ノートパソコンを囲み、多要素認証・パスキーの導入について話し合う3人のビジネスパーソン

多要素認証（MFA）・パスキー導入ガイド｜
「ID・パスワードだけ」の認証はもう限界

ランサムウェア被害も、なりすまし詐欺による不正送金も、たどっていくと入口は「盗まれたID・パスワード」だったというケースが目立ちます。フィッシングや使い回しによって認証情報が一度流出すれば、パスワードだけの防御はほぼ無力です。本記事では、多要素認証（MFA）とパスキー（FIDO2）の基本、国内で実際に起きた被害事例、SMSやプッシュ通知だけでは防ぎきれない攻撃、そして中小企業でも無理なく進められる導入ステップを解説します。2026年10月の更新では、政府・関係機関による一斉の注意喚起を含む最近のサイバー攻撃の動向と、ホームページ（CMS）の管理画面を守る対策を追加しました。

公開日 2026.09.05　最終更新日 2026.10.12

なぜ今、「ID・パスワードだけ」が危ないのか

これまでのデータ侵害によって、数十億件規模のID・パスワードの組み合わせがすでにダークウェブ上に流出しているといわれています。攻撃者はこれらを自動ツールに読み込ませ、標的のサービスへ大量のログイン試行を仕掛ける「クレデンシャルスタッフィング」を常態的に行っています。複数のサービスで同じパスワードを使い回していれば、どこか一つの漏えいが、他のすべてのアカウントへの不正ログインにつながりかねません。

加えて、生成AIによって自然な日本語のフィッシングメールが誰でも量産できるようになったことも、ID・パスワードの窃取をさらに容易にしています。社長や役員になりすます「ニセ社長詐欺（BEC）」やPayPayをかたるSMS詐欺も、突き詰めれば入口はアカウントの乗っ取りです。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、認証情報の窃取を起点とする不正アクセスへの対策として、多要素認証（MFA）やFIDO／FIDO2（パスキーなど）の利用が明記されています。パスワードという「知識」だけに頼る認証は、もはや十分な防御とはいえません。

【2026年10月】最近のサイバー攻撃と「認証」の関係（注意喚起）

結論：2026年に入り、サイバー攻撃による情報漏えいやランサムウェアの被害は過去最多のペースで増えています。10月には、相次ぐ情報漏えいを受けて政府・関係機関が一斉に注意喚起を行い、多要素認証の利用やパスワードの使い回しをやめることを呼びかけました。侵入の入口として目立つのは、アップデートされていないシステムと、ID・パスワードだけで守られたログイン画面です。最近の主な動きをまとめました。

政府・関係機関が一斉に注意喚起（2026年10月6日〜9日）：
金融機関や通信事業者など幅広い事業者で、不正アクセスによる情報漏えいの公表が相次いでいます。これを受けて、デジタル大臣は10月6日の記者会見で、国民に「パスワードの使い回しをやめる」「多要素認証を利用する」「不審なメールやSMSに注意する」の3点を呼びかけました。デジタル庁その後、個人情報保護委員会（10月7日）、JPCERT/CCと警察庁（10月8日）、内閣官房国家サイバー統括室・総務省・経済産業省・IPA・金融庁（10月9日）が相次いで注意喚起を出しています。IPA
事業者に求められている対策：
国家サイバー統括室は、事業者に対して「多要素認証（MFA）を導入する」「推測されやすいパスワードの使用を禁止する」「管理者アカウントの利用者、アクセス権を必要最小限にする」「退職者、異動者や利用されていないもの等の不要なアカウントを速やかに無効化する」ことや、CMSを含むソフトウェアのアップデートを速やかに適用することを求めています。国家サイバー統括室JPCERT/CCも、業務上必要のない管理機能などがインターネットに公開されている場合は公開を停止するよう呼びかけています。JPCERT/CC
情報漏えいは10月5日時点で506件、AIで弱点を探す攻撃も：
トレンドマイクロと読売新聞の集計では、サイバー攻撃による国内企業・団体の情報漏えいは2026年10月5日までに506件と、すでに2024年（503件）・2025年（473件）を上回りました。専門家は、AIを使って各社のシステムの個別の弱点を探す攻撃が広がっていると見ています。詳しくはAIで弱点を探すサイバー攻撃が急増で解説しています。読売新聞オンライン
ランサムウェアは半期で過去最多、侵入口の約5割はVPN機器：
警察庁が2026年9月に公表した統計では、2026年上半期のランサムウェア被害は123件と半期で過去最多となり、うち79件が中小企業でした。侵入経路が判明したもののうち約5割がVPN機器です。＠IT警察庁の調査では、約4割の組織が社外からの業務アクセスをID・パスワードだけで認証しているという結果も出ています。警察庁
大規模な会員情報の漏えい（2026年9月）：
カーシェアリングサービス「タイムズカー」は、Webシステムへの第三者による不正アクセスにより、退会済みの会員を含む約660万件のアカウント情報が漏えいしたと発表しました。パスワードは読み取れない形で保管されていたとしていますが、同社は漏えいした情報を悪用したフィッシングへの注意を呼びかけています。タイムズカー
証券口座の不正取引は今も続いている：
金融庁の公表によれば、2026年8月も証券会社4社で不正アクセス39件、不正取引25件が発生しました。金融庁は、ログイン時・取引時・出金時の多要素認証や通知サービスを有効にするよう呼びかけています。ScanNetSecurity

