二段階認証のやり方

2026年9月2日

朝比奈蒼

この記事のポイント

✓設定の手順と方式の選び方から整理しました
✓認証アプリとバックアップコードの扱い
✓機種変更でつまずかないための準備

結論から書きます。二段階認証の設定でつまずく原因は、操作の難しさではなく、方式の選び方と、機種変更のときの備えです。設定画面を開いて指示に従うだけなら数分で終わります。問題は、その後に端末を変えたときに自分が締め出されることで、ここで慌てる人が非常に多い。この記事では、方式の違いと選び方、主要なサービスでの入口、バックアップの取り方、そしてうまくいかないときの原因を順番に整理します。用語は出てくるたびに言い換えます。

二段階認証とは、鍵をもう一つ増やす仕組み

二段階認証とは、ログインのときにパスワードだけでなく、もう一つの確認を求める仕組みのことです。合言葉に加えて、手元の端末に届く数字を入れる。この二段構えにすることで、パスワードが漏れてもそれだけでは入られなくなります。

呼び方はサービスによって違います。二段階認証、2要素認証、多要素認証、2ファクタ認証。細かい定義は異なりますが、利用者から見た操作はほぼ同じで、パスワードの後にもう一手間が入る形です。Googleのヘルプでも、2段階認証プロセスは2要素認証とも呼ばれると説明されています。

この仕組みが効くのは、パスワードの漏えいが避けられないからです。どこか一社から流出した組み合わせを、別のサービスで順番に試される形の被害があります。二つ目の確認があれば、パスワードが正しくてもログインは止まります。

行政もこの点を明確に案内しています。総務省は、安心してインターネットを利用するために最低限意識することとして、ソフトウェアを最新に保つこと、強固なパスワードの設定と多要素認証を活用すること、不用意に開かない、インストールしないことの三つを挙げています。

方式は三つ。強さと手間が違う

二つ目の確認をどう受け取るかで、方式が分かれます。選び方を先に決めておくと、設定作業が迷いなく進みます。

一つ目はSMSです。登録した電話番号に数字が届き、それを入力します。導入が最も簡単で、特別なアプリも要りません。ただし、電話番号そのものを奪われる手口があり、SMSだけに頼った認証の弱さが指摘されています。携帯電話が突然圏外になった場合、この可能性を疑う必要があります。

二つ目は認証アプリです。スマートフォンに入れたアプリが、30秒ごとに変わる6桁の数字を表示します。通信がなくても使え、電話番号の乗り換えにも影響されません。手間はアプリを入れる一度だけなので、多くの場面でこれが現実的な選択になります。

三つ目はパスキーやセキュリティキーです。パスキーとは、端末の中に保存された鍵で本人確認を行う仕組みで、指紋や顔認証でログインできます。Googleのヘルプでは、パスキーはデバイスにのみ保存され、書き留めることができず、誤って不正な行為者に提供してしまう可能性もないと説明されています。偽サイトに入力してしまう事故が構造的に起きない点が、この方式の強みです。

強さの順はパスキー、認証アプリ、SMSです。ただし、対応していないサービスもあります。使えるものの中で一番強いものを選ぶ、という決め方で十分です。SMSしか選べない場合でも、何もしないよりは大きく安全になります。

なぜ必要なのかを、数字で確かめておく

面倒な設定を続けるには、必要性が腹に落ちている必要があります。公的機関が公表している数字を見ておきます。

IPAの情報セキュリティ10大脅威 2026では、個人向けの脅威としてインターネット上のサービスへの不正ログインが挙げられており、2016年の初選出から11年連続で選ばれています。同じ一覧には、フィッシングによる個人情報等の詐取、クレジットカード情報の不正利用、スマホ決済の不正利用も並びます。

「情報セキュリティ10大脅威 2026」は、2025年に発生した社会的に影響が大きかった情報セキュリティの事故や攻撃の状況などから、IPAが脅威候補を選定し、情報セキュリティ分野の研究者、企業の実務担当者など約250名のメンバーからなる「10大脅威選考会」が審議・投票を経て決定したものです。出典: ipa.go.jp

入口となるフィッシングの規模も公表されています。フィッシング対策協議会の月次報告によると、2026年8月に寄せられた報告件数は82,338件で、前月より16,219件増えました。報告されたフィッシングサイトのURL件数は39,800件、悪用されたブランドは96件です。分野別では、通販サイト系が全体の約43.3%を占めています。

