第１ 二段階認証の意味と必要性
１ 二段階認証とは何か
二段階認証は，サービスへログインする際の本人確認を二つの段階に分ける仕組みである。
例えば，パスワードの入力後に，登録したスマートフォンへ届いた確認コードの入力を求める方法がある。
サービスによって「２段階認証」「２ステップ認証」「２ファクタ認証」等の名称を使うため，名称だけでなく実際の確認方法を把握する必要がある。
本記事は，令和８年１０月１６日に確認した公式案内に基づき，一般利用者が設定先と回復手段を確認するための入口を説明する。
画面の表示，利用できる認証方法及び組織の設定はサービスやアカウントによって異なる。
２ 二段階認証をしないとどうなる？
パスワードだけで入れる設定では，そのパスワードを盗まれた場合に，追加の本人確認で不正ログインを阻む機会が減る。
二段階認証を設定したうえで，認証端末を使えなくなった場合の回復方法も準備しておくことが大切である。
設定していないことだけで，既に乗っ取られたと断定するものではない。
二段階認証にも方式ごとの限界がある。
確認コードを偽サイトへ入力したり，自分が開始していないログインを承認したりしないことが必要であり，設定したことだけで全ての被害を防げるとはいえない。
第２ 二段階認証と二要素認証は何が違うか
二段階認証は本人確認の段階数に着目し，二要素認証は異なる種類の認証要素を二つ使うことに着目する。
認証要素は，本人が知っている情報，所持している機器等，指紋等の生体情報という種類に分けられる。
IPAの用語解説は，パスワードと秘密の質問の答えは，いずれも記憶に属する要素であると説明している（出典①・PDF５５頁）。
| 組合せの例 | 確認するポイント |
|---|---|
| パスワードと秘密の質問 | 二段階でも，いずれも知識に属するため，異なる二要素を使うとは限らない。 |
| パスワードと登録電話へのSMS | パスワードの知識に加え，その電話で受信できることを確認する。コードを第三者に渡さない。 |
| パスキーによるログイン | サービスと端末の仕組みに応じて認証する。画面が二つ出ないことだけで，保護が無効とは判断しない。 |
アカウント，Windows HelloのPIN，多要素認証及びパスキーの詳しい違いは，アカウント・パスワード・PIN・多要素認証の違いと安全な管理を参照されたい。
第３ 二段階認証のやり方は？
設定する対象は，原則として利用しているサービスのアカウントである。
スマートフォンに認証アプリを入れただけで，全てのサービスの二段階認証が有効になるわけではない。
対象サービスの公式設定画面で登録を完了し，利用できる回復手段を確認する。
１ Googleの二段階認証はやるべきか？
Googleは，パスワードが盗まれた場合に備えてアカウント保護を強化する機能として，２段階認証プロセスを案内している。
メールや保存資料を守るため，現在の設定と利用できる認証方法を確認することを勧める。
公式案内では，Googleアカウントを開き，「セキュリティとログイン」から「Googleにログインする方法」に進み，２段階認証プロセスを有効にする項目を選ぶ。
画面の指示に従って設定を完了する（出典②）。
Google Workspace等の組織アカウントで設定できない場合は，管理者に確認する。
Gmailと組織アカウントの管理については，GmailとGoogle Workspaceのアカウント・容量・端末管理も参照されたい。
２ iPhoneの二段階認証はどこで設定する？
Apple Accountの２ファクタ認証は，iPhoneの「設定」から自分の名前を選び，「サインインとセキュリティ」で確認・設定する。
Appleは，多くのアカウントでは既に２ファクタ認証が利用されていると案内している（出典④）。
iPhoneで使うGoogleアカウントの二段階認証は，Google側で確認する。
Apple Accountの保護，iPhone本体の画面ロック，個別アプリが利用するアカウントの保護を区別する必要がある。
「iPhoneで設定したから，メールやSNSも全て設定済み」とは扱わない。
第４ SMS・認証アプリ・パスキーはどう選ぶか
SMSは登録した電話番号で受信する方式，認証アプリはアプリが生成する確認コード等を使う方式である。
利用できる方式はサービスごとに確認する。
コードを手入力する方式は，コードを偽サイトへ渡す危険も考慮する必要がある。
NIST SP 800-63B-4の３．２．５は，人が読み取って入力する認証コード等を，フィッシング耐性のある方式とは区別している。
認証要素が二つあることと，偽サイトへの耐性があることは，同じ評価ではない（出典⑤）。