漏えいしたメールアドレスや個人情報は、本物そっくりのフィッシングメールに使われます。パスワードを盗まれても侵入されない仕組み、つまり多要素認証やパスキーを設定しておくことが、これまで以上に重要になっています。

認証の甘さが引き起こした実際の被害

「対岸の火事」ではありません。国内でも、認証の甘さがそのまま重大インシデントにつながった事例が相次いでいます。

事例1｜アスクル、MFA未適用の認証情報からランサムウェア被害
通販大手のアスクルは2025年10月19日、ランサムウェア被害に遭い業務が停止しました。同社は2025年12月12日、多要素認証（MFA）を適用していなかった認証情報が窃取され、それを使って社内ネットワークに不正侵入されたという調査結果を公表。約72万件の顧客情報を含む業務情報が流出し、物流を委託していたグループ会社の業務にも影響が及びました。全面復旧の発表は2026年1月21日で、被害発生から3カ月以上を要しています。
事例2｜大手ネット証券で相次いだ口座乗っ取り
2024年末から2025年初頭にかけて、楽天証券・SBI証券・野村證券・マネックス証券・SMBC日興証券など大手ネット証券で、証券口座の乗っ取り被害が相次ぎました。攻撃者はフィッシングメールや偽のログインページでID・パスワードを盗み出し、不正ログイン後に保有株を勝手に売却し、その資金で値動きの荒い銘柄を大量に購入して相場を操作するという手口が確認されています。これを受け、各社はパスキー（FIDO2）によるログインの段階的な必須化を進めています。

2つの事例に共通するのは、「パスワードさえ知っていれば、誰でもログインできてしまう状態」が突破口になった点です。多要素認証を適切な方式で導入していれば、いずれも被害を防げた、あるいは被害を大幅に小さくできた可能性があります。

多要素認証（MFA）の基本｜3つの要素とよくある方式

多要素認証（MFA：Multi-Factor Authentication）とは、「知識」「所持」「生体」の3つの要素のうち、2つ以上を組み合わせて本人確認を行う認証方式です。

知識要素：パスワード、PINコードなど「本人だけが知っている情報」
所持要素：スマートフォン、セキュリティキー（USBデバイス）など「本人だけが持っているもの」
生体要素：指紋、顔認証など「本人の身体的な特徴」

代表的な方式には、以下のようなものがあります。

SMS認証：登録した電話番号にコードを送る方式。手軽だが、後述の弱点がある
認証アプリ（TOTP）：Google Authenticatorなどのアプリで一定時間ごとに変わるコードを生成
プッシュ通知承認：スマホアプリに届く通知を「承認」するだけでログインできる方式
ハードウェアセキュリティキー：YubiKeyなど、USBやNFCで接続する物理デバイス
生体認証：指紋・顔認証などをスマホやPCと組み合わせて利用

SMS・プッシュ通知だけでは防げない「MFA疲労攻撃」

「MFAさえ設定すれば安心」というのは、実は正確ではありません。どの方式を選ぶかによって、防御力には大きな差があります。

SMS認証の弱点：
電話番号そのものを乗っ取る「SIMスワップ詐欺」が使われると、SMS認証コードごと攻撃者に届いてしまいます。SIMスワップ詐欺についてはPayPayをかたるSMS詐欺の記事でも触れています。
プッシュ通知の弱点（MFA疲労攻撃）：
攻撃者がすでに盗んだID・パスワードを使ってログインを試み続け、「承認」を求めるプッシュ通知を大量に送りつける手口です。深夜や業務の合間に何度も通知が来ると、うんざりした本人が誤って「承認」をタップしてしまうことがあります。これを「MFA疲労攻撃（MFA fatigue attack）」と呼びます。
AiTM（中間者）攻撃：
精巧な偽ログインページで、ID・パスワードだけでなくSMSコードやワンタイムパスワードをリアルタイムで中継し、正規サイトへの認証を横取りする手口も確認されています。

