多要素認証（MFA）は、ユーザーの本人確認をより確実に行うため、「知識情報」「所持情報」「生体認証」の3つの要素のうち、異なる2つ以上の要素を組み合わせて認証を行うセキュリティ手法です。パスワード漏洩による不正アクセスを防ぎ、システムの安全性を劇的に高めるために不可欠な技術となっています。
多要素認証とは
多要素認証（MFA）とは、システムやサービスへのログイン時に、ユーザーの本人確認を行うための「知識情報」「所持情報」「生体認証（存在情報）」という異なる3つの認証要素の中から、2つ以上を組み合わせて認証を行うセキュリティ技術です。
詳しく解説
従来の認証システムは、ユーザー名とパスワード（知識情報）のみに依存していました。しかし、パスワードの使い回しや漏洩、サイバー攻撃の高度化により、これだけでは十分な安全性を確保できなくなりました。そこで導入されたのが多要素認証です。認証に使用される3つの要素は、以下の通り定義されます。1. 知識情報：パスワードや暗証番号など、ユーザーだけが「知っていること」。2. 所持情報：スマートフォン、ICカード、セキュリティキーなど、ユーザーだけが「持っているもの」。3. 生体認証：指紋、顔、虹彩、声紋など、ユーザー自身の「身体的特徴（存在情報）」。これら異なるカテゴリの要素を複数組み合わせることで、万が一パスワード（知識情報）が第三者に盗まれたとしても、スマートフォン（所持情報）が手元になければログインできない状態を作り出し、不正アクセスを強力に防ぎます。セキュリティ境界を排除する「ゼロトラスト」の思想においても、多要素認証はコアな要素技術として位置づけられています。
具体例・使われ方
多要素認証の代表的な例としては、オンラインバンキングへのログインが挙げられます。まずIDとパスワード（知識情報）を入力し、次に登録済みのスマートフォン（所持情報）に送られてくるワンタイムパスワードを入力する、あるいはスマートフォンの指紋読み取りによる「生体認証」を行うことで、本人確認を完了します。また、企業のクラウドサービスへのアクセス時に、PCのパスワード入力と物理的なセキュリティキーの挿入を同時に求められるケースも一般的です。
似た用語との違い
多要素認証と混同されやすい概念に「二要素認証」と「二段階認証」があります。二要素認証（2FA）は、多要素認証の一種であり、要素数が「2つ」であるものを指します。例えばパスワード（知識情報）と指紋（生体認証）の組み合わせです。一方、二段階認証は「認証の手順が二段階に分かれていること」を意味し、要素の重複を問いません。例えば、第1段階でパスワードを入力し、第2段階で「秘密の質問」への回答を入力する場合、どちらも「知識情報」であるため、二段階認証ではありますが、多要素認証（および二要素認証）には該当しません。
注意点
多要素認証は極めて強固なセキュリティを提供しますが、万能ではありません。例えば、スマートフォンのSMSを用いた認証では、SIMスワップと呼ばれる攻撃や「フィッシング詐欺」によって認証コードが盗まれるリスクがあります。また、認証を求める通知をスマートフォンの画面に何度も送りつけ、ユーザーが誤って承認してしまうのを狙う「MFA疲弊攻撃」にも注意が必要です。さらに、デバイスの紛失や故障時にログインできなくなるリスクに備え、代替の認証手段を用意しておくなどの運用上の配慮が求められます。