多要素認証とは？ 知識・所持・生体の3要素と、2要素・2段階の違いを表で整理

多要素認証は、パスワードだけに頼らず、違う種類の材料を組み合わせて本人かどうかを確かめる方法です。ログインのときに、パスワードに加えてスマートフォンの確認コードや指紋を求められた経験がある人も多いはずです。

この記事では、多要素認証の定義と3つの要素、「2要素認証」と「2段階認証」の違い、2要素になる組合せ・ならない組合せを表で整理します。あわせて、ワンタイムパスワードやパスキーが多要素認証の中でどんな位置にあるかも説明します。

多要素認証とは？ 結論から

多要素認証とは、認証に使う要素のうち、種類の違うものを2つ以上組み合わせて本人を確かめる方式です。IPAは、多要素認証を使っていれば、IDと1つ目のパスワードが不正に使われてもログインできないため、不正ログインの防止に効果があると説明しています。

パスワードは、盗み見・推測・使い回しなど、さまざまな形で知られてしまう可能性があります。もう1つ別の種類の材料を求めておけば、パスワードが知られても、すぐには入られません。これが多要素認証の考え方です。

呼び名はサービスによってゆれがあります。IPAのページも、サービスによって「多段階認証」「2段階認証」などと呼び方が違うことに触れたうえで、そのページでは「多要素認証」に統一していると書いています。実際のサービスの画面では呼び名が混ざっていても、試験では次の章のとおり意味を分けて覚えます。

認証の3要素：知識・所持・生体

認証に使う材料は3種類に分けられます。総務省の「国民のためのサイバーセキュリティサイト」でも、次の3つが紹介されています。

資料によって「知識」「記憶」、「所持」「所有」と呼び方が違いますが、同じものを指します。試験で出た表記に合わせて読み替えてください。

それぞれに弱点があります。知識は知られると使われます。所持は落としたり盗まれたりします。生体は本人の特徴そのものなので、一度漏れると変えにくい点が課題です。弱点の違う要素を組み合わせると、どれか1つが破られても残りが守る形になります。

2要素認証と2段階認証は何が違うか

名前が似ているため混ざりやすいのが、2要素認証と2段階認証です。違いは「何を数えているか」です。

たとえば「パスワードを入力したあとに、秘密の質問に答える」やり方は、確かめる回数は2回ですが、どちらも知識です。これは2段階認証であって、2要素認証ではありません。

一方で「パスワードを入力したあとに、スマートフォンに届いた確認コードを入力する」やり方は、知識と所持なので2要素です。しかも2回に分けて確かめているため、2段階でもあります。つまり、違う種類を使った2段階認証は、2要素認証でもあるという関係です。

2要素になる組合せ・ならない組合せ

試験でよく見かける形が、「次の組合せのうち、2要素認証に該当するものはどれか」というものです。組合せごとに、要素の種類を書き出して判定します。

身近な例では、銀行のATMがあります。キャッシュカード（所持）と暗証番号（知識）の2つを求めるので、多要素認証の一例です。

判定のコツは、それぞれの手段を「知っている・持っている・体の特徴」のどれかに振り分けることです。見た目が違っても、振り分けた結果が同じ種類なら1要素です。「暗証番号」と「パスワード」はどちらも知識ですし、指紋と顔はどちらも生体です。

確認コードが「所持」になる理由も押さえておきましょう。コードを作ったり受け取ったりするのは、本人の手元にあるスマートフォンや専用の機器です。その機器がなければコードが手に入らないため、所持の要素として数えます。

ワンタイムパスワードと生体認証をどう位置づけるか

多要素認証で組み合わせる「2つ目の要素」として、よく使われるのが次の2つです。

ワンタイムパスワードは、一度使うと無効になる使い捨ての数字です。手元のアプリや専用の小型機器が表示し、時間がたつと別の数字に変わります。警察庁も、銀行やインターネット通販でメールやSMSに届くワンタイムパスワードの入力を求めるサービスがあり、IDやパスワードが盗まれた場合に備えて使うよう勧めています。同じページでは、指紋認証や顔認証などを組み合わせるとさらに安全とされています。

生体認証は、体の形や模様を使う身体的特徴（指紋・静脈・顔・虹彩など）と、ふるまいの癖を使う行動的特徴（声紋・筆跡・キーボードの打ち方など）に分かれます。忘れることも、人に貸すこともできない点が利点です。一方、本人なのに拒否してしまう割合（本人拒否率）と、他人を受け入れてしまう割合（他人受入率）は、判定を厳しくするか緩くするかで逆方向に動きます。2つを同時に小さくすることはできないので、用途に合わせて設定を選びます。

