二段階承認とは｜仕組み・種類・設定手順と機種変更で詰まない準備

2026年3月7日

＠SOHO編集部

この記事のポイント

✓正しい表記である二段階認証との関係から整理します
✓SMSと認証アプリの強さの差
✓機種変更で詰まないための準備までを解説します

結論から書きます。「二段階承認」で検索してたどり着いた方が知りたいのは、おそらく「ログインのときに出てくるコード入力の仕組みは何なのか」「入れたほうがいいのか」「入れたら面倒にならないか」の三つだと思います。答えは、仕組みとしては本人確認を二回に分ける方式で、入れたほうがよく、面倒になる場面は機種変更のときに集中します。この記事では、仕組みの分解、方式ごとの強さの差、設定の優先順位、そして機種変更で詰まないための準備までを順番に整理します。

「二段階承認」と「二段階認証」はどちらの表記が正しいのか

まず用語の整理から入ります。正式に使われている言葉は「二段階認証」です。英語のtwo-step verificationやtwo-factor authenticationの訳として定着した表現で、サービスの設定画面でもこちらの表記になっています。「二段階承認」は、承認と認証の音と意味が近いために生まれた言い換えだと考えられます。

意味の違いを一応押さえておくと、認証は「その人が本人かどうかを確かめること」、承認は「ある行為を許可すること」です。ログイン時にコードを入力するのは本人かどうかの確認なので、正しくは認証にあたります。ただ、設定画面を探すときに「二段階承認」で検索しても目的の機能にはたどり着けるので、言葉の違いそのものを気にする必要はありません。

とはいえ、サービスの設定画面を探すときは「認証」で探したほうが確実です。多くのサービスでは「セキュリティ」「アカウントの保護」「ログインと復元」といったメニューの中に、「2段階認証」「2要素認証」「多要素認証」のいずれかの名前で置かれています。英語表記のままの画面では、Two-Factor AuthenticationまたはMFAと書かれています。

正直なところ、この用語の揺れは利用者の責任ではないと思います。サービスごとに呼び方がばらばらで、同じ機能を「2段階認証プロセス」と呼ぶところもあれば「ログイン承認」と呼ぶところもある。日本語の画面で「ログイン承認」と書かれていれば、利用者が「二段階承認」と覚えるのは自然な流れです。言葉が違っても、指しているものは同じだと理解しておけば十分です。

二段階認証の仕組みを分解する

仕組みそのものは単純です。ログインという一つの入口を、二つの関門に分けているだけです。

第一の関門が、IDとパスワードです。これは「知っていること」で本人を確かめる方式にあたります。第二の関門が、パスワード以外の何かです。スマートフォンに届くコード、認証アプリが生成する数字、指紋や顔、物理的な鍵。これらは「持っていること」または「本人自身の特徴」で確かめる方式です。

なぜこれが効くのかというと、攻撃者がパスワードを手に入れても、第二の関門を突破する手段を別に用意しなければならないからです。流出したIDとパスワードの組み合わせを他のサービスで順番に試す攻撃が常態化していますが、二段階目があるだけでこの攻撃はほぼ止まります。攻撃は「効率が悪いところを避ける」性質があるので、突破に手間がかかるアカウントは狙われにくくなるわけです。

要素の分類については、総務省が運営するサイバーセキュリティの解説サイトが端的にまとめています。

多要素認証は、通常のユーザ名とパスワードに加え、追加のセキュリティ要素を使用してアカウントへのアクセスを確認する方法です。多要素認証の要素には「知っているもの（知識要素）（例）パスワードなど」「持っているもの（所持要素）（例）スマホなど」「本人自身に関するもの（生体要素）（例）指紋、静脈、顔、虹彩など」があり、これらのうち2つ以上の要素を組み合わせて認証します。出典: soumu.go.jp

知識、所持、生体。この三つの分類を覚えておくと、あとで出てくる「二段階認証と二要素認証の違い」も一瞬で理解できます。

二段階認証と二要素認証の違い

混同されやすいのですが、この二つは同じ意味ではありません。違いは、二回の確認が「別の種類」かどうかにあります。

二段階認証は、確認を二回行うという手順の話です。一回目も二回目も知識要素、たとえばパスワードのあとに秘密の質問を聞く形でも、手順としては二段階になります。

二要素認証は、種類の違う要素を二つ組み合わせるという中身の話です。パスワード（知識）とスマートフォンに届くコード（所持）の組み合わせなら、二要素認証であり、同時に二段階認証でもあります。

