二段階認証とは？設定方法と認証アプリ・SMSの違い、注意点を解説

「『2段階認証を設定しましょう』と出るけど、SMSと認証アプリ、どっちにすればいいの？」

設定の画面にはSMS、認証アプリ、セキュリティキー、パスキーと、いくつも選択肢が並びます。どれを選べばいいのか迷いますよね。

先に結論です。

• 2段階認証はパスワードのあとにもう一つ確かめる仕組みです。パスワードが知られても、それだけではログインされにくくなります（IPA・Apple）
• まずはメールとGoogle・Appleのアカウントで、使える方法を1つオンにします
• 方法ごとに強さと手間が違います。SMSは手軽ですが電話番号を狙った攻撃に弱く、認証アプリは電波がなくても使え、パスキーやセキュリティキーは偽サイトに強い方式です（Google・フィッシング対策協議会）
• 届いた認証コードは誰にも教えません。Googleは、電話でコードを聞くことはないとしています
• スマホをなくしたときのために、バックアップコードか予備の方法を用意しておきます
• 2段階認証でも、偽サイトにコードを入力すると破られることがあります。絶対に安全になるわけではありません

2026年11月7日に、IPA・フィッシング対策協議会・Google・Apple・Microsoftの公式情報で確かめました。

二段階認証と多要素認証の違い

IPAは多要素認証を「記憶情報、所持情報、生体情報のうち2つ以上」を組み合わせる方式と説明しています。

• 記憶情報（知っているもの）: パスワード、暗証番号
• 所持情報（持っているもの）: スマホに届くコード、認証アプリ、セキュリティキー
• 生体情報（体の特徴）: 指紋、顔

2段階認証はログインの手順を2段階にすることです。2段目がスマホのコードなら「知っているもの＋持っているもの」なので、多要素認証にもなります。呼び方はサービスで違い、Googleは「2段階認証プロセス」、Appleは「2ファクタ認証」、ChatGPTは「多要素認証（MFA）」と呼んでいます。IPAも、サービスによって呼び方が違うと案内しています。

パスワードだけのときは、パスワードを知られた時点でログインされてしまいます。2段階認証があれば、パスワードのほかに、自分のスマホなどがないとログインできません。Appleはほかの人にパスワードを知られていても、アカウントにアクセスされるのを防げるとしています。

SMS・認証アプリ・セキュリティキーの違い

Googleの2段階認証の画面に出てくる主な方法です（Googleアカウント ヘルプ）。

SMS・音声通話

• 登録した電話番号に6桁のコードが届く。携帯電話があればすぐ使える
• 電話番号を狙った攻撃に弱い（Google）。電話番号を乗っ取る手口（SIMスワップ）では、コードが相手に届いてしまう
• 電波の届かない場所や、プランによっては届かないことがある

Googleからのメッセージ（通知で承認）

• ログインしたスマホに届く通知をタップして承認する。コードを入力するより手軽で、SIMスワップの対策にもなる（Google）
• 自分でログインしていないのに通知が来たら、承認しない

認証アプリ

• Google認証システムなどのアプリが、1回限りのコードを作る。インターネットや電波がなくても使える（Google）
• 機種変更のときは、アプリの引き継ぎかサービスでの登録し直しが要る（手順はアプリとサービスのヘルプで）

セキュリティキー・パスキー

• セキュリティキーはUSBなどで差し込む小さな機器。別に買う必要がある。Googleはフィッシング対策に有効としている
• パスキーはスマホやパソコンのロック解除でログインする方法で、フィッシング対策にもなる（Google）

フィッシングへの強さ

SMSや認証アプリのコードは、偽サイトに入力すると、その場で本物のサイトに使われてしまうことがあります。フィッシング対策協議会はこうした手口に対抗するため、「フィッシング耐性」を持つ多要素認証（パスキー、生体認証など）を求めています。

どれを選ぶか

優劣を一つに決めるより、使える環境で選びます。

• まず始めたい: SMSか、Googleからのメッセージ。何もしないより、パスワードだけの状態から一歩進む
• 海外や電波の届かない所でも使いたい: 認証アプリ
• お金に関わるアカウントや、偽サイトが心配: パスキー（対応していれば）。仕事で狙われやすい立場ならセキュリティキーも候補
• セキュリティキーを使うなら: なくしたときに備えて予備も登録しておく。端末やキーにひも付く方式は、なくすとほかの復旧の方法がない限り使えなくなる（Microsoft）

セキュリティキーは多くの人にとって最初に買う物ではありません。スマホのパスキーや認証アプリでも、パスワードだけのときより守りは強くなります。

Google・Appleで設定する

Googleアカウント

1. Googleアカウントを開き、「セキュリティとログイン」を開く
2. 「Google にログインする方法」で、2段階認証プロセスの項目を選ぶ
3. 画面の指示に従って、2つ目の方法を設定する

職場や学校のアカウントでは、自分で設定できないことがあります（Googleアカウント ヘルプ）。

iPhone（Apple Account）

iOS 26 の手順です。

1. 「設定」で自分の名前をタップし、「サインインとセキュリティ」をタップする
2. 「2ファクタ認証」をタップする
3. 確認コードを受け取る「信頼できる電話番号」を入れて「次へ」をタップする
4. 届いた確認コードを入力する

これでiPhoneが「信頼できるデバイス」になり、ほかの端末でサインインするときのコードはこのiPhoneに表示されます（Appleの公式ガイド）。

ほかのサービス（SNS、通販、ネットバンキング）は、それぞれの「セキュリティ」や「ログイン」の設定にあります。手順は公式ヘルプの文言に沿って書いています。筆者のアカウントの画面は、設定の状態が写るため撮っていません。画面ロックや更新など、ほかの基本の設定もあわせて今日そろえたいときは、今日15分でできる7つの対策が使えます。

