二段階認証を突破される4つの手口｜設定していても乗っ取られる理由と、破られにくいパスキー・番号照合の使い方

01この記事でわかること（3行まとめ）

• 二段階認証が破られる主な手口は4つです。偽サイトにコードまで入れさせる「リアルタイムフィッシング」、承認の通知を何度も送りつける手口、SIMスワップ、ログイン後の目印（セッションCookie）を盗む手口です。
• 弱いのはSMSやメールで届くコードです。金融庁・警察庁などの広報資料は、メールやSMSに届くワンタイムパスワードはリアルタイムフィッシングに弱いと書いています。
• 破られにくいのはパスキー（FIDO）です。すぐに替えられないサービスでは、認証アプリの番号照合を使い、覚えのない通知は承認しないことが大切です。

02そもそも二段階認証は何を守っているのか

総務省の「国民のためのサイバーセキュリティサイト」は、多要素認証を「通常のユーザ名とパスワードに加え、追加のセキュリティ要素を使用してアカウントへのアクセスを確認する方法」と説明しています。要素は3種類です。

• 知っているもの（知識要素）：パスワードなど
• 持っているもの（所持要素）：スマートフォンなど
• 本人自身に関するもの（生体要素）：指紋、静脈、顔、虹彩など

このうち2つ以上を組み合わせるのが多要素認証です。パスワードが漏れても、もう一つの要素がなければ入れない。これが二段階認証の考え方です。CISAも、二段階目があれば、パスワードが漏れただけでは入れないと説明しています。

ただし、CISAは同じ資料で「すべての多要素認証が同じように安全なわけではない」とも書いています。フィッシング、承認通知の連打、電話網の弱点の悪用、SIMスワップで突破されうる方式がある、という指摘です。一方で「どの多要素認証でも、ないよりは良い」とも明記しています。二段階認証をやめる理由にはなりません。弱い方式から強い方式へ替えていく、というのがこの記事の結論です。

03二段階認証が突破される4つの手口（一覧）

CISAの資料と、金融庁・警察庁などの広報資料、Microsoftの説明をもとに、個人がよく出会う手口を4つに整理しました。

このうち最初の3つは「ログインの瞬間」を狙う手口、4つ目は「ログインした後」を狙う手口です。対策も少し違うので、順番に見ていきます。

04手口1：リアルタイムフィッシング（偽サイトにコードまで入力させる）

金融庁・警察庁と、全国銀行協会・日本証券業協会などが2026年4月に作った広報チラシは、リアルタイムフィッシングを次のように説明しています。

「金融犯罪者が利用者から入力された認証情報を即座に盗み取り、リアルタイムに正規サイトへ不正ログインする手口」

流れはこうです。銀行や通販サイトを名乗るメールやSMSが届きます。リンク先は本物そっくりの偽サイトです。そこでIDとパスワードを入れると、次に「確認コードを入力してください」と出ます。スマートフォンには本物のサービスからコードが届いています。犯人が裏で本物にログインしようとしているからです。そのコードを偽サイトに入れた瞬間、犯人は本物のサイトにログインできてしまいます。

コードは数十秒〜数分で使えなくなります。それでも、犯人がその場で使えば間に合います。「コードは使い捨てだから安全」とは言えないのはこのためです。

同じチラシは「メールやSMSに届くワンタイムパスワードを利用した多要素認証は、リアルタイムフィッシングに脆弱なほか、中間者攻撃、マルウェアによる窃取等により突破される場合があります」と注意しています。CISAも、偽のログインページでユーザー名とパスワードに加えて認証アプリの6桁のコードまで入力させる例を挙げています。つまり認証アプリのコードでも、偽サイトに自分で入れてしまえば同じです。

見分け方の基本は、メールやSMSのリンクからログインしないことです。警察庁は「金融機関が、ＩＤ、パスワード等をメールやＳＭＳで問い合わせることはありません」としています。公式サイトはブックマークから、または公式アプリから開きます。偽メールの見分け方はフィッシングの用語ページとAmazonの偽メールの記事にまとめています。