なぜこの区別が重要かというと、安全性が変わるからです。パスワードと秘密の質問はどちらも「知っていること」なので、両方とも同じ手口で盗まれます。フィッシングサイトで両方入力させれば一度に取れてしまう。一方、パスワードと物理的な端末なら、盗むための手口が別々に必要になります。

したがって、設定画面で選択肢があるときは、種類の違う要素を組み合わせられる方式を選ぶのが正解です。秘密の質問しか用意されていないサービスは、二段階にはなっていても二要素にはなっていない、と理解しておいてください。

企業側の導入判断としても、この区別は効いてきます。多要素認証の製品ごとの違いと、導入によって何が減るのかを具体的に整理した記事があるので、仕組みの側からもう一段深く知りたい方に向いています。MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版では、方式ごとの運用負荷まで比較されています。

認証方式の種類と、強さの差

第二の関門に使われる方式にはいくつか種類があり、安全性に明確な差があります。弱い順に並べます。

メールでコードを受け取る方式は、いちばん弱い部類に入ります。メールアカウント自体が乗っ取られていれば、コードもそのまま読まれてしまうからです。ないよりはましですが、これを最終防衛線にはできません。

SMSでコードを受け取る方式は、普及率が高く手軽ですが、弱点があります。携帯電話番号を第三者に移し替えられてしまう手口や、フィッシングサイトで受け取ったコードをその場で入力させる中継の手口が知られています。それでも、未設定の状態よりは圧倒的に安全です。まずここから始めて構いません。

認証アプリが生成する数字を使う方式は、SMSより一段強くなります。コードは端末の中で計算されて30秒ごとに変わり、通信経路を通らないので、途中で抜き取られる余地がありません。ただし、フィッシングサイトに自分で入力してしまう攻撃には依然として弱い。

プッシュ通知で承認する方式は、操作が楽で普及しています。ただし、攻撃者が何度も承認要求を送り続け、利用者が根負けして承認してしまう手口が問題になっています。表示された内容を読まずに承認しない、という運用が必要です。

物理的なセキュリティキーやパスキーを使う方式が、現時点でいちばん強い。正規のサイトかどうかをブラウザと端末が判定するため、偽サイトでは認証そのものが成立しません。フィッシングに構造的に耐えるのが最大の利点です。

生体認証は、実際には端末内の鍵を取り出すための本人確認として使われていることが多く、単独の要素というより他の方式と組み合わせて働きます。

二段階認証を有効にするメリット

メリットを、漠然とした「安全になる」ではなく具体的に並べます。

一つ目が、パスワード流出の影響を遮断できることです。どこか一社から漏れたIDとパスワードの組み合わせが他のサービスで試される攻撃に対して、二段階目が壁になります。自分がどれだけ注意していても、預けた先から漏れることは防げません。だから、漏れたあとに効く対策として価値があります。

二つ目が、不正ログインの試行に気づけることです。身に覚えのない認証コードが届いたら、それは誰かがあなたのパスワードを使ってログインを試みたという通知です。パスワードが既に漏れていることが分かるので、すぐに変更できます。つまり、防御だけでなく検知の機能も持っています。

三つ目が、金銭的な被害の抑止です。フリマアプリ、ネットバンキング、決済サービスには換金しやすいものが入っているため、優先的に狙われます。ここに二段階目を入れておくだけで、被害の入口が一つ減ります。

四つ目が、取引先からの信頼です。業務委託で仕事を受けていると、発注側から情報管理について問われることがあります。二段階認証を有効にしていること、パスワードを使い回していないことは、最低限の答えとして機能します。特に企業の情報を扱う案件では、この一言があるかないかで判断が変わることがあります。

五つ目が、復旧の速さです。万一アカウントを奪われても、二段階認証を設定していたアカウントは、サービス側の本人確認手続きが通りやすい。設定していないアカウントは、本人であることを示す材料が乏しくなります。

社員教育の観点からも、この仕組みは効果が測りやすい分野です。フィッシングへの耐性を訓練で上げる取り組みの実例をまとめた記事があるので、組織で導入する立場の方は参考になります。社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドでは、訓練の設計と効果の測り方が具体的に書かれています。

