMスワップ	携帯会社をだまして電話番号を自分のSIMに移し、SMSのコードを受け取る	SMSは電話番号に届くので、番号を取られると終わり
トークン・Cookie の盗難	PCに入ったマルウェアが、ブラウザに保存されたログイン済みの Cookie を盗む	ログインはもう終わっている。MFAは「ログインのとき」しか確かめない
ヘルプデスクへのなりすまし	「スマホをなくした」と電話して、MFAをリセットしてもらう	MFAの仕組みの外側（手続き）を狙われる
レガシー認証	MFAに対応していない古い方式（古いメールの方式など）でログインする	その方式では、そもそもMFAが求められない
同意フィッシング・デバイスコード	本物の画面で、攻撃者のアプリへの同意やコード入力をさせる	利用者が本物の画面で自分でMFAを通して許可してしまう（→OAuth）

パスキー（FIDO2）なら、なぜ防げるのか¶

鍵が、本物のドメイン（例：login.microsoftonline.com）に結び付いている。 ブラウザが「今どのサイトにいるか」を鍵に伝えるので、偽のドメインでは鍵が反応しない。人がだまされても、鍵はだまされない。
秘密鍵が端末から出ない。 サーバーに送るのは、その場かぎりの署名だけ。盗み見ても使い回せない。
入力するコードがない。 人が運ぶものがないので、中継のしようがない。

パスキーでも防げないもの

パスキーが守るのは「ログインの瞬間」。ログインした後の Cookie やトークンを、PCに入ったマルウェアに盗まれると使われてしまう。会社の端末からだけ許可（条件付きアクセスの準拠端末）、トークンを端末に結び付ける仕組み、EDR、怪しいサインインですぐにトークンを無効化する仕組み（継続的アクセス評価）を組み合わせる。

質問：会社として、どう対策を組み合わせる？¶

対策	防げるもの
パスキー・FIDO2・Windows Hello for Business・証明書を使う（まず管理者から）	リアルタイムフィッシング、AiTM、SIMスワップ、MFA疲労
プッシュ通知には番号の照合と、アプリ名・場所の表示を付ける	MFA疲労
条件付きアクセスで、会社の管理する端末からだけ許可する（→SASEの条件による制御）	盗んだパスワード・Cookie を、攻撃者の端末で使われること
レガシー認証を止める	MFAの抜け道
認証強度で、重要なアプリには「フィッシング耐性のあるMFAだけ」を求める	弱い方式への逃げ道
トークンの期限を短く、怪しいときはすぐ無効化（継続的アクセス評価）	盗まれたトークンの使い回し
ヘルプデスクでの本人確認の手順を決める（折り返し電話、上長の承認など）	なりすましによる MFA のリセット
利用者への承認ボタンの教育：「自分がログインしていないときの通知は、絶対に承認しない・報告する」	MFA疲労

具体例¶

場面	おすすめ
管理者アカウント	パスキー・FIDO2 のセキュリティキーだけを許可。会社の端末からだけ
一般の社員	認証アプリ（番号の照合つき）から始めて、パスキーへ移行する
SMS しか使っていない	まず認証アプリへ。SMS は予備にとどめる
外出先のPCからのログイン	会社の端末以外は、ブラウザで閲覧だけにする
「承認しますか？」が何回も来た	押さない。パスワードが漏れているので、すぐ変えて報告する

確認したいこと¶

会社の MFA の方式は何か（SMS・認証アプリ・プッシュ・パスキー）。SMS だけの人はいないか
管理者アカウントは、フィッシング耐性のある MFA（パスキー・FIDO2）になっているか
条件付きアクセスで、会社の端末からだけ許可しているか。レガシー認証は止めているか
ヘルプデスクで MFA をリセットするときの本人確認の手順は決まっているか