注目したいのは、差出人の偽装です。同じ報告では、調査用のアドレスに届いたフィッシングメールのうち、実在するサービスのメールアドレスを差出人に使ったなりすましが約32.3%だったとされています。送信元の表示を見て判断するという方法は、三分の一のケースで通用しません。つまり、人の注意力ではなく仕組みで止める必要があるということです。ここが二段階認証の出番になります。

どのサービスから設定するか

全部を一度に設定しようとすると、たいてい途中で止まります。優先順位を決めて、上から片付けてください。

一番目はメールです。メールアドレスは、他のサービスのパスワード再設定の通知が届く場所です。ここが破られると、他をいくら守っても順番に開けられます。二段階認証を一つだけ設定するなら、迷わずメールにしてください。

二番目はお金が動くサービスです。ネットバンキング、証券、電子マネー、そしてクレジットカードを登録している通販サイト。被害が金額としてすぐ出る場所です。

三番目は連絡手段です。メッセージアプリやSNSは、乗っ取られると友だちや取引先に被害が広がります。自分の損失では終わらない点が、他と違います。

四番目が仕事で使うサービスです。納品や請求に関わる管理画面、クラウドの保存先、コードやデザインの置き場所。クライアントのデータを預かっている場合、ここは義務に近い扱いになります。

五番目以降は、使用頻度の高い順で構いません。目安として、上位五つを一日で終わらせ、残りは気づいたときに足していく形が現実的です。設定は一度で済むので、着手さえすれば負担は続きません。

設定を始める前に用意するもの

作業に入る前に四つだけ準備します。ここを飛ばすと、途中で止まります。

一つ目は、今使っているメールアドレスです。復旧の通知が届く先なので、すでに使っていない古いアドレスのままだと後で困ります。設定画面で登録内容を確認し、必要なら更新します。

二つ目は、今使っている電話番号です。機種変更や番号の変更をした後、登録が古いままになっているケースが多く見られます。

三つ目は、認証アプリを入れる端末です。普段持ち歩くスマートフォンで構いません。可能なら、タブレットやパソコンにも同じ認証アプリを入れて同期しておくと、端末をなくしたときの保険になります。

四つ目は、バックアップコードの保管場所です。バックアップコードとは、端末が使えないときにログインするための使い捨ての数字列で、多くのサービスが設定時に発行します。紙に印刷して自宅に保管するか、別の端末に暗号化して保存します。スクリーンショットをそのまま端末に残す方法は、端末を失ったときに一緒に失うので避けてください。

準備にかかる時間は10分程度です。ここを丁寧にやるかどうかで、後の面倒がほとんど決まります。

どのサービスでも、手順はだいたい同じ

サービスごとに画面は違いますが、流れは共通しています。五つの段階に分けられます。

第一段階は、設定画面の中からセキュリティに関する項目を開くことです。アカウント、ログイン、セキュリティといった名前の場所にあります。第二段階は、二段階認証の項目を選んで有効にすることです。第三段階で、二つ目の確認方法を選びます。SMS、認証アプリ、パスキーのどれかです。

第四段階が、実際に一度確認することです。認証アプリを選んだ場合は、画面に表示されたQRコードをアプリで読み取り、表示された6桁の数字を入力します。この一回で紐付けが完了します。第五段階が、バックアップコードの発行と保管です。ここまで済ませて設定完了と考えてください。

多くの人が第五段階を飛ばします。飛ばしても当面は困らないため、そのまま忘れます。困るのは端末を変えたときで、そのときには設定画面にたどり着けません。順番として、バックアップコードを保管するまでが一続きの作業です。

また、設定した直後に一度ログアウトして、ログインし直してみることを勧めます。想定どおりに確認が求められるか、コードが届くかをその場で確かめられます。問題があっても、今ならまだ設定を変えられます。

作業を進めるときは、パソコンとスマートフォンの両方を手元に置いてください。設定画面をパソコンで開き、QRコードをスマートフォンの認証アプリで読み取る形が最も進めやすくなります。スマートフォン一台で完結させようとすると、画面を行き来する必要があり、QRコードを読み取れないこともあります。その場合は、コードを手入力する方式が用意されていることが多いので、画面に表示される設定キーの文字列を使ってください。

主要なサービスでの入口

よく使われるサービスの入口を挙げておきます。画面の名称は更新されることがあるので、迷ったら公式のヘルプを開いてください。

Googleアカウントの場合、アカウントを開き、セキュリティとログインの項目から、Googleにログインする方法の中にある2段階認証プロセスを有効にするを選びます。あとは画面の指示に従います。職場や学校のアカウントでは、管理者の設定により有効にできないことがあると案内されています。

