多要素認証 とは？

パスワードだけだと、パスワードが漏れた瞬間に全てのアカウントが危険になるからだよ。「もう一つ別の確認」があると、パスワードを盗まれてもすぐには侵入できないんだ。

「知識（あなたが知っているもの）」「所持（あなたが持っているもの）」「生体（あなた自身の身体的特徴）」の3つだよ。パスワードが知識、スマホが所持、指紋・顔が生体で、それぞれ違う種類から2つ以上を使うのが多要素認証だんだ。

似てるけど微妙に違う。「2段階認証」はログインを2段階で行うこと全般で、例えばパスワードを2回入力する場合も含む。「2要素認証」は異なる種類の要素を組み合わせること。2つのパスワードは2要素認証じゃなくて2段階認証だね。

他の手段と比べると弱い側面があるよ。「SIMスワップ攻撃」といって電話番号を攻撃者のSIMに移されてしまうと、SMSが傍受されてしまう。認証アプリ（Google AuthenticatorやAuthy）はオフラインで生成するからSIMスワップに強いし、FIDO2対応のハードウェアキーはさらに強力だよ。

あるんだ。フィッシングの話でも出てきたけど「リアルタイムフィッシング（AiTM攻撃）」では偽サイトが中継役になってOTPを即座に使ってしまう。また「MFA疲労攻撃」という手法で、攻撃者が何十回も認証プッシュ通知を送り続けて、うんざりしたユーザーが誤って承認してしまうケースも報告されているよ。これらへの対策としてFIDO2/パスキーのような「フィッシング耐性のある認証」が注目されているんだ。