バックアップコードと予備の方法

2段階認証は、スマホが使えないと自分も入れなくなることがあります。設定したら、予備も用意します。

• Googleのバックアップコード: 8桁のコードを印刷かダウンロードして、安全な場所に保管できる。1つのコードは1回だけ使え、新しい組を作ると古い組は使えなくなる（Googleアカウント ヘルプ）
• Appleの信頼できる電話番号: 自分の番号のほかに、自宅の電話など、すぐ使える番号を追加しておく（Appleの公式ガイド）
• 2台目の端末やパスキー: 別のスマホやタブレットでも同じアカウントにログインしておく

バックアップコードはパスワードと同じくらい大切です。人に見られない場所に保管し、写真に撮ってSNSに載せたりしません。

スマホをなくした・変えたとき

Googleアカウントでは、スマホが使えないときに、別のスマホ、別の電話番号、バックアップコード、セキュリティキー、パスキーで本人確認できます。電話番号は携帯電話会社に頼んで新しいスマホやSIMに移します（Googleアカウント ヘルプ）。

iPhoneでは、新しい端末で「確認コードが届いていない場合」から信頼できる電話番号を選ぶと、その番号にコードが届きます（Appleの公式ガイド）。なくしたiPhoneは「探す」で紛失としてマークし、Apple Accountのデバイスの一覧から外します。

予備の方法が何もないと、アカウントを取り戻すのに時間がかかります。設定した日に、バックアップコードの保管まで済ませておくのがいちばんの備えです。

コードが届かないとき

Googleのヘルプでは、次を確かめるよう案内しています。

• 代わりに「Googleからのメッセージ」がスマホに届いていないか
• 電波やインターネットにつながっているか、契約がSMSに対応しているか
• コードを何度も頼んだときは、いちばん新しいコードだけが使える

認証コードを人に教えてはいけない理由

認証コードはログインや支払いの最後の鍵です。パスワードと一緒に知られると、相手がそのままログインできてしまいます。

• IPAは知り合いを装ったDMで電話番号を聞き出し、届いた認証コードを伝えさせてInstagramを乗っ取る手口を紹介しています
• Googleは確認コードやバックアップコードを人に教えないよう案内し、Googleが電話でコードを聞くことはないとしています
• フィッシング対策協議会の「フィッシングレポート2026」は、銀行を装った電話で指示しながら、ワンタイムパスワードを偽サイトに入力させて盗む手口を報告し、SMSやメールに書かれた電話番号には電話しないよう呼びかけています

自分で頼んでいないのにコードが届いたときは、誰かがあなたのパスワードでログインしようとしているかもしれません。そのコードは使わず、そのサービスのパスワードを変えます。伝えてしまった・入力してしまったときの順番はフィッシングサイトに入力してしまったら？の「認証コードを伝えた・入力した」にまとめています。LINEでは、友だちを装って認証番号を送らせ、あなたの電話番号で新しいアカウントを作る手口もあります（LINEの乗っ取りの確認と対処）。

パスキーとの関係

Googleアカウントでは、パスキーでログインするときは2段目の手順が省略されます。パスキーそのものが端末のロック解除という本人確認を含むからです。2段階認証を使っている場合は、パスキーを2段目として使うこともできます（Googleアカウント ヘルプ）。

パスキーに対応しているサービスはパスキーに、対応していないサービスや、パスワードでのログインが残るサービスは2段階認証で守る、という組み合わせが現実的です。パスキーの作り方はパスキーとは？パスワードとの違いと初心者向けの設定方法・注意点にまとめています。

よくある質問

Q. ログインのたびに毎回コードを入れるのですか？

A. 毎回ではありません。Appleは完全にサインアウトしたとき、端末を消去したとき、Webでサインインするときなどに限られるとしています。Googleでは、自分だけが使う端末なら「次回から表示しない」を選べます（共有の端末では選びません）。

Q. 2段階認証を設定すれば、もう乗っ取られませんか？

A. 乗っ取られにくくはなりますが、絶対ではありません。偽サイトにパスワードとコードを入力したり、コードを人に教えたりすると、破られることがあります。

Q. SMSのコードは、もう使わないほうがいいですか？

A. 何も設定していないより、SMSでも守りは強くなります。そのうえで、使えるサービスでは認証アプリやパスキーに切り替えていくと、さらに強くなります。

2段階認証は設定した日から自動で守ってくれる仕組みです。今日はメールのアカウントで1つオンにして、バックアップコードの保管までやっておけば十分です。

次に読む記事

参考

• IPA「インターネットサービスへの不正ログインによる被害が増加中」（多要素認証の説明。2025年8月28日公開。2026年11月7日に確認）
• IPA「不正ログイン対策特集ページ」（2023年9月29日更新。2026年11月7日に確認）
• Google アカウント ヘルプ「2 段階認証プロセスを有効にする」（2026年11月7日に確認）
• Google アカウント ヘルプ「2 段階認証プロセスに関する一般的な問題を解決する」（2026年11月7日に確認）
• Google アカウント ヘルプ「バックアップ コードを使用してログインする」（2026年11月7日に確認）
• Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」（2026年11月7日に確認）
• Apple「iPhoneでApple Accountの2ファクタ認証を使用する」（iOS 26。2026年11月7日に確認）
• フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」（事業者向け。フィッシング耐性を持つ多要素認証。2026年11月7日に確認）
• フィッシング対策協議会「フィッシングレポート2026」（電話でワンタイムパスワードを入力させる手口。2026年11月7日に確認）
• Microsoft サポート「What are passkeys and why they matter」（端末にひも付く方式の紛失時。2026年11月7日に確認）