2 段階認証プロセス（2 要素認証とも呼ばれます）は、パスワードが盗まれた場合に備えてアカウントのセキュリティを強化する機能です。出典: support.google.com

Appleの場合は、2ファクタ認証という名称です。iPhoneまたはiPadで設定を開くか、Macでシステム設定を開き、ユーザ名を選んでサインインとセキュリティに進み、2ファクタ認証をオンにします。公式には、ほとんどのアカウントではすでに2ファクタ認証が利用されていると記載されています。自分の状態を確認するところから始めてください。

LINEの場合は、ホームから設定に入り、アカウントの中のWebログインの2要素認証をオンにします。ブラウザ経由でLINE関連サービスにログインされる経路を塞ぐ設定で、公式ヘルプでも不審なWebログインを確認した場合に実施する対応の一つとして挙げられています。

金融機関や証券会社では、アプリ内の認証機能を使う方式が主流です。設定の入口がサービスごとに大きく異なるため、各社のヘルプに従ってください。ログイン時の確認方法を変更する手続きは、窓口での本人確認を伴う場合があります。

認証アプリの入れ方と、二台目の端末の扱い

認証アプリは、アプリストアから入手します。提供元を必ず確認してください。公式のストア以外から配布されたファイルを入れると、入力内容を盗む仕組みが紛れ込むことがあります。

初期設定は、サービス側の画面にQRコードを表示し、アプリのカメラで読み取るだけです。読み取ると、そのサービスの名前とともに6桁の数字が表示され、30秒ごとに変わります。ログインのときは、その時点で表示されている数字を入力します。

ここで勧めたいのが、二台目の端末にも同じ設定を入れておくことです。多くの認証アプリは、同じQRコードを複数の端末で読み取れます。設定時にもう一台のスマートフォンやタブレットでも読み取っておけば、片方を紛失しても認証が続けられます。クラウド同期に対応したアプリを使う方法もあります。

登録が済んだら、アプリの中身が増えていくことを想定して整理しておきます。サービス名が分かる形で並んでいないと、緊急時に探せません。アプリによっては表示名を編集できます。

なお、認証アプリのコードを人に伝えてはいけません。電話やメッセージで6桁の数字を求められる場面は、正規のサポートには存在しません。ここはSMSの確認コードと同じ扱いです。

バックアップコードと、機種変更での詰まり方

相談として一番多いのが、機種を変えたら入れなくなったという状態です。原因はほぼ一つで、古い端末に入っていた認証アプリを、データを移さないまま初期化したことです。

防ぎ方は三つあります。一つ目は、機種変更の前に、古い端末で認証アプリの移行機能を使うことです。多くのアプリにはエクスポートや引き継ぎの機能があり、QRコードを新しい端末で読み取る形で移せます。二つ目は、バックアップコードを保管しておくことです。三つ目は、認証方法を一つに絞らず、複数登録しておくことです。

バックアップコードは、一度使うと無効になる使い捨ての数字列です。発行時に十個前後が表示されるので、印刷するか、別の場所に保存します。使ったら残りの数を把握しておき、少なくなったら再発行します。

再発行や認証方法の変更は、ログインできている間にしかできません。ここが重要です。端末を変える予定が決まった時点で、主要なサービスの認証方法を確認し、必要なら追加しておくという順番になります。

古い端末は、新しい端末での動作を確認するまで初期化しないでください。データを移した後も、しばらく手元に残しておくと安全です。確認すべきなのは、実際にログインし直せるかどうかで、画面上の表示だけでは分かりません。

うまくいかないときに、まず疑う場所

設定や入力でつまずいたとき、原因はだいたい決まっています。上から順に確かめてください。

認証アプリの数字が通らない場合、端末の時刻がずれている可能性があります。認証アプリは時刻をもとに数字を生成するため、自動設定がオフになっていると合わなくなります。端末の日付と時刻の設定を、ネットワークから自動取得する状態に戻してください。

SMSが届かない場合は、電波状況、迷惑SMSの拒否設定、海外からの送信の受信設定を確認します。携帯電話会社の設定で、特定の番号からのSMSを受け取らない状態になっていることがあります。

コードを入力したのにエラーになる場合は、入力の間に有効期限が切れていることがあります。認証アプリの数字は30秒程度で切り替わるので、残り時間が少ないときは次の数字を待ってから入力します。

