二段階認証を設定したのに乗っ取られるケース
二段階認証（2FA）は、アカウント乗っ取りを防ぐ最も効果的な対策です。当社でも繰り返しおすすめしています。
ただし「設定したから絶対安全」ではありません。2FAを設定していても乗っ取られるケースが、実際に存在します。今日はその手口と、防ぎ方を整理します。
ケース1：偽サイトでコードごと入力させられる
最も多いのがこれです。
- フィッシングメールから偽のログイン画面へ誘導される
- ID・パスワードを入力する
- 偽サイトがリアルタイムで本物のサイトにログインを試みる
- 本物から認証コードがあなたのスマホに届く
- 偽サイトが「認証コードを入力してください」と表示する
- あなたが入力すると、そのコードが犯人に渡る
犯人はコードの有効時間内に本物へログインします。2FAが「その場で中継」されて突破されるわけです。
防ぎ方
- ログイン画面はメールのリンクから開かない。これに尽きます
- パスキー・FIDO2セキュリティキーを使う（後述しますが、この方式は原理的に中継できません）
- 認証コードの通知に書かれたサービス名と、自分が今開いている画面が一致しているか確認する
ケース2：SMSの乗っ取り（SIMスワップ）
犯人が携帯会社を騙してあなたの電話番号を別のSIMに移す手口です。番号が移れば、SMSで届く認証コードは犯人に届きます。
日本ではまだ多くありませんが、海外では深刻な被害が出ています。
防ぎ方
- SMSではなく認証アプリを使う（Google Authenticator、Microsoft Authenticator など）
- 携帯会社の契約に暗証番号や本人確認の強化を設定しておく
- 突然圏外になり復帰しない場合は、すぐ携帯会社に連絡する（乗っ取りのサインです）
認証方式が選べるなら、SMSより認証アプリのほうが安全です。
ケース3：「認証疲れ」を突かれる
プッシュ通知型の2FA（「ログインを承認しますか？」が届くタイプ）を狙った手口です。
犯人が深夜に何十回も承認要求を送り続け、根負けした利用者がうっかり「承認」を押してしまう——これを狙います。実際に大企業の侵害でも使われた手法です。
防ぎ方
- 身に覚えのない承認要求は、絶対に承認しない
- 繰り返し来る場合は、パスワードが既に漏れている証拠です。すぐ変更してください
- 番号照合型（画面の数字を入力する方式）が選べるなら、そちらにする
ケース4：セッションを盗まれる
ログイン後に発行される「ログイン状態を保持する情報（Cookie）」を盗まれるパターンです。これを持っていれば、パスワードも2FAも通さずにログイン済み状態を再現できます。
情報を盗むマルウェアに感染していると起こります。
防ぎ方
- 端末をマルウェアに感染させない（これが根本です）
- 不審な拡張機能を入れない
- 心当たりがあれば、各サービスの「すべての端末からログアウト」を実行する
ケース5：バックアップコードの管理が甘い
2FA設定時に発行される「バックアップコード」。スマホを失くしたとき用の予備の鍵です。
これをメールの下書きやスマホのメモ帳に平文で保存していると、そこが破られた時点で2FAは無意味になります。
防ぎ方
- 紙に印刷して物理的に保管する
- またはパスワード管理ツールの安全な領域に保存する
- メールやクラウドメモに平文で置かない
結局、いちばん強いのは何か
現時点で最も強いのは パスキー（Passkey） と 物理セキュリティキー です。
これらは「そのドメインでしか使えない」仕組みになっているため、偽サイトに情報を渡そうとしても技術的に成立しません。ケース1の中継攻撃が原理的に防げるのが、最大の利点です。
対応サービスが増えているので、選べるなら優先してください。
それでも2FAは設定すべき
ここまで突破される例を挙げましたが、2FAなしよりは圧倒的に安全であることは変わりません。パスワードだけのアカウントは、流出リストを使った自動攻撃で簡単に破られます。
大事なのは「2FAを入れたから何もしなくていい」と思わないことです。メールのリンクからログインしないという基本は、2FAがあっても変わりません。
設定に迷ったら、ご相談ください
「認証アプリの移行が不安」「パスキーの設定方法が分からない」といったご相談をよくいただきます。BULLCOM Security では、認証設定の見直しをリモートで承っています（¥5,500〜）。
機種変更のタイミングでの移行作業もご支援できます。LINEからお気軽にご相談ください。