会員情報が漏れた、というニュースが続いています。
漏れたのが自分のパスワードだったら、と考えると落ち着きません。

ただ、パスワードが漏れても、それだけでは乗っ取られないようにする方法があります。
それが2段階認証です。

私はセキュリティの専門家ではありません。
それでも、自宅のNAS（ナス。家の中に置く、みんなで使える外付けハードディスク）や、よく使うネットのサービスでは2段階認証をオンにしています。
この記事では、私がどの方法をどう使い分けているかと、今日10秒でできる確認を紹介します。

目次
  1. 2段階認証とは：パスワードが漏れても、もう1つの鍵がないと入れない
  2. 私の使い分け：パスキー → 認証アプリ → SMS の順
  3. なぜこの順番なのか：SMSは電話番号ごと乗っ取られることがある
  4. Google Authenticatorで設定する流れ
  5. スマホをなくしたときの備え：右上のアイコンを10秒で確かめる
  6. まとめ

2段階認証とは：パスワードが漏れても、もう1つの鍵がないと入れない

2段階認証とは、ログインするときにパスワードのほかに、もう1つ確認を足す仕組みです。
「2段階」は、パスワードで1回、別の方法でもう1回、合わせて2回確かめるという意味です。

家の玄関でたとえると、鍵を2つ付けるようなものです。
1つ目の鍵がパスワードで、2つ目の鍵はあなたのスマホの中にあります。

パスワードが漏れると、1つ目の鍵の合い鍵を他人に作られた状態になります。
それでも2つ目の鍵はあなたのスマホにしかないので、他人はドアを開けられません。

2つ目の鍵の受け取り方は、主に3つあります。

  • パスキー：スマホの顔認証や指紋でログインする方法
  • 認証アプリ：スマホのアプリに出る6桁の数字を入力する方法
  • SMS：携帯電話のメッセージで届く数字を入力する方法

どれを使えるかは、サービスによって違います。
次の章で、私がどう使い分けているかを書きます。

私の使い分け：パスキー → 認証アプリ → SMS の順

私が決めているルールは、1つだけです。
使える中で、いちばん上のものを選ぶ。

1. パスキーが使えるサービスは、パスキーにする
2. パスキーが無ければ、認証アプリ（Google Authenticator）にする
3. 認証アプリも使えなければ、SMSにする

Google Authenticator（グーグル オーセンティケーター）とは、Googleが無料で出している認証アプリです。
iPhoneでもAndroidでも使えます。
アプリを開くと、登録したサービスごとに6桁の数字が並んでいて、30秒ごとに新しい数字に変わります。

実際には、こう分かれています。

  • パスキー：Amazon、銀行、証券会社など、お金が関わるサービス
  • Google Authenticator：自宅のNAS、Etsy（エッツィー）やPrintify（プリンティファイ）などの海外のサービス
  • SMS：上の2つに対応していないサービス

パスキーを先に登録したのは、お金が関わるところだけは確実に守っておきたかったからです。
パスキーの仕組みと登録した話は、パスキーとは？「セキュリティが強くなるの？」くらいの理解で、お金のサービスから登録してみたに書きました。

Appleのアカウントは、少し仕組みが違います。
新しい機器で初めてログインするとき、同じAppleアカウントでつながっている自分のiPhoneやMacに、6桁の数字が自動で表示されます。
その数字を新しい機器に入力すれば、ログインできます。
認証アプリもSMSも使わず、自分の持っているApple製品が2つ目の鍵の役をしてくれる形です。

サービスごとにどれが使えるかは、そのサービスの「設定」の中にある「セキュリティ」や「ログイン」の画面で確かめられます。
「2段階認証」「2ファクタ認証」「多要素認証」と、呼び方はサービスによって違いますが、ここではほぼ同じ意味だと思って大丈夫です。

なぜこの順番なのか：SMSは電話番号ごと乗っ取られることがある

3つとも、オフにしているよりはずっと安全です。
そのうえで、私がSMSをいちばん下にしているのには理由があります。

SMSの弱点：SIMスワップ

SMSの数字は、あなたの電話番号あてに届きます。
つまり、電話番号を他人に乗っ取られると、数字も他人に届いてしまいます。

この手口をSIMスワップといいます。
SIM（シム）とは、スマホに入っている、電話番号の情報が入った小さなカードのことです。
楽天証券の注意喚起によると、犯人は盗んだ個人情報を使って携帯会社にSIMカードを再発行させ、電話番号を自分のスマホで使えるようにします。
そうなると、SMSで届く数字も犯人のスマホに届き、2段階認証を突破されるおそれがあります。

認証アプリは、数字がスマホの中で作られる

Google Authenticatorの6桁の数字は、どこかから送られてくるものではありません。
スマホのアプリの中で作られます。
Googleのヘルプにも、インターネットや携帯の電波がつながっていなくても数字を出せると書かれています。

電話番号を使っていないので、SIMスワップで電話番号を乗っ取られても、数字は盗まれません。
これが、私がSMSより認証アプリを上にしている理由です。

パスキーは、偽サイトにだまされても守られる

ただ、認証アプリにも弱点はあります。
本物そっくりの偽のサイトに誘い込まれて、自分で6桁の数字を入力してしまうと、その数字を使われてしまいます。
これはSMSでも同じです。

パスキーは、入力するものがありません。
しかも、登録した本物のサイトにしか反応しないので、偽サイトではそもそもログインが進みません。
くわしくはパスキーの記事の「なぜ安全なのか」に書きました。