設定画面に二段階認証の項目が見つからない場合は、そのサービスが対応していないか、名称が違うかのどちらかです。二要素認証、多要素認証、ログインの確認、追加の認証といった名称で置かれていることがあります。

電話番号を追加したのにすぐ使えない場合もあります。Googleのヘルプには、2段階認証プロセス用の電話番号を追加した場合、信頼できる番号として確認するまでに最長で7日かかることがあると記載されています。仕様として時間がかかる場合がある、と知っておけば無駄に焦らずに済みます。

二段階認証でも防げない場面を知っておく

万能ではない点にも触れておきます。防げない場面を知っておくと、油断の仕方が変わります。

一つ目は、偽サイトでコードごと入力してしまう場合です。本物そっくりのログイン画面でパスワードを入れ、続けて求められた6桁の数字も入れてしまうと、相手はその場でログインできます。総務省の解説でも、接続先のサイトを本物と区別がつかないように偽造する例が増えていると説明されています。対策は、リンクからログインせず、アプリやブックマークから入る習慣です。

二つ目は、コードを人に伝えてしまう場合です。手続きの確認と称して電話がかかってきたり、メッセージで番号を求められたりします。正規のサポートが確認コードを聞くことはありません。

三つ目は、端末そのものを操作される場合です。遠隔操作を行うアプリを入れてしまうと、画面の内容も入力中の情報も見られます。副業をうたう詐欺の相談事例でも、遠隔操作アプリの導入を指示される流れが公表されています。

四つ目は、セッションが残っている場合です。二段階認証を後から設定しても、すでにログイン中の端末はそのまま使えることがあります。設定と同時に、ログイン中の端末を確認してログアウトさせてください。

これらはいずれも、設定ではなく行動で防ぐ部分です。仕組みで止められるところは仕組みに任せ、残りを習慣で埋める。この分担で考えると、何を覚えるべきかがはっきりします。

パスキーという選択肢も見ておく

最近は、パスワードそのものを使わない方式が広がっています。パスキーは、端末に保存された鍵を使い、指紋や顔認証で本人確認を行う仕組みです。パスワードを入力しないため、偽サイトに入力してしまう事故が起きません。

Googleのヘルプでは、パスキーを作成すると、デフォルトではパスキー優先のログイン方法に切り替わると説明されています。パスワードを先に使いたい場合は、アカウント設定で変更できるとも書かれています。

利点は、手間が減ることです。ログインのたびに6桁の数字を入力する作業がなくなり、端末のロック解除と同じ操作で済みます。欠点は、対応しているサービスがまだ限られていること、そして端末を変えるときの引き継ぎを理解しておく必要があることです。

現実的な運用としては、対応しているサービスはパスキー、対応していないサービスは認証アプリ、それも無理ならSMS、という三段構えになります。全部を一つの方式にそろえる必要はありません。

正直なところ、方式の比較に時間をかけるより、今使っている主要なサービス五つで何かしらの二段階認証を有効にするほうが効果は大きいです。メール、連絡手段、金融、通販、そして仕事で使うサービス。この五つから着手してください。

仕事で使うアカウントは、扱いを変える

フリーランスや副業で仕事を受けている場合、自分のアカウントだけでなく、クライアントから預かった管理画面の認証も関わってきます。ここは個人利用と分けて考える必要があります。

まず、共有アカウントに二段階認証を設定する場合の問題です。確認コードが一人の端末にしか届かないと、その人が不在のときに誰も入れなくなります。対処としては、アカウントを共有するのではなく、メンバーとして個別に招待してもらう形にできないかを先に確認します。多くのサービスには権限を分けて人を追加する仕組みがあります。

次に、退任時の扱いです。個別のアカウントで作業していれば、契約が終わったときにその人だけを外せます。パスワードを共有していた場合、全員分を変更する必要が出ます。

そして、預かった認証情報の保管です。パスワードや確認コードをメッセージアプリのトークに残したままにしない、という基本を徹底してください。端末が侵入されたときに、そのままクライアントの被害に直結します。

作業の合意書に一行入れておくと、後から揉めにくくなります。権限の範囲、退任時の削除、連絡の手順。三つだけでも書いてあれば、事故が起きたときに説明できます。

もう一つ、クライアント側の担当者が二段階認証を理解していない場合の進め方にも触れておきます。設定してくださいと伝えるだけでは動きません。どの画面を開き、何を押し、どこに控えを残すかを、画面の名称どおりに書いた短い手順を渡すほうが早く済みます。専門用語を並べた説明より、三行の手順のほうが実行率は高くなります。実際に、預かった管理画面の認証を整えるところまでを作業の一部として見積もりに含める人も増えています。

