ネット

二段階認証はどれを選ぶ？SMS・認証アプリ・パスキーの違いと選ぶ基準

※この記事にはアフィリエイト広告（PR）を含みます。リンク先のショップで購入・申し込みをされると、紹介料が入ることがあります。

二段階認証が防げること・防げないこと

二段階認証は、パスワードのほかにもう1つの確認を足して、本人かどうかを確かめる仕組みです。パスワードと別の要素を組み合わせるので「多要素認証」とも呼ばれます。

防げるのは、パスワードが漏れた場面です。IPAは、使い回しなどでIDとパスワードが漏れても、多要素認証を設定していればログインを防ぐ効果があると説明しています。

防げない場合があるのは、自分で偽サイトに入力した場面です。IPAの「情報セキュリティ10大脅威 2026」は、「リアルタイム型フィッシング」という手口を挙げています。流れは次のとおりです。

1. 偽メールで偽サイトに誘導され、IDとパスワードを入れる
2. 攻撃者がすぐ、同じ情報で本物のサイトにログインする
3. 本物のサイトから利用者にワンタイムパスワードが届く
4. 利用者がそのコードを偽サイトに入れると、攻撃者もログインできてしまう

警察庁によると、2025年（令和7年）のネットバンキングの不正送金は4,747件、被害額は約104.0億円です。被害額は過去最多でした。2025年上半期の集計では、手口の約9割がフィッシングです。二段階認証を設定していても、偽サイトに入力しない習慣は欠かせません。

方式ごとの違い

Googleのヘルプは、2つ目の確認の方法として次のような方式を案内しています。「偽サイトへの強さ」の列は、NISTの認証ガイドライン（SP 800-63B-4）の分類に基づきます。これはサービスを作る側に向けた基準で、個人への助言ではありませんが、方式の性質を知る手がかりになります。

認証アプリがSMSより安全とされる理由は、電話番号を狙う攻撃に強い点です。偽サイトにコードを入れてしまう場面では、SMSと同じように弱いことに注意してください。

パスキーは、パスワードの代わりになるログイン方法です。Googleによると、他人と共有もコピーもできず、指紋や顔のデータは端末の中にあってGoogleには送られません。どの方式がいちばん安全かという順位表は、公的機関では作られていません。上の表は、各資料の記述を並べたものです。

選ぶときの4つの基準

方式は、サービスごとに選べるものが違います。使えるものの中から、次の4点で決めます。

1. サービスが対応している方式。パスキーがあればパスキー、なければ認証アプリ、それもなければSMSを選びます。IPAは、パスキーが使える場合は極力使うよう勧めています。
2. スマホをなくしたときの戻り方。Googleの認証システムは、アカウントなしで使うとコードがその端末だけに残ります。機種変更の前に、自分でコードを移す必要があります。
3. 家族と共有している端末かどうか。Googleは、パスキーを共有の端末で作らないよう案内しています。画面ロックを解除できる人は、そのアカウントにも入れるからです。
4. 守りたいものの大きさ。お金を動かすネットバンキングや証券、ほかのサービスの再設定に使うメールのアカウントから先に設定します。

方式ごとに向く人・向かない人

• SMS：向く人はスマホの操作に不慣れな人。向かない人は、電話番号を変える予定がある人
• 認証アプリ：向く人は電波の届きにくい場所でもログインしたい人。向かない人は、機種変更のときにコードを移す作業が負担な人
• パスキー：向く人は自分専用のスマホやパソコンを使う人。向かない人は、家族で1台の端末を共有している人

金融庁と警察庁は2026年4月に銀行や証券会社と共同で、パスキーなどフィッシングに強い多要素認証の周知を始めました。対応が広がっている方式なので、使っているサービスの設定画面を一度開いて確かめてください。

設定後にやること

二段階認証は、設定したら終わり、ではありません。Googleのヘルプとセキュリティの公的機関の案内から、次の4つを続けます。

• バックアップコードを保管する。Googleでは8桁のコードで、スマホをなくしたときに使います。他人とは共有しません
• 機種変更の前に、認証アプリのコードを新しい端末へ移す（古い端末を手放す前に済ませる）
• 認証コードは誰にも教えない。Googleは、電話でコードを聞くことはないと説明しています
• よく使うサイトは、メールやSMSのリンクではなくブックマークか公式アプリから開く

コードを教えてしまう被害は実際に起きています。IPAの相談事例では、知人になりすました相手からInstagramのDMで投票を頼まれ、SMSに届いた認証コードを伝えた人がアカウントを乗っ取られました。相手は登録情報や二段階認証の設定まで変えていました。

偽サイトに入力する場面を減らすソフト・道具

二段階認証の設定そのものは無料で、ソフトを買う必要はありません。ここで紹介するのは、偽サイトに入力してしまう場面を減らすための補助です。IPAの「10大脅威 2026」は、ネットバンキングの対策として、セキュリティソフトのアクセスブロックを有効にして危険なサイトを防ぐことを挙げています。入れれば防げるものではなく、ブックマークから開く習慣と組み合わせて使います。

Windowsには標準でMicrosoft Defenderが入っています。価格は台数・年数や時期で変わるので、リンク先の公式ストアで確かめてください。

ウイルスバスター クラウド（トレンドマイクロ公式ストア）。公式の機能一覧（2026年5月時点）に「詐欺/危険サイトをブロック」があり、お金や個人情報を狙うフィッシングサイトへのアクセスを止めます。Windows・Mac・Android・iPhone/iPad・Chromebookに対応し、3台まで使える1年版があります。
向いている人：家族のパソコンとスマホを3台まとめて守りたい人。向かない人：ブロックで確実に防げると期待する人。
注意：自動更新を選ぶと、更新時に登録したカードから自動で課金されます。止め方はメーカーの案内を確認してください。
公式ストア：ウイルスバスターのご購入はこちら

1Password 3年版（ソースネクスト）　パスワード管理の専用サービスで、ソースネクストの商品ページではパスキーに対応すると説明しています。Windows・Mac・Android・iPhoneで使え、台数の制限はありません。1人用と5人用があります。
向いている人：スマホとパソコンのメーカーが違い、パスキーやパスワードをまとめて管理したい人。向かない人：ウイルス対策も欲しい人（別に用意が必要）。
注意：商品ページの説明では、3年の期間が終わったら買い直す必要があります。

よくある疑問

二段階認証と二要素認証は同じですか？

この記事では区別せずに扱っています。どちらも、パスワードのほかにもう1つの確認を足す仕組みです。IPAの資料では、まとめて「多要素認証」と書かれています。

SMSの二段階認証は危ないのですか？

設定しないよりずっと安全です。Googleは、SMSは電話番号を狙った攻撃を受ける恐れがあると説明しています。認証アプリやパスキーが選べるなら、そちらに切り替えます。

スマホを機種変更したら、どうなりますか？

方式で変わります。認証アプリは、アカウントと同期していなければ、古い端末を手放す前にコードを移します。パスキーは作った端末に結びつくので、Googleは紛失時に使える端末から古い端末のパスキーを消すよう案内しています。

まとめ

二段階認証は、使えるものの中からパスキー→認証アプリ→SMSの順で選びます。どの方式でも、偽サイトにコードを入れてしまえば意味が薄れます。

今日はまず、メールとネットバンキングの設定画面を開いてください。二段階認証がオンか、パスキーが選べるかを確かめます。バックアップコードを紙に控えておけば、スマホをなくしても戻れます。

← 記事一覧へ戻る