ノートパソコンを囲み、多要素認証・パスキーの導入について話し合う3人のビジネスパーソン

多要素認証（MFA）・パスキー導入ガイド｜
「ID・パスワードだけ」の認証はもう限界

ランサムウェア被害も、なりすまし詐欺による不正送金も、たどっていくと入口は「盗まれたID・パスワード」だったというケースが目立ちます。フィッシングや使い回しによって認証情報が一度流出すれば、パスワードだけの防御はほぼ無力です。本記事では、多要素認証（MFA）とパスキー（FIDO2）の基本、国内で実際に起きた被害事例、SMSやプッシュ通知だけでは防ぎきれない攻撃、そして中小企業でも無理なく進められる導入ステップを解説します。

最終更新日 2026.09.05

なぜ今、「ID・パスワードだけ」が危ないのか

これまでのデータ侵害によって、数十億件規模のID・パスワードの組み合わせがすでにダークウェブ上に流出しているといわれています。攻撃者はこれらを自動ツールに読み込ませ、標的のサービスへ大量のログイン試行を仕掛ける「クレデンシャルスタッフィング」を常態的に行っています。複数のサービスで同じパスワードを使い回していれば、どこか一つの漏えいが、他のすべてのアカウントへの不正ログインにつながりかねません。

加えて、生成AIによって自然な日本語のフィッシングメールが誰でも量産できるようになったことも、ID・パスワードの窃取をさらに容易にしています。社長や役員になりすます「ニセ社長詐欺（BEC）」やPayPayをかたるSMS詐欺も、突き詰めれば入口はアカウントの乗っ取りです。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、認証情報の窃取を起点とする不正アクセスへの対策として、多要素認証（MFA）やFIDO／FIDO2（パスキーなど）の利用が明記されています。パスワードという「知識」だけに頼る認証は、もはや十分な防御とはいえません。

認証の甘さが引き起こした実際の被害

「対岸の火事」ではありません。国内でも、認証の甘さがそのまま重大インシデントにつながった事例が相次いでいます。

事例1｜アスクル、MFA未適用の認証情報からランサムウェア被害
通販大手のアスクルは2025年10月19日、ランサムウェア被害に遭い業務が停止しました。同社は2025年12月12日、多要素認証（MFA）を適用していなかった認証情報が窃取され、それを使って社内ネットワークに不正侵入されたという調査結果を公表。約72万件の顧客情報を含む業務情報が流出し、物流を委託していたグループ会社の業務にも影響が及びました。全面復旧の発表は2026年1月21日で、被害発生から3カ月以上を要しています。
事例2｜大手ネット証券で相次いだ口座乗っ取り
2024年末から2025年初頭にかけて、楽天証券・SBI証券・野村證券・マネックス証券・SMBC日興証券など大手ネット証券で、証券口座の乗っ取り被害が相次ぎました。攻撃者はフィッシングメールや偽のログインページでID・パスワードを盗み出し、不正ログイン後に保有株を勝手に売却し、その資金で値動きの荒い銘柄を大量に購入して相場を操作するという手口が確認されています。これを受け、各社はパスキー（FIDO2）によるログインの段階的な必須化を進めています。

2つの事例に共通するのは、「パスワードさえ知っていれば、誰でもログインできてしまう状態」が突破口になった点です。多要素認証を適切な方式で導入していれば、いずれも被害を防げた、あるいは被害を大幅に小さくできた可能性があります。

多要素認証（MFA）の基本｜3つの要素とよくある方式

多要素認証（MFA：Multi-Factor Authentication）とは、「知識」「所持」「生体」の3つの要素のうち、2つ以上を組み合わせて本人確認を行う認証方式です。

知識要素：パスワード、PINコードなど「本人だけが知っている情報」
所持要素：スマートフォン、セキュリティキー（USBデバイス）など「本人だけが持っているもの」
生体要素：指紋、顔認証など「本人の身体的な特徴」

代表的な方式には、以下のようなものがあります。

SMS認証：登録した電話番号にコードを送る方式。手軽だが、後述の弱点がある
認証アプリ（TOTP）：Google Authenticatorなどのアプリで一定時間ごとに変わるコードを生成
プッシュ通知承認：スマホアプリに届く通知を「承認」するだけでログインできる方式
ハードウェアセキュリティキー：YubiKeyなど、USBやNFCで接続する物理デバイス
生体認証：指紋・顔認証などをスマホやPCと組み合わせて利用

