二段階認証・2要素認証は突破される？回避されうる経路とそれでも導入する理由

「2要素認証を入れても突破されることがある」と聞いて、導入をためらう担当者の方は少なくありません。この指摘には正しい面がありますが、「だから意味がない」という結論にはなりません。

大切なのは、どの経路に効いて、どの経路には効かないのかを把握し、効かない部分を別の対策で埋めることです。この記事では、回避されうる経路の類型と、それでも認証を強化する意味を整理します。

二段階認証・2要素認証は本当に突破されるのか

まず、「突破」と言われる話の中身を分けて見ます。

回避された事例の多くは、認証の仕組みそのものが破られた話ではありません。利用者の判断を利用する、認証後の状態を狙う、認証を求めない別の入口を使う、といった認証の周辺にある隙を突いたものです。

用語の整理は2段階認証と2要素認証の違いで扱っています。

回避されうる経路の4つの類型

個別の手口より、「どんな類型があるか」の見取り図を押さえます。

1. 利用者本人に認証させてしまう類型

本物に見えるログイン画面を用意し、利用者自身に認証を通させるものです。仕組みは正常に動いていますが、利用者が本物だと思って応じてしまいます。

確認の通知が何度も届き、煩わしさから応じてしまうケースもここに入ります（多要素認証の基本）。

2. 認証を経た後の状態を狙う類型

認証が済んだ後の、その利用者として使い続けられる状態を狙うものです。端末がマルウェアに感染していれば、認証の強さとは無関係に操作が悪用されえます（UTM・エンドポイント対策と認証強化の違い）。

3. 認証を要求しない別の入口が残っている類型

業務システムには2要素認証を入れたが、社内サーバーのログインやリモートアクセスの一部がパスワードのみ、というパターンです。攻撃者は強い扉を叩かず、鍵のかかっていない扉を探すだけで済みます。

4. 復旧・例外手続きの隙を突く類型

端末の紛失時などの復旧手続きで本人確認が甘いと、そこが迂回路になります。管理者が一時的に認証を外す運用も、手順と承認がなければ同じです。

実例：本人の操作によらない多要素認証の通知（2026年10月）

2026年10月16日、Astemo株式会社は、業務委託会社の従業員のアカウントが第三者に侵害され、そのアカウントを通じてデータ共有クラウドから一部のデータが流出したと公表しました。調査の結果、2026年9月2日ごろ、そのアカウントで「ログイン異常」と「本人の操作によらない多要素認証の通知」が発生していたことが分かったとしています（Astemoの公表資料）。

公表では、通知にどう対応されたか、どのように突破されたかまでは明らかにされていません。ただ、この事例から分かることが2つあります。

• 身に覚えのない確認の通知は、パスワードが他人の手に渡っている合図になりうる。通知を断るだけでなく、すぐに報告する決まりにしておきます。
• 委託先のアカウントは、自社の目が届きにくい。委託先に渡しているアカウントで、自社のどのPC・サーバー・クラウドに入れるかを一覧にしておきます。

同じ時期に公表された委託先経由の事案は不正アクセスの最新ニュース一覧、保守業者の正規アカウントで社内のサーバーに入られた事例は大阪公立大学・NEC委託先の不正アクセスで整理しています。

方式によって耐性は変わる

同じ「2要素認証」でも、組み合わせる要素で耐性が変わります。

物理デバイスを使う方式はハードウェアセキュリティキーの解説にまとめています。方式はコストや運用負荷とあわせて選びます。

実務でいちばん多いのは「認証を要求しない入口」

現場で最も多く問題になるのは、洗練された手口ではなく類型3です。

クラウドは強化したのに、ファイルサーバーやPCへのログイン、外部からのリモートアクセスがパスワードのみ。特定の利用者や役職だけを例外にする運用も、同じ抜け道になります。

社内側の入口はWindows OSログインの2要素認証、外部からの入口はVPN機器の脆弱性が狙われる理由・社内Wi-Fiの入口を参照してください。強化の前に、まず入口を洗い出すほうが効果的な場合が多くあります。

類型ごとに何をすれば塞がるのか

4つの類型それぞれの手当てと、かかる費用の目安です。

パスワードリセット時のなりすましはパスワードリセット依頼のなりすまし対策で扱っています。

それでも2要素認証を導入する理由

回避の経路があっても、確実に効く部分があります。

それは、盗まれたパスワードだけで入られる経路を塞ぐことです。漏えいした認証情報をそのまま試す手口は手間がかからず、だからこそ広く狙われます（パスワード漏えいが招く影響）。

攻撃の大部分は、手間のかからない相手を広く探すものです。パスワードだけで入れる状態をなくせば、その大部分の対象から外れます。ランサムウェアのどの経路に効くかは多要素認証はランサムウェアに有効かで扱っています。

特に見落とされやすいのが、社内のWindows PC・Windows Serverへのログインです。クラウドサービスに2要素認証を入れていても、社内のPC・サーバーにはパスワードだけで入れる会社は少なくありません。入口（VPN・社内Wi-Fi）から入られたあとに被害が広がるのはこの部分です。社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証にまとめています。

導入するときに合わせて決めておくこと

効かない領域を減らすには、運用もあわせて設計します。最低限、次の5点です。

• 例外を作らない範囲 — 対象は「全利用者・全入口」。例外は期限と理由を残す
• 復旧手続きの本人確認 — 端末を失ったときの再登録で、誰がどう確認するか
• 認証を経ない入口の棚卸し — 社内サーバー、PCログイン、リモートアクセス、保守用の接続まで
• 認証後の挙動に気づく運用 — 普段と違う時間帯・場所からの利用をログで確認する
• 利用者への周知 — 身に覚えのない確認要求には応じず、報告する窓口を示す

入れたあと日々の仕事で変わること

上の5点のうち「入口の棚卸し」と「認証後の挙動に気づく運用」は、手作業だと続きにくい部分です。全PC・サーバーのログイン記録と2要素認証の設定状況を1か所で見られるようにしておくと、どの人・どの端末に設定が残っていないかが一覧で分かり、声をかける相手に迷いません。社員から「身に覚えのない通知が来た」と報告があったときも、その時刻に誰がどのPCに入ろうとしたかを、席まで行かずに画面で確かめられます。

利用者の側も、本人のスマホを鍵にしたワンタッチログインなら、毎回の操作はスマホでワンタッチです。手間が増えにくい方式を選ぶと、例外を作りたいという声も出にくくなります。

いまの運用を棚卸ししてみる

強化から始めるか、認証を経ない入口の棚卸しから始めるかは、いまの状況で変わります。applippliの無料棚卸しでは、10問・約3分で、自社の認証やアクセス管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。