デメリットと注意点を正直に書く

良いことばかりではないので、面倒になる部分も書いておきます。ここを知らずに設定すると、あとで困ります。

いちばん多い問題が、端末を失ったときにログインできなくなることです。認証アプリを入れていたスマートフォンが壊れた、なくした、初期化した。この瞬間に、コードを生成する手段が消えます。復旧コードを保存していなければ、サービスの本人確認手続きに入ることになり、数日から数週間かかることもあります。

二つ目が、機種変更の手間です。認証アプリの移行を忘れたまま古い端末を初期化すると、同じ状態になります。これが最も頻度の高い事故です。

三つ目が、ログインのたびの手間です。毎回コードを入力するのは面倒に感じます。ただ、多くのサービスには「このブラウザを信頼する」という設定があり、普段使う端末では二回目以降を省略できます。共用のパソコンでは使わない、という前提つきで有効にすれば、体感の負担はかなり減ります。

四つ目が、電波や通信に依存する方式の弱さです。SMSは圏外では受け取れませんし、海外で番号が使えない状態だと詰みます。旅行や出張が多い方は、認証アプリのように通信を必要としない方式を選んでおくほうが安全です。

五つ目が、承認疲れです。プッシュ通知型では、内容を確認せずに承認する癖がつくと、攻撃者の要求まで通してしまいます。届いた通知の場所や時刻が自分の操作と一致しているかを、一拍置いて見る習慣が要ります。

これらは全部、事前の準備で回避できます。次の節でその準備を書きます。

設定の優先順位と、実際の手順

すべてのサービスに一度に入れるのは現実的ではないので、優先順位をつけます。

最優先は、メールアカウントです。理由は単純で、他の全サービスのパスワード再設定がメールを経由するからです。メールを取られると、他が全部連鎖して落ちます。ここが一番の急所です。

次が、お金が直接動くサービス。ネットバンキング、決済アプリ、証券口座、フリマアプリの売上金。ここは被害が即座に金額になります。

三番目が、本人になりすまされると困るもの。SNS、メッセージアプリ、クラウドストレージ。乗っ取られると、知人に詐欺のメッセージが送られたり、保存していた資料が流出したりします。

四番目が、仕事で使うサービス。取引先と共有しているファイル置き場、納品に使うツール、請求書の発行サービス。ここは自分だけでなく取引先に被害が及びます。

手順はどのサービスでもほぼ共通です。設定画面を開き、「セキュリティ」または「アカウント」の項目を探す。「2段階認証」「2要素認証」「多要素認証」のいずれかを選ぶ。方式を選ぶ。認証アプリなら画面に出たQRコードをアプリで読み取り、表示された数字を入力する。最後に、復旧コードが表示されるので保存する。所要時間は一つあたり5分もかかりません。

この最後の「復旧コードを保存する」を飛ばす方が非常に多い。ここが後の事故の原因になるので、必ずやってください。保存先は、印刷して自宅の鍵のかかる場所、またはパスワード管理ツールの安全なメモ欄です。同じスマートフォンの中に保存するのは意味がありません。端末ごと失ったときに一緒に消えるからです。

機種変更のときに詰まないための準備

ここが実務上いちばん重要なので、独立した節にします。

機種変更の前にやることは三つです。一つ目、認証アプリの移行機能を使って新しい端末へ引き継ぐ。主要な認証アプリにはアカウント同期や引き継ぎの機能があります。二つ目、それが使えないサービスについては、古い端末が手元にあるうちに二段階認証を一度無効にし、新しい端末で設定し直す。三つ目、復旧コードが手元にあることを確認する。

順番が大事です。古い端末を初期化する前に、新しい端末で実際にログインできることを確かめてください。「設定したつもり」で初期化してしまうと戻れません。

あわせて、登録してある電話番号とメールアドレスが今も使えるかを確認します。以前使っていたキャリアのメールアドレスのまま放置していると、復旧手段として機能しません。ここは年に一度見直す価値があります。

予備の手段を二つ持っておくのも有効です。たとえば認証アプリを主に使い、予備としてSMSも登録しておく。あるいは、家族の端末にも同じ認証アプリを設定しておく。片方が失われても、もう片方から入れる状態を作っておくと、事故のときに慌てずに済みます。

