アカウントのクラッキングや窃取事件が後を絶ちません。IDとパスワードが漏えいしても、なりすましや不正アクセスを防ぐ方法として、「2段階認証」があります。2段階認証については過去に詳細記事があるので、ここでは、2017年2月より日本国内でも対応が始まったアマゾンの2段階認証について設定方法などを補足します。アマゾンも含めて2段階認証を提供する７つのサービスについて、ログインできなくなってしまった場合の対処法についてもまとめました。
＜INDEX＞
■オンラインバンキング以外でも増える「2段階認証」
■入力が面倒ならばアプリで認証する方法も
■アマゾンの2段階認証――「SMS」か「認証アプリ」を選択
■ログインできなくなった場合に備える「バックアップ」設定
■2段階認証で「ログイン不能」となった場合の対処法
＜以下本文＞
近年は、オンラインバンキングだけでなく、FacebookやTwitterのようなSNS、GoogleやMicrosoftアカウントのログインでも、2段階認証に対応するサービスが増えている。なりすましや不正アクセスを少しでも防ぎたい場合は、SNSやECサイトのログインでも有効にするとよい。
2段階認証を有効にしても、普段使うPCやスマートフォンは追加の認証をパスできる設定も可能だ。また、未登録デバイスからのログイン試行の通知を受け取る設定もできるので、自分が関知していないログイン（通常は不正アクセス）を検知することができる。
アマゾンのようなECサイトのアカウントが盗まれると、不正利用による金銭的被害を受けるかもしれない。SNSのアカウントは、直接金銭的な被害は発生しにくいが、非常にプライベートな情報や家族・友人の情報にもアクセスできるため、管理は厳重に行うべきだ。そのためにも2段階認証は有効な対策のひとつとなるので、設定しておきたい。
SNSやECサイトの2段階認証は、有効にするか無効にするか選べるようになっている。そのため、設定が面倒だから、いちいちSMSが飛んできてコードを入力するのが面倒だから、という理由で有効にしていない人がいるかもしれない。
しかし、現在のようにすべてのアカウント情報が狙われているといってよい状況で、個人情報やクレジットカード情報を扱うサービスに、2段階認証を設定しておくことは強く推奨される。もし、コード入力が面倒という場合は、スマートフォンやタブレットに届く通知を承認するだけで簡単に認証を行う方法もある（後述する表１の「通知-承認」対応サービス）。
図1 通知に答えるコード入力不要の2段階認証（Microsoftアカウントの例）
主なサイトの2段階認証は、従来からのユーザーだけが知っているはずのパスワードのほかに、スマートフォンや特定の電話などのユーザーの持ち物を使うことが多く、「記憶」と「物」の2つの要素を使うことから「2要素認証」と呼ばれることもある。このため、仮にパスワードが盗まれても、「物」が盗まれない限り、不正アクセスを防ぐことができる。
アマゾンのアカウントに2段階認証を設定する手順の概要を説明する。細かい手順は公式サイトのヘルプページに書かれているので、設定時の注意事項やどんな情報を設定すればいいかの参考情報としてほしい。
Webブラウザを使ってアマゾンのPCサイトにアクセスする。スマートフォンのブラウザの場合は、アクセス後にページの最下段にある「Amazon PCサイト」をタップするか、右上の更新アイコンを長押しし「デスクトップ用サイトを表示」を選択（iOS版Safari）、ブラウザのメニューから「PCサイトを見る」「PCサイトモード」などを選択（他のブラウザ）すると、PCサイトを表示する。
トップページ右上の「アカウントサービス」をクリックし、「アカウント設定」欄（ページ中ほど）の「アカウント設定を変更」を選択する。切り替わった画面の下の方に「高度なセキュリティ設定」という項目があるので、その右側の「編集」ボタンを押す。
この画面で図2のように2段階認証の説明や注意書きが表示されている。「設定を開始」ボタンを押せば設定が始まる。設定画面は図3のようになるはずだ。最初に設定する2段階認証に選択できるのは、「テキストメッセージ（SMS）」か「認証アプリ」のどちらかだ。
図2 「高度なセキュリティ設定」→「編集」→「設定を開始」
図3 「テキストメッセージ（SMS）」か「認証アプリ」を選択
テキストメッセージを選ぶと（図4）、設定した電話番号あてにSMSで6桁の番号が送られて来る。これを設定画面に入力し「コードを確認して続行」ボタンを押す。
図4 「テキストメッセージ（SMS）」→携帯電話番号を入力し、パスコードを受け取る
認証アプリを選択すると、図5のような画面が表示される。認証アプリはApp Store、Google Playなどから入手する必要がある。グーグルの「Google Authenticator（Google認証システム）」やマイクロソフトの「Microsoft Authenticator」など、汎用の認証アプリが無料で利用できる。