つまり、SMSやプッシュ通知型のMFAは「何もないよりはるかにマシ」ですが、フィッシングやなりすましに強い方式ではありません。この弱点を構造的に解決するのが、次に説明する「パスキー」です。

パスキー（FIDO2）とは｜パスワードのいらない認証

パスキーとは、パスワードそのものを使わない認証方式です。国際標準規格「FIDO2」にもとづき、スマホの生体認証や画面ロックで本人確認を行うと、公開鍵暗号の仕組みでログインが完了します。

最大の特徴は、秘密鍵が本人の端末内に保管され、サーバー側やネットワーク上に一切送信されないことです。従来のパスワード認証では、偽サイトにパスワードを入力してしまえばそれだけで盗まれますが、パスキーには盗まれる「文字列」自体が存在しません。そのため、構造的にフィッシングが成立しにくいという強みがあります。

Apple・Google・Microsoftはいずれもパスキーに標準対応しており、国内でも導入が進んでいます。楽天証券は2025年10月26日にFIDO2パスキー認証を導入、SBI証券も同様に対応を拡大。SMBC日興証券は2026年4月下旬以降、取引や出金時のパスキー認証によるログインを段階的に必須化し、2026年8月21日からは、パスキーを初めて設定する際にマイナンバーカードまたは運転免許証によるオンライン本人確認を必須にしています。メガバンク各行のアプリでも、FIDO2ベースのセキュリティキー認証への対応が進んでいます。FIDOアライアンスの発表によれば、2026年5月時点で世界の利用中パスキー数は推定50億個に達したとされ、決して一部の先進企業だけの取り組みではなくなっています。

MFAとパスキー、何が違う？どちらを選ぶ？

両者は対立するものではなく、役割が異なります。MFAは「既存のID・パスワード認証に、追加の要素を足す」仕組みであるのに対し、パスキーは「ID・パスワードそのものを置き換える」仕組みです。

実務では、次のようなハイブリッド運用が現実的です。

一般社員には、スマホで完結するクラウド同期型パスキーを優先的に導入する
経営層・情報システム管理者など特権的なアカウントには、より堅牢なハードウェアセキュリティキーを組み合わせる
古いシステムなどパスキーが未対応のサービスには、SMS・プッシュ通知よりも安全な認証アプリ（TOTP）型のMFAで補う

「全部を一気にパスキーへ」ではなく、使えるところから段階的に置き換えていくのが現実的な進め方です。

導入の進め方（5ステップ）

【STEP1】現状の棚卸し
社内で利用しているクラウドサービス・業務システムを洗い出し、それぞれがMFA・パスキーに対応しているかを確認します。
【STEP2】優先順位づけ
すべてを同時に進める必要はありません。経営層のメールアカウント、経理・会計システム、顧客情報を扱うシステムなど、侵害されたときの被害が大きいアカウントから着手します。
【STEP3】パイロット導入
情報システム部門や経営層など少人数でまず登録・運用し、ログイン時の使い勝手や、端末を紛失した場合の復旧手順までひととおり確認します。
【STEP4】段階的な必須化
「全社一斉切り替え」は、問い合わせやトラブルが一時に集中し、かえって現場の混乱を招きます。部署やシステムごとに段階を分けて対象を広げていきましょう。
【STEP5】運用ルールの明文化
機種変更時の再登録手順、退職者のアカウント・登録済み認証情報の即時失効、リカバリーコードなどバックアップ手段の管理方法を、あらかじめ社内ルールとして決めておきます。

導入時によくある落とし穴

「SMS認証を設定した」だけで満足してしまう：
SIMスワップ詐欺やフィッシングに弱いことを理解せず、SMS認証の導入だけで対策完了と判断してしまうケース。
端末紛失時の復旧手段を決めていない：
スマホを紛失・故障した瞬間に誰もログインできなくなる「ロックアウト」が起こり、業務が止まってしまいます。
退職者の認証情報を解除し忘れる：
アカウントは無効化しても、登録済みのMFA・パスキーの解除を忘れると、思わぬ形でアクセスが残ってしまうことがあります。
全社一斉切り替えでヘルプデスクが混乱：
準備なく一度に切り替えると、問い合わせが殺到し現場が疲弊します。段階導入が基本です。
「パスキーなら万能」という思い込み：
古いブラウザやOSではパスキーが利用できない場合もあります。全社の端末・OS環境を事前に確認しておきましょう。