私自身、以前に認証アプリの引き継ぎを忘れて、あるサービスの本人確認に何日もかかったことがあります。書類を提出して、審査を待って、その間そのサービスの機能が一切使えない。作業としては数分で終わったはずの準備を飛ばしたせいで、業務が止まりました。それ以来、機種変更の前には必ずチェックリストを作るようにしています。

それでも突破されるケースと、その先の守り

二段階認証を入れれば絶対に安全、というわけではありません。実際に突破される経路があるので、知っておいてください。知っていれば防げます。

もっとも多いのが、偽サイトでコードを入力してしまう経路です。本物そっくりのログイン画面が用意されていて、IDとパスワードを入れるとコードの入力欄が出る。利用者がそこに入力したコードを、攻撃者が本物のサイトにその場で転送する。この中継型の攻撃では、認証アプリのコードでも通ってしまいます。防ぎ方は、リンクからログインしないことです。メールやメッセージのリンクを踏まず、ブックマークか自分で入力したURLから入る。この一手で経路が切れます。

次が、認証コードを口頭で伝えてしまう経路です。運営を名乗る電話やメッセージで「本人確認のためコードを教えてください」と言われる。正規のサービスが認証コードを聞くことは絶対にありません。コードは鍵そのものなので、誰に対しても伝えない。家族にも、サポート窓口にもです。

三つ目が、承認疲れを狙う経路です。プッシュ通知型で、深夜に何十回も承認要求が飛んでくる。眠くて誤って承認してしまうことを狙っています。身に覚えのない要求が連続したら、承認せずにパスワードを変更してください。要求が来ている時点で、パスワードは既に相手の手にあります。

四つ目が、セッションの乗っ取りです。ログイン済みの状態を示すデータが盗まれると、認証を経ずに入られます。対策は、公共の端末でログインしない、使い終わったら必ずログアウトする、定期的にログイン中の端末一覧を確認して見覚えのないものを切る、の三つです。

五つ目が、復旧手段の弱さを突く経路です。二段階認証を固めても、パスワードを忘れたときの復旧が秘密の質問だけなら、そこが最も弱い部分になります。復旧用のメールアドレスと電話番号を最新にし、そのメールアカウント自体にも二段階認証を入れておく必要があります。守りは一番弱いところの強さで決まります。

在宅で働く人が特に固めるべき環境

在宅やフリーランスで働いている場合、アカウントの防御は会社の仕組みに守られていません。自分で設計する必要があります。

まず、パスワード管理ツールの導入です。サービスごとに異なる長いパスワードを覚えるのは不可能なので、ツールに任せます。総務省の解説でも、使い回しをしないことが繰り返し強調されており、定期的な変更よりも固有のパスワードを設定するほうが重要だとされています。ツールを使えば、この条件を無理なく満たせます。

次に、通信経路の保護です。カフェやコワーキングスペースの無料Wi-Fiでは、通信内容が保護されないことがあります。認証情報を入力する作業を外でするなら、通信を暗号化する手段を持っておくと安心できます。必要かどうかの判断材料として、フリーランス向けにVPNを比較した記事が役に立ちます。フリーランス向けVPNおすすめ6選｜カフェ作業のセキュリティ対策にでは、無料と有料の差がどこに出るかも整理されています。

三つ目が、端末そのものの保護です。画面ロック、ディスク暗号化、OSの更新。二段階認証を入れていても、端末が誰でも開ける状態では意味が薄れます。

四つ目が、取引先との情報のやり取りのルールです。パスワードをメールで送らない、共有リンクに有効期限をつける、作業が終わったらアクセス権を外す。この三つを習慣にしておくと、事故の確率が大きく下がります。

こうした知識を体系的に身につけたい方には、ネットワークの基礎から学べる資格が向いています。通信のどこが保護されていて、どこが保護されていないのかが理解できるようになります。CCNA（シスコ技術者認定）は範囲が広い代わりに、実務での応用が効く知識が身につきます。

セキュリティの知識は仕事の単価に直結する

ここまで読んで気づいた方もいると思いますが、二段階認証の設計は、企業が情報セキュリティでやっていることの縮小版です。認証を固める、経路を限定する、記録を残す、気づくまでの時間を短くする。規模が変わっても考え方は同じです。

そのため、この分野の知識は、そのまま仕事の価値になります。中小企業では情報セキュリティの担当者を専任で置けないことが多く、外部の人材に部分的に頼る形が一般的です。仕事の中身と求められる経験を具体的に書いた案内があるので、自分に足りないものが逆算できます。AI・マーケティング・セキュリティのお仕事では、どのフェーズで外部人材が呼ばれるのかが分かります。