SMS・プッシュ通知だけでは防げない「MFA疲労攻撃」

「MFAさえ設定すれば安心」というのは、実は正確ではありません。どの方式を選ぶかによって、防御力には大きな差があります。

SMS認証の弱点：
電話番号そのものを乗っ取る「SIMスワップ詐欺」が使われると、SMS認証コードごと攻撃者に届いてしまいます。SIMスワップ詐欺についてはPayPayをかたるSMS詐欺の記事でも触れています。
プッシュ通知の弱点（MFA疲労攻撃）：
攻撃者がすでに盗んだID・パスワードを使ってログインを試み続け、「承認」を求めるプッシュ通知を大量に送りつける手口です。深夜や業務の合間に何度も通知が来ると、うんざりした本人が誤って「承認」をタップしてしまうことがあります。これを「MFA疲労攻撃（MFA fatigue attack）」と呼びます。
AiTM（中間者）攻撃：
精巧な偽ログインページで、ID・パスワードだけでなくSMSコードやワンタイムパスワードをリアルタイムで中継し、正規サイトへの認証を横取りする手口も確認されています。

つまり、SMSやプッシュ通知型のMFAは「何もないよりはるかにマシ」ですが、フィッシングやなりすましに強い方式ではありません。この弱点を構造的に解決するのが、次に説明する「パスキー」です。

パスキー（FIDO2）とは｜パスワードのいらない認証

パスキーとは、パスワードそのものを使わない認証方式です。国際標準規格「FIDO2」にもとづき、スマホの生体認証や画面ロックで本人確認を行うと、公開鍵暗号の仕組みでログインが完了します。

最大の特徴は、秘密鍵が本人の端末内に保管され、サーバー側やネットワーク上に一切送信されないことです。従来のパスワード認証では、偽サイトにパスワードを入力してしまえばそれだけで盗まれますが、パスキーには盗まれる「文字列」自体が存在しません。そのため、構造的にフィッシングが成立しにくいという強みがあります。

Apple・Google・Microsoftはいずれもパスキーに標準対応しており、国内でも導入が進んでいます。楽天証券は2025年10月26日にFIDO2パスキー認証を導入、SBI証券も同様に対応を拡大。SMBC日興証券は2026年4月下旬以降、取引や出金時のパスキー認証によるログインを段階的に必須化し、2026年8月21日からは、パスキーを初めて設定する際にマイナンバーカードまたは運転免許証によるオンライン本人確認を必須にしています。メガバンク各行のアプリでも、FIDO2ベースのセキュリティキー認証への対応が進んでいます。FIDOアライアンスの発表によれば、2026年5月時点で世界の利用中パスキー数は推定50億個に達したとされ、決して一部の先進企業だけの取り組みではなくなっています。

MFAとパスキー、何が違う？どちらを選ぶ？

両者は対立するものではなく、役割が異なります。MFAは「既存のID・パスワード認証に、追加の要素を足す」仕組みであるのに対し、パスキーは「ID・パスワードそのものを置き換える」仕組みです。

実務では、次のようなハイブリッド運用が現実的です。

一般社員には、スマホで完結するクラウド同期型パスキーを優先的に導入する
経営層・情報システム管理者など特権的なアカウントには、より堅牢なハードウェアセキュリティキーを組み合わせる
古いシステムなどパスキーが未対応のサービスには、SMS・プッシュ通知よりも安全な認証アプリ（TOTP）型のMFAで補う

「全部を一気にパスキーへ」ではなく、使えるところから段階的に置き換えていくのが現実的な進め方です。

導入の進め方（5ステップ）

【STEP1】現状の棚卸し
社内で利用しているクラウドサービス・業務システムを洗い出し、それぞれがMFA・パスキーに対応しているかを確認します。
【STEP2】優先順位づけ
すべてを同時に進める必要はありません。経営層のメールアカウント、経理・会計システム、顧客情報を扱うシステムなど、侵害されたときの被害が大きいアカウントから着手します。
【STEP3】パイロット導入
情報システム部門や経営層など少人数でまず登録・運用し、ログイン時の使い勝手や、端末を紛失した場合の復旧手順までひととおり確認します。
【STEP4】段階的な必須化
「全社一斉切り替え」は、問い合わせやトラブルが一時に集中し、かえって現場の混乱を招きます。部署やシステムごとに段階を分けて対象を広げていきましょう。
【STEP5】運用ルールの明文化
機種変更時の再登録手順、退職者のアカウント・登録済み認証情報の即時失効、リカバリーコードなどバックアップ手段の管理方法を、あらかじめ社内ルールとして決めておきます。