05手口2：承認の通知を何度も送りつける（プッシュ通知の連打）

スマートフォンに「サインインを承認しますか？」と出て、「承認」を押すだけでログインできる方式があります。手軽ですが、ここを狙う手口があります。CISAはこれを「プッシュ爆撃（push bombing）」「MFA疲労（MFA fatigue）」と呼んでいます。

CISAの説明では、犯人は何らかの方法で手に入れたパスワードを入力し、本人のスマートフォンに短い時間で大量の承認通知を送ります。本人はうるさくて止めたくなったり、「どれかは自分のものかも」と勘違いしたりして、承認を押してしまう。その結果、犯人のログインを自分で許してしまう、というものです。

この手口が成り立つ前提は、犯人がすでにパスワードを知っていることです。覚えのない承認通知が来たら、それは「パスワードが漏れている」というサインでもあります。

• 自分でログインしていないときの承認通知は、押さずに「拒否」する
• 何度も来るなら、そのサービスのパスワードをすぐ変える
• 会社のアカウントなら、情報システムの担当者に知らせる（CISAも、覚えのない通知を報告するよう利用者を教育することを勧めています）

この手口への対策として広まったのが、後で説明する「番号照合」です。

06手口3：SIMスワップ（電話番号ごと奪われる）

CISAはSIMスワップを、犯人が携帯電話会社をだまして、本人の電話番号を犯人の持つSIMカードに移させる手口だと説明しています。こうなると、SMSで届く確認コードは犯人のスマートフォンに届きます。CISAの比較表では、SMSや音声通話のコードは「フィッシング、電話網の弱点の悪用、SIMスワップに弱い」とされ、「最後の手段としてだけ使うべき」と書かれています。

日本でも無関係ではありません。警察庁の「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」は、令和4年から5年にかけてのネットバンキングの不正送金事件で、同じ犯行グループがSIMスワップという手口を使いながら組織的に不正送金をしていた実態を解明し、指示役とみられる男を令和6年7月に逮捕した事例を載せています。

SIMスワップの仕組み、突然スマートフォンが圏外になったときの対処、携帯電話会社でできる設定は、SIMスワップの記事で詳しく説明しています。ここでは「SMSのコードは電話番号を奪われると無力になる」ことだけ覚えておいてください。

07手口4：セッションCookieの窃取（ログインした後の目印を盗む）

ここまでの3つは、ログインの瞬間を狙う手口でした。4つ目は少し性質が違います。

Webサービスにログインすると、ブラウザには「この人はパスワードも二段階目も確認済み」という目印が保存されます。これがセッションCookieやトークンです。毎回パスワードを聞かれずに済むのは、この目印のおかげです。

Microsoftは、この目印（トークン）が盗まれる攻撃について、「ユーザーが多要素認証を満たしている場合でも」、犯人がユーザーに発行されたトークンを盗んで使うと、認証の要件はもう満たされているため、犯人がアクセスできてしまうと説明しています。つまり、二段階認証を「済ませた後の状態」をそのまま持っていかれるのです。

盗まれる経路としてよく挙がるのは次の2つです。

• 偽サイトが本物との間に入って中継する：Microsoftは、利用者と本物のサイトの間に割り込むフィッシングの道具（AiTMフィッシングキット）が攻撃の入口になりうると書いています。
• 情報を盗むマルウェアに感染する：パソコンに入り込み、保存されたパスワードやログイン情報を盗むタイプです。警察庁の同じ資料は、情報窃取型マルウェア「インフォスティーラー」への国際共同捜査で、日本の警察が働きかけた結果、129台の指令サーバーが停止された（令和7年6月にINTERPOLが発表）と紹介しています。

この手口は、ログインの方式を強くするだけでは防ぎきれません。パソコンやスマートフォンを安全に保つこと、そして「おかしい」と思ったらすべての端末からログアウトさせることが大事になります。Microsoftの対応手順でも、パスワードの変更と、発行済みのトークンの取り消しが挙がっています。

08方式ごとの強さの比較表

CISAは多要素認証の方式を「強い順」に並べた表を公表しています。それをもとに、日本で身近な方式に当てはめました。上ほど破られにくい方式です。

表の「強い」「弱い」はCISAの記述を言い換えたものです。CISAは、広く使えるフィッシング耐性のある方式は「FIDO/WebAuthnだけ」としています。なお、セッションCookieの窃取はログイン後の話なので、この表のどの方式でも、端末の安全が保たれていなければ防ぎきれない点に注意してください。