これは米国の技術基準に基づく説明であり，日本の全利用者に同じ方式の採用を義務付ける趣旨ではない。
Googleは，パスキーやハードウェアセキュリティキーをフィッシング対策の選択肢として案内している（出典②）。
対応するサービス・端末，紛失時の失効及び予備の手段を併せて確認する。
パスキーでログインする際に追加のコード入力が省略されても，そのことだけで二段階認証の設定が無効になったとはいえない。
第５ 確認コードが届かない・スマホをなくしたとき
１ 確認コードが届かないとき
対象のアカウントと送信先を確認し，SMS，アプリのコード，承認通知のどれを求められているかを分ける。
Googleでは，SMSの代わりにログイン済み端末へメッセージが届いている場合や，複数回求めたコードのうち最新のものだけが使える場合がある（出典③）。
操作を反復する前に，公式ヘルプと画面の案内を確認する。
２ スマホを紛失してログインできないとき
Googleの公式ヘルプは，あらかじめ登録した予備の電話番号，保存済みのバックアップコード，別の端末のパスキー等による回復の選択肢を示している。
利用できる手段がなければ公式のアカウント復元へ進み，組織アカウントは管理者へ連絡する（出典③）。
復元に要する時間や成功を一律に保証するものではない。
紛失した端末からのログアウト，認証情報の見直し及び不審な操作の確認も必要となる。
認証コードやバックアップコードを，電話やメッセージで問い合わせてきた第三者へ渡してはならない。
Google用の回復方法を，Apple Accountその他のサービスへそのまま当てはめない。
第６ 機種変更前に準備すること
機種変更では，旧端末を手放す前に，利用サービス，認証アプリ，登録電話番号及び回復先を一覧にする。
各サービスの公式の移行方法を確認し，新端末で重要なアカウントへログインできることを確かめてから，旧端末の登録解除や初期化へ進むという順序が実務上有用である。
アプリが新端末に表示されたことだけで，認証や回復の確認を終えたとは扱わない。
バックアップコードを発行できるサービスでは，その保管先と利用条件を確認する。
全てのアカウントに同じ回復方法があるわけではなく，Googleの高度な保護機能など，通常の案内とは条件が異なる場合もある。
パスワードや回復コードを一般の共有台帳へ並べず，利用できる担当者と保管方法を決めることを勧める。
第７ 法律事務所でmints等を使う場合
事務所では，誰のアカウントか，誰が認証用端末を管理するか，担当者不在・退職・端末紛失時に誰へ連絡するかを決めておくことが有用である。
本人用の認証情報を全員で使い回す運用と，補助者等へ適切なアカウントを付与する運用を区別する必要がある。
mintsについて，最高裁判所はSMS認証等による二要素認証を説明している（出典⑥・PDF２頁）。
Googleのバックアップコードや認証アプリの一般論から，mintsでも同じ方法で回避・復旧できるとは判断しない。
固有の操作は，mintsにログインできない場合の対処法を参照されたい。
認証の設定と，提出・送達・期限管理や事故対応の運用は併せて点検する。
具体的な責任分界と点検事項は，mintsのセキュリティ対策と法律事務所の責任分界で説明している。
第８ 出典・参考資料
① IPA「情報セキュリティ１０大脅威２０２２ 個人編【一般利用者向け】」用語解説，PDF５４頁～５５頁。
https://www.ipa.go.jp/security/10threats/ps6vr7000000avr6-att/000100431.pdf
② Google「２段階認証プロセスを有効にする」。
https://support.google.com/accounts/answer/185839?hl=ja
③ Google「２段階認証プロセスに関する一般的な問題を解決する」。
https://support.google.com/accounts/answer/185834?hl=ja
④ Apple「Apple Accountの２ファクタ認証」。
https://support.apple.com/ja-jp/102660
⑤ NIST SP 800-63B-4，３．２．５（Phishing Resistance）。
https://pages.nist.gov/800-63-4/sp800-63b.html
⑥ 最高裁判所事務総局「mintsセキュリティ対策の概要～３つのセキュリティのポイント～」（令和８年４月），PDF２頁。
https://www.courts.go.jp/vc-files/courts/2023/mints_security_taisakugaiyou.pdf