多要素認証にも強い・弱いがある：パスキーの位置づけ

多要素認証を入れても、すべての方式が同じ強さというわけではありません。金融庁は、証券会社などのインターネット取引サービスで、偽のサイトに誘導されてIDやパスワードが盗まれる被害が起きたことを受けて、パスキー認証など「フィッシングに耐性のある多要素認証」の必須化が各社で進められていると説明しています（2026年11月6日に確認した公開ページによる）。提供が始まったら速やかに設定するよう求めています。

ここから読み取れるのは、「多要素認証にしたから安心」ではなく、どの方式で多要素にするかも大切だということです。たとえばワンタイムパスワードは、短い時間であれば有効な数字です。偽のサイトに入力してしまうと、その数字を攻撃者が使える可能性があります。この点で、サーバに秘密を預けず端末の中の鍵を使うパスキーなどの方式が、偽サイトに強い方式として取り上げられています。

パスキーは、FIDOと呼ばれる規格にもとづくパスワードレスの認証です。手元の端末で指紋や顔などを確認し、端末の中に保管した鍵で署名した結果だけをサーバに送ります。サーバにはパスワードが預けられていないので、サーバからパスワードが流出して盗まれることがありません。要素としては、端末（所持）と指紋・顔（生体）を使っています。

多要素認証を入れるときの注意点

組織で多要素認証を導入する場面では、次の点を確認します。

もう1つ大切なのは、多要素認証を入れてもパスワード自体の対策は必要という点です。IPAも総務省も、パスワードは使い回さず、長く推測されにくいものにするよう勧めています。総務省は、理想は10文字以上のランダムな英数字で、数字・記号・大文字と小文字を混ぜることとしています。攻撃の種類ごとの対策はパスワードへの攻撃の種類と対策の記事で整理しています。

試験での問われ方と見分け方の手順

試験では、次の2つの形に備えておくと対応できます。

1. 組合せを判定する形：選択肢の手段を、知識・所持・生体に振り分けます。振り分けた結果、違う種類が2つ以上そろっているものを選びます。
2. 認証を強くする設定を選ぶ形：外部からのアクセスを認める場面などで、「要素が1つ増えるのはどの設定か」を考えます。パスワードの桁数を増やすのは、強くはなりますが知識のままです。ワンタイムパスワードを有効にすると所持が加わり、要素が増えます。

迷ったときは、「これは知っていること？ 持っているもの？ 体の特徴？」と1つずつ確認します。名前に引きずられず、種類で判断するのが近道です。

学習の進め方と授業のご案内

情報セキュリティマネジメント講座では、「利用者認証」の授業で、認証の3要素、多要素認証と多段階認証の違い、ワンタイムパスワード、チャレンジレスポンス認証、リスクベース認証、FIDO、シングルサインオン、生体認証までをまとめて学べます。料金は月額 817円〜（年額プラン9,800円・一括払いの月あたり）です。月額プランは2,980円です。最新の料金は講座ページで確認してください。

よくある質問

Q. 多要素認証と2要素認証は同じですか？

2要素認証は多要素認証の一種です。多要素認証は違う種類を2つ以上、2要素認証はちょうど2つ使う方式を指します。実際の資料では同じ意味で使われることも多いので、問題文の定義を確認してください。

Q. パスワードと秘密の質問は2要素認証になりますか？

なりません。どちらも本人が知っている情報で、知識の1要素です。回数としては2回確かめるため、2段階認証には当たります。

Q. 指紋認証だけでも多要素認証と言えますか？

指紋認証だけなら生体の1要素です。ただ、スマートフォンに指紋を登録して端末を使う仕組み（端末という所持と指紋という生体）では、2つの種類が関わっています。何を要素として数えるかは、問題文の書き方に従って判断します。

Q. 多要素認証を使っていれば、フィッシングの被害は防げますか？

必ずしも防げません。金融庁は、偽サイトに耐性のあるパスキー認証などの必須化が進められていると説明しています。方式によって強さが違うので、サービスが提供する中で安全性の高い方式を優先して設定するのが安全です。リンクを安易にクリックしない、公式サイトをブックマークするといった基本も、警察庁が勧めています。

まとめ

認証は、ほかの論点の土台にもなります。次はPKIとデジタル証明書など、「信頼をどう作るか」の仕組みへ進むと、全体のつながりが見えてきます。