MFAやパスキーを設定したら、復旧方法まで確認する

認証を強くすることと、自分が戻れることはセット

パスワードだけの状態からMFAやパスキーへ移るのは、不正ログインを減らすうえで有効です。ただし、認証に使っていたスマホを紛失した、故障した、電話番号が変わった、といったときに自分自身がアカウントへ戻れない状態では運用が続きません。

強い認証を設定するときは、「普段どう入るか」だけでなく「その方法が使えなくなったらどう戻るか」まで確認しておきます。Googleも、2段階認証でメインのスマートフォンを使えなくなった場合に、別の端末、別の電話番号、バックアップコード、別のセキュリティキーやパスキーなど複数の代替手段を案内しています。

認証設定と復旧設定は別の作業ではなく、一つの設定作業として考える方が実用的です。

まず「今の認証手段が使えないとき、何で戻るか」を確認する

サービスによって使える方法は違いますが、確認したいのは次のような項目です。

• 復旧用メールアドレスは現在も使えるか
• 復旧用電話番号は自分・会社が管理している番号か
• 別のログイン済み端末があるか
• 予備のパスキーやセキュリティキーを使えるか
• バックアップコードを発行できるか
• 組織アカウントなら管理者による復旧経路があるか

全部を用意する必要はありません。大切なのは、メインのスマホ1台を失っただけで全経路が消えないことです。

具体的な設定を一つずつ整える場合は、パスキー・MFA・復旧をセットで整えるガイドも使えます。

強いログインを追加しても、古い復旧先が弱いままなら見直す

パスキーを追加したからといって、アカウントに残っている他の入口が自動的に消えるとは限りません。古い電話番号、もう使っていないメールアドレス、以前の端末、不要になった認証方法が残っていることがあります。

攻撃者から見れば、最も強い方法を正面から破る必要はないので、サービス側が別のログイン方法や復旧経路を許しているなら、そこが狙われる場合があります。

一方で、弱そうに見える方法を何でも消せばよいわけでもありません。自分の復旧手段までなくさないよう、「今も必要な入口」と「もう不要な古い入口」を区別して整理しておきましょう。MFA・2FAと各方式の強さについては、MFA・2FA・2段階認証の違いでも整理しています。

バックアップコードは「予備の鍵」として別の場所に保管する

バックアップコードを発行できるサービスでは、スマホを失ったときの有力な復旧手段になります。ただし、コードそのものを見られれば他人に使われる可能性があるため、普段使う認証端末と同じ場所だけに置くのは避けます。

Googleのバックアップコードは1回使用すると無効になり、新しいセットを発行すると古いセットも無効になります。サービスごとに仕様は違うため、発行時の説明を確認してください。

紙で安全な場所に保管する、管理されたパスワードマネージャー等に保管するなど、端末を紛失したときにも一緒に失わない保管方法を考えます。コードを人へ送ったり、問い合わせ相手へ読み上げたりしてはいけません。

機種変更・番号変更・退職は、復旧設定を見直すタイミング

復旧情報は一度設定して終わりではありません。古くなりやすいのは、

• スマホを機種変更した
• 電話番号を変更した
• メールアドレスを変更・廃止した
• パスキーや認証アプリを新端末へ移した
• 会社で担当者が異動・退職した

といったときです。新しい端末からログインできたことだけで安心せず、古い端末・古い電話番号・不要なパスキーやセキュリティキーなどが残っていないか確認します。

紛失した端末は、サービスによってログアウトやパスキー削除などの操作が必要です。Googleも、紛失したスマートフォンやセキュリティキーに対して、ログアウトや登録削除、新しい認証手段への切り替えを案内しています。

最後に「1台なくしても戻れるか」を想像して確認する

設定画面を見ても分かりにくい場合は、単純な問いに置き換えると確認しやすくなります。

「今このスマホが壊れたら、自分は何を使ってこのアカウントへ戻る？」

答えが一つも出てこなければ、復旧方法を追加・確認する余地があります。逆に、昔の番号や知らない端末がいくつも出てくるなら、不要な経路を整理する余地があるということになります。

重要なアカウントをまとめて点検したい場合は、アカウント安全チェックで、パスワード、MFA、復旧手段、不明なログインを一緒に確認できます。