認証アプリには、個々のサービスの認証コードの設定情報をQRコードで読み取る機能がついている。画面に表示されているQRコードを認証用の端末で読み取れば、アマゾンアカウント用の認証コードを表示する（図6）ようになる。表示されているコードを設定画面に入力して「コードを確認して続行」ボタンを押す。
図5 「認証アプリ」→各ストアから入手する
図6 画面表示のQRコードを認証用端末で読み取る→アマゾンアカウント用の認証コードを表示
次の設定項目は「バックアップ手段を追加」だ（図7）。これは、いま登録した認証端末の故障、紛失、電話番号変更によって、SMSや認証アプリが利用できなくなり、ログインできなくなった場合の復旧手段として、予備の認証端末を登録する作業である。
図7 バックアップ手段を追加：予備の認証端末を登録できる機能
例えば自宅の固定電話番号（バックアップ手段にはコードの音声案内も利用できる）、テキストメッセージの受信先として、家族の携帯電話番号を登録する。なお、家族といえども他者の携帯電話やスマートフォンをバックアップとして設定する場合は、趣旨や内容を相手によく説明すること。
2段階認証の設定作業の最後に「この端末ではコードの入力は不要です。」というチェックボックスがある（図8）。現在2段階認証を設定しているWebブラウザを、引き続きメインで使用する場合には、このチェックを入れておけば、次回から2段階認証のコードを入力する必要がなくなる。が、当然この端末が盗難にあえば、アカウントは乗っ取られてしまう可能性があるので、端末ロックなどの対策も合わせて行っていただきたい。
図8 「この端末ではコードの入力は不要です。」にチェックを入れると次回からコード入力不要に
これまで当欄では、アカウントのセキュリティ機能として「Microsoftアカウント」「Apple ID」「Googleアカウント」の2段階認証、およびSNSサービスのアカウントのセキュリティ機能として「Facebook」「Twitter」「LINE」の2段階認証について解説し、悪用されることが多いSNSのアプリ連携機能の確認や解除方法についてもお伝えした（下欄に示した関連URL参照）。さらに今回は、今年2月から日本のAmazonでも利用できるようになった2段階認証についてご紹介した。
それらのサービス――「Microsoftアカウント」「Apple ID」「Googleアカウント」「Facebook」「Twitter」「LINE」「Amazon」には、アカウントにログインできなくなってしまった場合の復旧手段が用意されている。パスワード認証だけの場合にはパスワードのリセット（再設定）で対処できるが、2段階認証を利用する場合には、この2段階認証が行えなくなった場合を想定した対処方法も押さえておかなければいけない。
●「パスワードのリセット」と「2段階認証のリセット」
パスワードのリセットは、アカウントに有効なメールアドレスが登録してあると、メールに再設定用の特別なリンクを送ってもらうなどの手段で、簡単に手続きできることが多い。ところが、その用意が整っていない場合には、本人確認書類を送るなどの何らかの手続きが要求される（サービス側が十分な本人確認用の情報を保持していない場合や、ユーザーが虚偽の情報を登録しているような場合には復旧できないこともある）。
2段階認証用の端末が利用できなくなった場合には、2段階認証をリセットしないと再ログインができなくなってしまう。こちらも事前に準備しておくと、書類を送るなどの本人確認手続きを行わなくても簡単に復旧する手段が用意されている。
●2段階認証の認証手段と復旧手段
表1は、これまでにとりあげた各サービスが対応している2段階認証の認証手段と、本人確認書類などを使わずに簡単に無効化や再設定が行える復旧手段をまとめたものだ。 認証手段のSMSと音声通話に関しては、端末の買い替えやSIMの再発行などで同じ電話番号を使えるようになれば、引き続き2段階認証が行える。メールは、メールサービス側でそのメールアドレスを復旧できれば、引き続き2段階認証が行える。他の認証手段については、それぞれのサービス側で2段階認証のリセットや再設定を行う復旧作業が必要になる。利用できるものがあれば、事前に設定しておくことをお勧めする。
表１ 各サービスの2段階認証手段と復旧手段
●用意しておきたい「認証済み端末」
2段階認証なしでログインできる端末を用意しておくと、サービスにログインして復旧作業を行うことができる。このような端末を「認証済み端末」「信頼できる端末」などと呼んでおり、2段階認証に使う端末とは別の端末でサービスにアクセスできる場合には、事前に認証済み端末にしておくと復旧用に利用できる。ログイン時に、「次回からコードを要求しない」などのオプションを選択すると、以後2段階認証なしでログインできるようになる。