日本の金融行政も同じ方向です。金融庁は2026年4月16日、フィッシング耐性のある多要素認証の導入などを盛り込んだ監督指針・事務ガイドラインの改正を実施していると案内し、銀行・信用金庫・信用組合・労働金庫・証券会社と金融庁・警察庁が連携した広報を始めました。証券会社向けの監督指針の改正（新旧対照表）では、ログイン・出金・出金先銀行口座の変更など重要な操作で、パスキーやPKIを例にした「フィッシングに耐性のある多要素認証」を実装し、標準の設定として必須にすることが求められています。

09破られにくい方式1：パスキー（FIDO）

パスキーは、パスワードの代わりに、スマートフォンやパソコンの指紋認証・顔認証・画面ロックのPINでログインする方式です。言葉の意味はパスキーの用語ページにもあります。

金融庁などのチラシは、パスキーの利点を2つ挙げています。

• パスワードレスでより安全：端末に保存された秘密の鍵で認証するので、パスワードを入力する必要がない。盗む「パスワード」そのものがない。
• フィッシングサイトをブロック：端末の側で本物のサイトかどうかを確かめるため、人間に代わってフィッシングサイトをはじく。

ここが、SMSのコードとの一番の違いです。コードは人が目で見て打ち込むので、偽サイトに入れてしまえば終わりです。パスキーは、登録した本物のサイトでしか使えない仕組みなので、偽サイトに誘導されても使えません。チラシも「もしもフィッシングサイトに誘導されても、パスキー・PKI認証があなたを守る」としています。

Googleのヘルプも、パスキーは共有・コピー・書き留めができず、誤って他人に渡してしまう心配がないこと、フィッシングに対する保護を強化できることを説明しています。指紋や顔のデータは端末に保存され、Googleと共有されることはありません。

注意点もあります。Googleは、パスキーを作ると、そのデバイスのロックを解除できる人は誰でもアカウントにアクセスできるとして、自分が所有して使っている端末でだけ作り、共有の端末では作らないよう案内しています。スマートフォンの画面ロックは必ずかけておきましょう。

10破られにくい方式2：認証アプリの番号照合

番号照合は、プッシュ通知の連打への対策です。ログイン画面に数字が出て、スマートフォンの認証アプリにその数字を入れないと承認できない仕組みです。

CISAは、番号照合が連打を防ぐ理由を2つ挙げています。ログイン画面を見ている人でないと承認できないこと、そして通知のたびに数字が変わるので、通知を大量に送っても意味がなくなることです。CISAは、すぐにフィッシング耐性のある方式に替えられない組織にとって「最善のつなぎの対策の一つ」と位置づけています。

Microsoftは、Microsoft Authenticatorのすべてのプッシュ通知で番号照合が有効になると説明しており、利用者が番号照合をやめることはできません。

ただし、番号照合は偽サイトには弱いままです。CISAの表でも、認証アプリの方式は「フィッシングに弱い」とされています。番号照合は「通知の連打」への対策、パスキーは「偽サイト」への対策と分けて覚えると混乱しません。

11今すぐやること：二段階認証を「破られにくく」する設定

1. 大事なアカウントから順にパスキーを登録する：メール（Google・Microsoftなど）、ネットバンキング、証券、通販、SNSの順がおすすめです。メールを取られると、ほかのサービスのパスワード再設定まで乗っ取られるからです。Googleでは、ヘルプにある「パスキーを作成する」の手順で登録できます（画面の名前は変わることがあります）。
2. パスキーに対応していないサービスは、SMSより認証アプリを選ぶ：CISAの表では、SMSより認証アプリのほうが上です。
3. メールやSMSのリンクからログインしない：公式サイトはブックマークから、または公式アプリから開きます。リアルタイムフィッシングはこれだけでかなり避けられます。
4. 自分で操作していない承認通知・確認コードは使わない：通知は「拒否」、コードは誰にも教えず、どこにも入力しません。
5. パスワードを使い回さない：警察庁は、一つ盗まれると銀行やSNS、通販など全部が乗っ取られる被害に遭うとして、サイトごとに違うものにするよう求めています。覚えられないときはパスワード管理アプリを使います。
6. OS・ブラウザ・アプリを最新にし、心当たりのない拡張機能やアプリを消す：セッションCookieを盗むマルウェアへの備えです。
7. ログイン通知をオンにする：新しい端末からのログインに早く気づけます。

