2FA を設定すると、ハッカーがパスワードを盗んだとしても問題ありません。2FA 認証コードやデバイスにアクセスできないため、ハッカーは動けなくなります。

SMSベースの2FAは最も弱い種類である

追加の認証手段は何でも、何もないよりはましです。しかし、SMSは利用可能な認証方法の中で最も脆弱です。電話番号は、単純に安全な身元確認手段とは言えません。悪意のある人物は、SIMスワッピングと呼ばれる攻撃で、通信事業者を騙してあなたの電話番号を自社のSIMカードに転送させたり、別の会社に金を払ってあなたのテキストメッセージを自社の番号に転送させたりする可能性があります。どちらの場合も、SMSの2FAコードを受け取ってしまい、問題なくアカウントに侵入されてしまう可能性があります。

これは2要素認証の問題だけではありません。アカウントのユーザー名として電話番号を利用することにもリスクが伴います。この国では電話番号の使い回しが非常に多く、以前誰かの電話番号だった可能性も十分にあります。もしその人が同じ番号を変更せずにアカウントにも使用していた場合、その番号でサインインすると、その人のアカウントにアクセスできてしまう可能性があります。これはWhatsAppにとって大きな問題であり、誰かが古い番号でログインしたためにユーザーがアカウントにアクセスできなくなったという報告があります。

SMSベースの議論が再開されたのはTwitterのおかげだ

SMSによる2FAは、イーロン・マスク氏のTwitterが無料アカウントの認証方法を廃止したことで話題になっています。3月20日から、Twitter Blueの加入者のみがSMSベースの2FAを利用できるようになります。その後、マスク氏から8ドルを貪欲に受け取り続けるユーザーに対しては、SMSによる2FAが無効化されます。

Twitterは引き続き、他の形式の2FAを無料でサポートします。それでもなお、この動きは愚かです。そもそも、ユーザーに2FAのような高度なセキュリティ対策を導入してもらうこと自体が困難です。時間をかけて別の2FAを設定する人もいるかもしれませんが、多くの人はそうしません。つまり、3月20日にはTwitterユーザーベースのかなりの部分が脆弱な状態になるということです。賢明なのは、ユーザーベースにより安全な2FAへの切り替えを促すことです。イーロンがそうしないのであれば、私がそうします。より安全な2FA方式をお使いください。

2FAの代わりに認証アプリやセキュリティキーを使用する必要がある

無料の Twitter アカウントを保護しようとしている場合でも、他のアカウントを保護しようとしている場合でも、利用可能な場合は別の 2FA オプションを選択すると、セキュリティを強化できます。

最も便利な代替手段は、認証アプリを使うことです。Google Authenticator (iOS | Android) や Microsoft Authenticator (iOS | Android) などの専用の認証アプリは、30秒ごとに生成される2要素認証コードとアカウントを紐付けます。ログインする際は、アプリを開いてコードを確認し、入力します。コードを確認するには、認証アプリがインストールされているデバイスに物理的にアクセスする必要があるため、リモートからプロセスを乗っ取られるリスクを排除できます。AppleはiPhoneとMacのパスワードマネージャーにも認証アプリを内蔵しているので、使い始めるために追加のアプリをダウンロードする必要はありません。

もう一つの安全な2FAオプションはセキュリティキーです。これは物理的な認証アプリのような役割を果たします。このオプションを設定すると、アカウントでデバイスをセキュリティキーに接続するように求められます。接続方法は、デバイスに直接接続するか、NFCなどのワイヤレス通信を使用します。無料の認証アプリを使用するよりも利便性ははるかに劣りますが、アカウントのセキュリティを強力に強化します。

電話番号は電話番号として使い、通話とテキストメッセージに使いましょう。認証はプロに任せれば、オンラインでの安全性が少し高まります。

次の記事へスクロールしてください