LINEについては、複数のスマートフォンアプリからログインすることはできない。併用できるPC版LINE/iPad版LINEがログインできるようになっている場合に限り、ログインするとLINEのトークで2段階認証のコードを受け取ることができる。
認証済み端末は、第三者に操作されるとアカウントを乗っ取られてしまうことがあるので注意したい。端末をロックする、サービスの利用後は必ずログアウトする、サービスに自動的にログインする機能やID／パスワードの自動入力機能は使わないといった対策で、リスクを軽減できる。なお、サービスによっては、パスワードや2段階認証を変更すると認証済み端末がリセットされ、再ログインを要求されることがあるので注意したい。もしもの時にログインできないことがないように、変更時にはログインできることを再確認しておくことをお勧めする。
図9 赤線内でチェックを入れると「認証済み」になり、以後2段階認証なしでログイン可能に
●端末1台のユーザーには「復旧コード」が唯一の手段
多くのサービスでは、2段階認証なしでログインできる特別なコードが用意されている。Appleでは「復旧キー」、GoogleとTwitterでは「バックアップコード」、マイクロソフトでは「回復用コード」、Facebookでは「リカバリーコード」と呼んでいるものがそれだ。コードを使用すると、認証済み端末以外でも2段階認証なしでサービスにログインでき、復旧作業を行うことができる。たいていは一度しか使えない使い捨てのコードなので、使用後に再発行しておくことをお忘れなく。盗まれると危険なコードなので、プリントアウトするなどして大切に保管していただきたい。窃取の可能性がある場合には、再発行すれば以前のコードが無効になる。
図10 復旧コードの発行（Microsoftアカウントの例）
復旧コードは、端末が1台しかない方にとって唯一のバックアップ手段になるが、LINEとAmazonは対応していない。LINEについては、同じ電話番号で認証コードを受け取ることができれば、引き続き2段階認証が利用できる。Amazonについては、他の手段が利用できない場合はカスタマーサービスに連絡し、個人確認書類を使ったリセット手続きを依頼する。2段階認証を設定したアカウントのリセット手続きについては、以下のページで案内している。
・2段階認証の設定を変更できない場合（アマゾン）
https://www.amazon.co.jp/gp/help/customer/display.html/ref=hp_left_v4_sib?ie=UTF8&nodeId=202073840
図11 本人確認書類を用いるAmazonの2段階認証リセット手続き
●「認証手段の追加」――Twitter、LINEは“組み合わせ”に注意
複数の認証手段を利用できる場合には、できる範囲で用意しておくと、１つが利用できなくなっても他の手段を使って認証することができる。対応する複数の認証手段を自由に組み合わせることのできるサービスと、TwitterやLINEのように、組み合わせが固定されているサービスとがある。
Twitterについては、SMSと認証アプリの2つだけなので、両方を同じ端末に設定した場合には、認証手段を同時に失ってしまうことになる。SMSが復旧するまでサービスの利用を待てない方は、他の手段を用意しておく必要がある。
LINEについては、そもそもが機種変更時のアカウント情報引き継ぎ用のセキュリティ機能なので、組み合わせが固定されていることに問題はない。注意しなければいけないのは、事前にメールアドレスとパスワードを登録してアカウントにログインできるようにしておかないと、LINEを使用していた端末を失った際に、新しい端末にアカウント情報を引き継げなくなってしまう点だ。アカウントにログインできず新規登録してしまうと、同じ電話番号を使用しても新規のアカウントが作成され、以前の友だちリストや購入したスタンプなどを全て失ってしまう。
今回2段階認証についてご紹介したAmazonの場合には、2段階認証の設定手順の中にこの設定が組み込まれており、別の電話番号か認証アプリをバックアップ手段として登録することが必須となっている。
（執筆：現代フォーラム/中尾）
<関連URL>
不正ログインを防ぐパスワードの設定と管理（前編）――Microsoft、Apple、Googleの2段階認証
http://gendaiforum.typepad.jp/column/2016/07/不正ログインを防ぐパスワードの設定と管理前編microsoftapplegoogleの2段階認証2.html
不正ログインを防ぐパスワードの設定と管理（後編）――Facebook、Twitter、LINEの2段階認証
http://gendaiforum.typepad.jp/column/2016/08/不正ログインを防ぐパスワードの設定と管理後編facebooktwitterlineの2段階認証2.html