ホームページ（CMS）の管理画面を守る対策

結論：WordPressなどのCMSの管理画面は、インターネットに公開された「ログイン画面」です。多要素認証の設定は必須ですが、CMSそのものに脆弱性がある場合は、ログインせずに攻撃されることもあります。「認証を固める」と「CMSを最新に保つ」の両方が必要です。

実際に2026年7月には、WordPress本体に、ログインしなくても外部からプログラムを実行される深刻な脆弱性（通称「wp2shell」）が見つかりました。攻撃を実証するコードも公開され、WordPress.orgは対象バージョンに自動更新を強制する対応を取っています。INTERNET Watchさらに9月22日にも、ログインしていない攻撃者が条件次第でプログラムを実行できる危険度「緊急」の脆弱性（CVE-2026-87902）を修正したWordPress 7.1.2が公開され、古いバージョン向けにも修正版が提供されました。WordPress.orgこのような脆弱性は、多要素認証だけでは防げません。自動更新を有効にしている場合も、実際に最新版になっているかを確認してください。

① 管理画面に多要素認証を設定する：
WordPressでは、2段階認証やパスキーに対応したプラグインで、管理者・編集者のログインに多要素認証を設定できます。制作会社や外部ライターのアカウントも対象にします。
② 管理画面にアクセスできる場所を限定する：
社内や制作会社のIPアドレスからしか管理画面を開けないようにする、Basic認証を重ねるなど、ログイン画面そのものを外部から見えにくくします。JPCERT/CCも、業務上必要のない管理機能のインターネット公開を停止するよう呼びかけています。
③ 管理者アカウントを整理する：
複数人での共有アカウントをやめ、退職者や契約が終わった制作会社のアカウントを削除します。投稿だけを担当する人には、管理者ではなく必要最小限の権限を割り当てます。
④ ログイン試行の制限と通知を設定する：
短時間に何度もログインに失敗した場合のロックや、管理者ログイン時の通知を設定し、パスワードを総当たりで試す攻撃に気づけるようにします。
⑤ CMS本体・プラグイン・テーマを最新に保つ：
アップデートを後回しにせず、使っていないプラグインやテーマは削除します。WordPressが狙われやすい理由と対策はWordPressはなぜ狙われる？で詳しく解説しています。
⑥ サーバー・ドメインの管理画面も同じように守る：
レンタルサーバーのコントロールパネル、FTP、ドメインの管理画面が乗っ取られると、ホームページ全体が改ざんされます。これらのアカウントにも多要素認証を設定し、FTPはより安全なSFTPに切り替えます。
⑦ 改ざんに気づける仕組みとバックアップを用意する：
ファイルの改ざん検知や、サーバーとは別の場所へのバックアップを用意し、万一のときにすぐ元に戻せるようにしておきます。

更新作業やプラグインの管理が負担になっている場合は、管理画面へのアクセス制限や更新を運用に組み込んだオリジナルCMSへの切り替えも選択肢になります。

まとめ

認証情報の窃取は、ランサムウェア被害やなりすまし詐欺の共通の入口になっている
国内でも、MFA未適用が原因のランサムウェア被害（アスクル）や証券口座の乗っ取りなど、実損害がすでに発生している
MFAは「あるかないか」だけでなく「どの方式か」が重要。SMS・プッシュ通知は万能ではなく、MFA疲労攻撃などの弱点もある
パスキー（FIDO2）は、盗まれる情報そのものが存在しない構造でフィッシング耐性が高く、国内の金融機関を中心に導入が拡大している
2026年10月、相次ぐ情報漏えいを受けて政府・関係機関が一斉に注意喚起。多要素認証の導入とパスワードの使い回しをやめることが呼びかけられている
2026年は情報漏えい・ランサムウェアの被害が過去最多ペース。VPN機器やID・パスワードだけのログイン画面が侵入の入口になっている
ホームページ（CMS）の管理画面は多要素認証・アクセス制限・CMSの更新をセットで。CMSの脆弱性は多要素認証だけでは防げない
導入は「全社一斉」ではなく、棚卸し→優先順位づけ→パイロット→段階拡大→運用ルール整備の順で進めるのが現実的

パスワードだけに頼る認証は、もはや「弱いドアに鍵を一つかけているだけ」の状態です。多要素認証とパスキーを組み合わせ、「入口」そのものを固めることが、情報漏えい・なりすまし・ランサムウェア対策すべての土台になります。

バンブーハウスでは、ホームページ制作・システム開発からセキュリティ対策・認証基盤の導入支援まで、中小企業のデジタル活用をワンストップでサポートしています。多要素認証・パスキーの導入計画や社内ルール整備についても、お気軽にご相談ください。