補助金の制度を使って対策を進める企業も増えています。発注側がどういう事情で予算を確保しているのかを知っておくと、提案の組み立て方が変わります。中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法では、制度の使い方と対象になる対策が整理されています。

報酬の水準を知りたい場合は、職種別の相場を見るのが早いです。ソフトウェア開発に近い領域は在宅案件の分布も広く、比較の基準になります。ソフトウェア作成者の年収・単価相場では全国平均と地域差の両方が確認できます。相場を知らないまま単価を決めると安く受けてしまうので、先に数字を見ておくほうが合理的です。

家族や高齢の親に設定してあげるときの進め方

自分の設定が終わったら、次に困るのが家族の分です。ここは本人の理解度に合わせた進め方をしないと、途中で嫌になって外されます。

まず、全部を一度にやらないことです。最優先のメールアカウントだけを先に設定し、慣れてから次に進みます。一日に三つも四つも設定すると、どれが何だったか分からなくなって混乱します。

次に、方式は本人が扱えるものを選びます。認証アプリは安全ですが、アプリを開いて数字を読むという操作が負担になる方もいます。その場合はSMSで構いません。理想を押し付けて未設定のまま放置されるより、扱える方式で有効になっているほうが安全です。

三つ目に、復旧コードは印刷して本人に渡します。画面の中に保存しても、本人はそれを探せません。紙で渡し、保管場所を一緒に決めて、その場所を家族も知っておく。アナログですが、これがいちばん確実です。

四つ目に、設定した内容を一枚の紙にまとめておきます。どのサービスに、どの方式で、いつ設定したか。機種変更のときにこの紙があるかないかで、作業時間がまったく違います。

五つ目に、コードを人に教えてはいけないということだけは、繰り返し伝えておきます。仕組みの説明は忘れても構いません。この一点を守れるかどうかが、実際の被害を分けます。家族を装った連絡でコードを求められる手口があるので、身内からの依頼でも例外にしない、と決めておくのが確実です。

20年この市場を見てきた立場からの観察

運営者として在宅ワークと業務委託の市場を長く見てきた立場から、一つ書いておきます。二段階認証を入れているかどうかは、実は仕事の続き方と相関があります。

運営者として見てきた限りでは、長く仕事が続いている人ほど、守りの設定を早い段階で終わらせています。理由は意識が高いからではなく、事故で止まる時間を嫌うからです。アカウントが使えない数日は、そのまま納品の遅れになります。納期を守れなかった一度の事故が、繰り返し依頼される関係を壊す。その因果を経験的に知っているので、面倒でも先に済ませている。つまり、これは安全の話であると同時に、信用の維持の話でもあります。

もう一つ、長く続く人は「この人に任せると段取りが楽だ」と思われる状態を作ることに時間を使っています。情報の扱いが安定している相手には、発注側も踏み込んだ仕事を任せやすい。結果として単発の作業ではなく継続の依頼に変わり、毎回新しい相手を探すコストが消えていきます。

中間マージンが乗らない直接の取引は、依頼する側から見れば同じ予算でより多く頼めますし、受ける側から見れば手数料0%のぶん手取りが厚くなります。ただ、その形が成立するのは、身元と記録がきちんと残る場所に取引が置かれているときだけです。アカウントの守りが弱い状態で直接のやり取りを増やすと、事故が起きたときに誰も間に入ってくれません。額面が同じでも手取りが違うという話の本当の意味は、安心して繰り返せる関係があるかどうかにあります。

最後に整理します。二段階承認という言葉で探していた仕組みは、正しくは二段階認証です。まずメールアカウントから設定し、復旧コードを必ず保存し、機種変更の前には移行を済ませる。この三つを守れば、面倒さはほとんど残りません。設定にかかるのは数分で、守れるものは数年分の信用です。

よくある質問

Q. 二段階承認と二段階認証は違うものですか？

指している仕組みは同じで、正式な表記は二段階認証です。認証は本人かどうかを確かめること、承認は行為を許可することを指すため、ログイン時のコード入力は認証にあたります。設定画面を探すときは「2段階認証」「2要素認証」「多要素認証」またはTwo-Factor Authenticationの表記で探すと見つかります。