コラム
MFAを有効にしたから安心、では足りない理由
多要素認証は強力ですが、不審な承認要求を自分で通す、復旧先を奪われる、セッションを盗まれるなど別の経路は残ります。
MFAは重要、それでも万能ではない
パスワードだけよりMFAを使う方が防御は強くなります。ただし「MFAを入れたから他は不要」にはなりません。
承認操作そのものを狙われる
自分で開始していないログインの承認通知を通せば、防御を自分で解除することになります。通知の意味を確認する習慣が必要です。
復旧先も認証の一部
復旧用メールや電話番号が古い、あるいは他人に取られると、MFAとは別経路でアカウント回復を悪用される可能性があります。
MFA＋履歴確認＋復旧準備
強い認証、知らないセッションの確認、復旧手段の管理をセットにすると、異常に気づいた後の対応も速くなります。