認証を固めるその前に、
サイトの“土台”そのものは安全ですか？

情報漏えい対策は、
社員の“うっかり”を防ぐ教育から見直しませんか？

SECURITY TRAINING 最新システムでも防げない従業員の「うっかり」を狙う手口にフィッシング・生成AI・SNSからの情報漏えい対策貴社のリスクに合わせたオーダーメイド研修

よくあるご質問（FAQ）

Q1. 多要素認証（MFA）とパスキーは何が違いますか？

MFAは、既存のID・パスワード認証に「もう一つの要素」を追加してログインの安全性を高める仕組みです。一方パスキーは、パスワードそのものを使わず、公開鍵暗号と生体認証・画面ロックの組み合わせでログインする仕組みで、盗まれる「文字列」自体が存在しません。パスキーはMFAの一種というより、パスワードに代わる次世代の認証方式と捉えるのが近いイメージです。

Q2. SMSでの認証コードは安全ではないのですか？

何も設定していない状態よりは、はるかに安全です。ただし、電話番号そのものを乗っ取る「SIMスワップ詐欺」が使われると、SMS認証コードごと攻撃者に届いてしまう弱点があります。可能であれば、認証アプリ（TOTP）やパスキーなど、より耐性の高い方式への移行をおすすめします。

Q3. パスキーを設定した端末を紛失したらどうなりますか？

サービスによって復旧手順は異なりますが、多くはリカバリーコードの利用や、別端末・別の認証方法での本人確認によってログインを回復できます。重要なのは、端末紛失を想定した復旧手順を、導入前のパイロット段階であらかじめ確認・共有しておくことです。復旧手段を決めないまま導入すると、紛失時に業務が止まる「ロックアウト」が起こりえます。

Q4. 中小企業でもパスキーを導入すべきですか？コストはかかりますか？

はい、企業規模に関わらずおすすめします。Microsoft 365やGoogle Workspaceなど、多くのクラウドサービスは追加費用なしでパスキー・MFAに対応しており、特別なシステム投資がなくても始められるケースが多くあります。まずは無料で使える範囲から、経営層や経理担当など被害の大きいアカウントに絞って導入するのが現実的な第一歩です。

Q5. 「MFA疲労攻撃」とは何ですか？どう防げますか？

攻撃者が盗んだID・パスワードでログインを試み続け、プッシュ通知型の承認リクエストを大量に送りつけることで、うんざりした本人に誤って「承認」を押させてしまう手口です。身に覚えのない承認通知が続いたら、絶対に承認せず、すぐにパスワードを変更してください。根本的な対策としては、通知の「承認」操作だけで完結しないパスキーやハードウェアセキュリティキーへの移行が有効です。

Q6. 全社員に一気に導入してもいいですか？

おすすめしません。全社一斉切り替えは、ログインできないという問い合わせが一時に集中し、現場とヘルプデスク双方の負担が大きくなります。まず少人数でパイロット導入して手順を固め、被害の大きいアカウントから優先的に、部署やシステムごとに段階を分けて広げていく方法が現実的です。

Q7. ホームページ（WordPress）の管理画面にも多要素認証は必要ですか？

必要です。CMSの管理画面はインターネットに公開されたログイン画面で、パスワードが漏れれば誰でもログインして改ざんできてしまいます。管理者・編集者・制作会社のアカウントに多要素認証を設定し、あわせて管理画面へのアクセス制限、CMS本体とプラグインの更新を行ってください。CMSの脆弱性を突く攻撃は多要素認証だけでは防げないため、両方の対策が必要です。

Q8. 情報漏えいがあったサービスと同じパスワードを、ほかでも使っていました。どうすればよいですか？

同じパスワードを使っているすべてのサービスで、すぐにパスワードを変更してください。漏えいしたID・パスワードは、ほかのサービスへの不正ログインに使い回されます。あわせて、重要なサービスから多要素認証やパスキーを設定し、漏えいした情報を使ったフィッシングメールにも注意してください。

Q9. 政府が注意喚起している相次ぐ情報漏えいを受けて、会社として何をすればよいですか？

まず、管理画面やクラウドサービスなど外部から使えるシステムに多要素認証を設定し、推測されやすいパスワードを禁止してください。あわせて、管理者アカウントを必要最小限に絞り、退職者や使っていないアカウントを無効化し、CMSを含むソフトウェアを最新の状態にします。これらは2026年10月9日に内閣官房国家サイバー統括室が事業者に求めた対策にも含まれています。