だから、使えるならパスキーをいちばん上にしています。
この順番は私が自分で決めたもので、どこかの公式ルールではありません。
それでも、「数字が他人に届くか」「数字を自分で渡してしまうか」で考えると、この順番になると思っています。

Google Authenticatorで設定する流れ

認証アプリの登録は、どのサービスでもだいたい同じ流れです。
私はNASでもEtsyでも、この形で登録しました。

1. スマホにGoogle Authenticatorを入れる

iPhoneは「App Store」、Androidは「Google Play」で「Google Authenticator」と検索して入れます。
無料です。
開いたら、Googleアカウントでログインしておきます（理由は次の章で書きます）。

2. サービスの設定画面で、2段階認証をオンにする

登録したいサービスにパソコンなどでログインして、「設定」→「セキュリティ」のあたりを開きます。
「2段階認証」や「認証アプリ」という項目があるので、そこからオンにします。
認証アプリを選ぶと、画面にQRコードが出てきます。

QRコードとは、白黒の四角い模様のことです。
この模様の中に、そのサービス専用の「鍵のもと」が入っています。

3. アプリでQRコードを読み込む

Google Authenticatorを開き、「＋」のボタンを押して、QRコードを読み込むほうを選びます。
カメラが起動するので、パソコンの画面に出ているQRコードに向けます。

読み込めると、アプリにそのサービスの名前と6桁の数字が並びます。

4. QRコードでうまくいかないときは、コードを入力する

QRコードが読み込めないときもあります。
たとえば、サービスの画面をスマホで開いていると、同じスマホのカメラでは自分の画面を写せません。

そういうときは、QRコードの近くにある英字と数字の長い文字列を使います。
「QRコードを読み取れない場合」などと書かれたリンクを押すと出てくることが多いです。
この文字列を、Google Authenticatorの「＋」から、キーを入力するほうを選んで打ち込みます。
QRコードと中身は同じなので、どちらで登録しても結果は変わりません。

5. アプリの6桁の数字を、サービスの画面に入力する

最後に、サービスの画面で「アプリに表示された6桁のコードを入力してください」と聞かれます。
アプリに出ている数字を入力します。

数字は30秒で変わるので、変わる直前だと間に合わないことがあります。
そのときは、次の数字に変わってから入力すれば大丈夫です。

「2段階認証が有効になりました」のような表示が出れば、登録は完了です。
次からログインするときは、パスワードのあとにアプリの6桁の数字を聞かれるようになります。

なお、サービスによっては、このときバックアップコードが表示されます。
バックアップコードとは、スマホが使えなくなったときに、アプリの数字の代わりに使える予備の番号です。
表示されたら、スマホの中だけに置かず、紙に書いてしまっておくなど、スマホ以外の場所にも残しておくと安心です。

スマホをなくしたときの備え：右上のアイコンを10秒で確かめる

認証アプリには、1つ心配なことがあります。
2つ目の鍵がスマホの中にあるので、スマホをなくしたり壊したりすると、自分も入れなくなるかもしれないことです。

Google Authenticatorには、これに備える仕組みがあります。
Googleアカウントにログインして使っていれば、登録したコードがGoogleアカウントに同期されます。
同期とは、スマホの中のデータと同じものを、Googleアカウント側にも持っておくことです。
新しいスマホでGoogle Authenticatorを開いて同じGoogleアカウントでログインすれば、コードがそのまま戻ってきます。

私は「たぶん大丈夫」と思い込んでいた

正直に書くと、私はこの同期を確かめたことがありませんでした。
「Googleのアカウントで入れているはずだから、大丈夫だろう」と思って、そのまま使っていました。

今回この記事を書くにあたって、初めて確かめました。
結果は大丈夫で、ちゃんと同期されていました。
ただ、Googleアカウントにログインしないで使い始めた場合は、同期されていないこともあります。
私はまだスマホを機種変更したことがないので、新しいスマホへ実際に移したことはありません。

確かめ方

1. スマホでGoogle Authenticatorを開く
2. 画面の右上を見る

右上に自分のGoogleアカウントのアイコン（顔写真や、名前の頭文字が入った丸）が出ていれば、ログインできています。
Googleのヘルプでも、ログインしているかはこの右上のアイコンで確かめるように書かれています。

アイコンが出ていなかったり、ログインを勧める表示が出ていたりしたら、そこからGoogleアカウントでログインしてください。
同期にはアプリが新しい版である必要があり、Googleのヘルプによると、iPhoneは4.0以上、Androidは6.0以上です。

同期していると、消すときは注意

1つだけ気をつけることがあります。
同期していると、アプリでコードを1つ消すと、同期している全部の機器から消えます。
Googleのヘルプにもそう書かれています。
使わなくなったサービスのコードを消すときは、そのサービスの2段階認証を先にオフにしてからにすると安心です。

まとめ

情報漏洩のニュースは、自分ではどうにもできません。
でも、パスワードが漏れても乗っ取られないようにしておくことは、自分でできます。

  • 2段階認証は、パスワードのほかにもう1つ鍵を足す仕組み。漏れたパスワードだけでは入れなくなる
  • 選ぶ順番は、パスキー → 認証アプリ → SMS。使える中で、いちばん上のものを選ぶ
  • 認証アプリは、右上のアイコンで同期を確かめる。10秒で終わる

今日やるなら、まずはこの2つです。

1. よく使うサービスの「設定」→「セキュリティ」を開いて、2段階認証がオンになっているか見る
2. Google Authenticatorを使っているなら、右上に自分のアイコンが出ているか見る

私も、確かめるまでは思い込みで使っていました。
思い込みのままより、10秒だけ確かめておくほうが安心です。