12突破されたかも？と思ったときの確認

• ログイン中の端末・ログイン履歴を見る：多くのサービスに「ログイン中の端末」「最近のアクティビティ」などの画面があります。覚えのない端末や場所がないか確かめます。
• 覚えのない端末はログアウトさせ、パスワードを変える：セッションCookieを盗まれた場合に備え、「すべての端末からログアウト」があれば使います。
• 二段階認証の設定が書き換えられていないか見る：登録した電話番号、認証アプリ、パスキーに覚えのないものが増えていないか。Microsoftの対応手順でも、追加された認証情報やデバイスの削除が挙がっています。
• メールの転送設定・自動振り分けを見る：知らない転送先があれば消します。乗っ取りに気づかせないために使われることがあります。
• 同じパスワードを使っているほかのサービスも変える：警察庁は、偽サイトにIDやパスワードを入れてしまったら、それを使っている全てのサービスでパスワードを速やかに変えるよう案内しています。
• お金が動いていないか確かめる：ネットバンキングやカードの明細を見ます。不正送金が疑われるときの動き方はネットバンキングの不正送金の記事にまとめています。

もうログインできない場合の取り戻し方はサービスごとに違います。LINEならLINE乗っ取りの記事、FacebookならFacebook乗っ取りの記事を見てください。乗っ取り全般の守り方は乗っ取り・不正ログインの悩みのページにあります。

13会社のアカウントを守る管理者の対策

• 管理者アカウントから先にフィッシング耐性のある方式へ：CISAは、システム管理者など狙われやすい人から、フィッシング耐性のある方式に移すか、その計画を立てるよう強く求めています。
• プッシュ通知を使うなら番号照合を必ず有効に：すぐにパスキーに替えられない間のつなぎとして、CISAが勧めている設定です。
• 拒否された承認通知を調べる：CISAは、利用者が拒否した通知を調べることも勧めています。拒否が続くアカウントは、パスワードが漏れている可能性があります。
• 覚えのない通知を報告する決まりを作る：連打されても押さず、すぐ担当者に知らせる。訓練の題材にもなります。
• 多要素認証に対応していないシステムを洗い出す：CISAは、対応していないシステムを特定し、更新か移行の計画を立て、経営層に伝えるよう勧めています。
• パソコンの守りを固める：セッションCookieを盗むマルウェアは、端末に入り込んで動きます。EDR（法人向けウイルス対策）なども検討します。

社員のアカウントが乗っ取られて取引先に偽メールが送られた場合は、被害にあったら（場面別）のページから「社員メール乗っ取り」を見てください。

14困ったときの相談先

• そのサービスの公式の問い合わせ窓口：アカウントを取り戻す手続きは、サービスごとに決まっています。メールやSMSに書かれた連絡先ではなく、公式サイトやアプリから探してください。
• 警察（最寄りの警察署、サイバー事案に関する通報等のオンライン受付窓口）：警察庁は、フィッシングの被害に遭ったら最寄りの警察署かオンライン受付窓口に通報・相談するよう案内しています。警察相談専用電話「#9110」（全国共通）も案内されています。
• IPA 情報セキュリティ安心相談窓口（03-5978-7509）：一般的な情報セキュリティの技術的な相談先として、警察庁のページで案内されています。
• 消費者ホットライン「188」：商品やサービスなど消費生活全般の相談先として、警察庁のページで案内されています。
• フィッシング110番（インターネット・ホットラインセンター）：フィッシングサイトを見つけたときの通報先として、警察庁が案内しています。

お金の被害が出ているときは、先に銀行やカード会社へ連絡して止めてもらうことが最優先です。

15よくある質問