導入時によくある落とし穴

「SMS認証を設定した」だけで満足してしまう：
SIMスワップ詐欺やフィッシングに弱いことを理解せず、SMS認証の導入だけで対策完了と判断してしまうケース。
端末紛失時の復旧手段を決めていない：
スマホを紛失・故障した瞬間に誰もログインできなくなる「ロックアウト」が起こり、業務が止まってしまいます。
退職者の認証情報を解除し忘れる：
アカウントは無効化しても、登録済みのMFA・パスキーの解除を忘れると、思わぬ形でアクセスが残ってしまうことがあります。
全社一斉切り替えでヘルプデスクが混乱：
準備なく一度に切り替えると、問い合わせが殺到し現場が疲弊します。段階導入が基本です。
「パスキーなら万能」という思い込み：
古いブラウザやOSではパスキーが利用できない場合もあります。全社の端末・OS環境を事前に確認しておきましょう。

まとめ

認証情報の窃取は、ランサムウェア被害やなりすまし詐欺の共通の入口になっている
国内でも、MFA未適用が原因のランサムウェア被害（アスクル）や証券口座の乗っ取りなど、実損害がすでに発生している
MFAは「あるかないか」だけでなく「どの方式か」が重要。SMS・プッシュ通知は万能ではなく、MFA疲労攻撃などの弱点もある
パスキー（FIDO2）は、盗まれる情報そのものが存在しない構造でフィッシング耐性が高く、国内の金融機関を中心に導入が拡大している
導入は「全社一斉」ではなく、棚卸し→優先順位づけ→パイロット→段階拡大→運用ルール整備の順で進めるのが現実的

パスワードだけに頼る認証は、もはや「弱いドアに鍵を一つかけているだけ」の状態です。多要素認証とパスキーを組み合わせ、「入口」そのものを固めることが、情報漏えい・なりすまし・ランサムウェア対策すべての土台になります。

バンブーハウスでは、ホームページ制作・システム開発からセキュリティ対策・認証基盤の導入支援まで、中小企業のデジタル活用をワンストップでサポートしています。多要素認証・パスキーの導入計画や社内ルール整備についても、お気軽にご相談ください。

認証を固めるその前に、
サイトの“土台”そのものは安全ですか？

情報漏えい対策は、
社員の“うっかり”を防ぐ教育から見直しませんか？

SECURITY TRAINING 最新システムでも防げない従業員の「うっかり」を狙う手口にフィッシング・生成AI・SNSからの情報漏えい対策貴社のリスクに合わせたオーダーメイド研修

よくあるご質問（FAQ）

Q1. 多要素認証（MFA）とパスキーは何が違いますか？

MFAは、既存のID・パスワード認証に「もう一つの要素」を追加してログインの安全性を高める仕組みです。一方パスキーは、パスワードそのものを使わず、公開鍵暗号と生体認証・画面ロックの組み合わせでログインする仕組みで、盗まれる「文字列」自体が存在しません。パスキーはMFAの一種というより、パスワードに代わる次世代の認証方式と捉えるのが近いイメージです。

Q2. SMSでの認証コードは安全ではないのですか？

何も設定していない状態よりは、はるかに安全です。ただし、電話番号そのものを乗っ取る「SIMスワップ詐欺」が使われると、SMS認証コードごと攻撃者に届いてしまう弱点があります。可能であれば、認証アプリ（TOTP）やパスキーなど、より耐性の高い方式への移行をおすすめします。

Q3. パスキーを設定した端末を紛失したらどうなりますか？

サービスによって復旧手順は異なりますが、多くはリカバリーコードの利用や、別端末・別の認証方法での本人確認によってログインを回復できます。重要なのは、端末紛失を想定した復旧手順を、導入前のパイロット段階であらかじめ確認・共有しておくことです。復旧手段を決めないまま導入すると、紛失時に業務が止まる「ロックアウト」が起こりえます。

Q4. 中小企業でもパスキーを導入すべきですか？コストはかかりますか？

はい、企業規模に関わらずおすすめします。Microsoft 365やGoogle Workspaceなど、多くのクラウドサービスは追加費用なしでパスキー・MFAに対応しており、特別なシステム投資がなくても始められるケースが多くあります。まずは無料で使える範囲から、経営層や経理担当など被害の大きいアカウントに絞って導入するのが現実的な第一歩です。

Q5. 「MFA疲労攻撃」とは何ですか？どう防げますか？

攻撃者が盗んだID・パスワードでログインを試み続け、プッシュ通知型の承認リクエストを大量に送りつけることで、うんざりした本人に誤って「承認」を押させてしまう手口です。身に覚えのない承認通知が続いたら、絶対に承認せず、すぐにパスワードを変更してください。根本的な対策としては、通知の「承認」操作だけで完結しないパスキーやハードウェアセキュリティキーへの移行が有効です。