設定が終わった後に、一緒に見ておきたい項目

二段階認証を入れたら、同じ画面にある他の項目も片付けてしまうのが効率的です。どれも数分で終わります。

一つ目は、回復用の連絡先です。メールアドレスと電話番号が古いままだと、いざというときに通知が届きません。現在使っているものになっているかを確認します。

二つ目は、ログイン履歴です。多くのサービスには、最近のログインや、現在ログイン中の端末を一覧できる画面があります。見覚えのない端末があれば、その場でログアウトしてパスワードを変更します。二段階認証を入れる前に侵入されていた場合、その端末は生き残っていることがあります。

三つ目は、連携している外部サービスの確認です。過去に許可したまま忘れているアプリが残っていることがあります。使っていないものは解除してください。権限を持ったままのアプリは、パスワードを変えても動き続ける場合があります。

四つ目は、パスワードの使い回しの解消です。二段階認証を入れても、使い回しをやめない限り、他のサービスは無防備のままです。優先度の高いものから順に変更していきます。

五つ目は、通知の設定です。新しい端末からのログインを知らせる通知を有効にしておくと、異変に早く気づけます。通知が来たときに何をするかまで決めておけば、対応も速くなります。

家族の端末に設定するときの注意

家族、とくに高齢の家族の端末に二段階認証を入れる場合、本人が操作できるかどうかを先に考える必要があります。設定した結果、本人がログインできなくなるのでは意味がありません。

方式は、本人が使い慣れた形に寄せます。認証アプリの操作が難しい場合、SMSのほうが続けられることがあります。強さでは劣りますが、使われない設定より、使われる設定のほうが実際の安全につながります。

バックアップコードは、家族で共有できる場所に保管します。本人が保管場所を忘れることを前提に、支援する人が把握しておく形が現実的です。

設定のときは、その場で一度ログインし直して動作を確認してください。実際にコードが届き、入力して入れることを本人の手で経験しておくと、次に求められたときに慌てません。

あわせて伝えておきたいのが、コードを人に教えないという約束です。電話でコードを聞かれる、メッセージで送るよう頼まれる。どちらも正規の手続きには存在しません。手口を覚えてもらうより、この一点を共有するほうが効きます。

市場を見てきた立場からの考察

在宅で仕事を受ける人にとって、アカウントは道具ではなく信用そのものです。連絡先、納品物、請求のやり取り、過去の実績。これらは全部アカウントの内側にあります。20年この市場を運営してきた立場から見ると、機材の故障で仕事が止まった人より、ログインできなくなって止まった人のほうが、復旧に時間がかかっています。

差が出るのは、備えの量ではなく順番でした。二段階認証を入れている人の中でも、バックアップコードを保管し、認証方法を二つ以上登録している人は、端末を失っても翌日には戻っています。設定した時点で終わりにした人は、そこから数週間を本人確認の手続きに使っています。設定は入口で、運用が本体だということです。

仕事の種類によって、守る対象の重さも変わります。AIコンサル・業務活用支援のお仕事やAI・マーケティング・セキュリティのお仕事では、顧客のデータや管理画面の権限を預かります。アプリケーション開発のお仕事なら、開発環境や配布の鍵が手元にあります。自分が何を預かっているかを書き出すと、認証の基準が自然に決まります。

学び直しの入口としては、CCNA（シスコ技術者認定）のようにネットワークと認証の基礎を扱う資格が、用語の整理に向いています。手順書や報告文の形を整えたい場合は、ビジネス文書検定の範囲がそのまま実務に効きます。報酬の水準を知りたいときは、ソフトウェア作成者の年収・単価相場や著述家，記者，編集者の年収・単価相場で相場を確認できます。

最後に、手取りの話を一つ。仲介が入る取引では、発注者が払った額と受け手が受け取る額に差が生まれます。手数料0%の直接取引は、同じ予算で依頼者はより多く頼め、受け手の手取りは厚くなります。運営者として見てきた限りでは、長く続く関係ほど、こうした地味な運用の作法が共有されています。認証の設定を確実に済ませておくことは、相手に対して仕事を止めないと示す方法の一つでもあります。