【2026年最新】二段階認証の設定方法とパスキーとは？SMS認証の危険とVPNの役割

パスワードは、どれだけ長く複雑にしても「漏れたら終わり」です。
二段階認証（二要素認証）とパスキーは、パスワードが漏れてもアカウントに入られないようにする層で、Apple・Google・Microsoft の3社がそろって無料で用意しています。

設定の手順はどの社も同じ形です。①アカウントの設定画面でセキュリティの項目を開く ②二段階認証をオンにする ③受け取り方法を「パスキー」か「認証アプリ」にする ④バックアップコードを紙で保管する。この4つで終わります。

パスキーとは、パスワードの代わりに端末の顔認証・指紋認証・画面ロックでサインインする仕組みです。入力する文字列が無いので、偽サイトに打ち込んでしまう事故そのものが起きません。

この記事では、認証方法の強さの順番（パスキー・セキュリティキー → 認証アプリ → SMS）を公式の記述で裏付けたうえで、Apple Account・Google アカウント・Microsoft アカウントの設定手順、認証アプリの選び方、機種変更・紛失時の引き継ぎまでを順に解説します。

【専門チームが監修】信頼性の高い情報を保証

当サイトは、70個以上の有料/無料VPNをテストしてきた専門のプロチームが記事の監修を行っています。
素人が運営しているブログや、信憑性が低い収益目的サイトの情報には気をつけましょう。

※最終データ更新：2026年10月

 

二段階認証とパスキーは「パスワードが漏れても入られない」ための層

個人情報の漏洩対策は、1つの道具で片付くものではありません。
「漏れたことに気づく」「漏れても入られない」「通信を盗み見されない」「端末を取られても読めない」という4つの層に分かれていて、二段階認証とパスキーは2つ目の「漏れても入られない」を担当します。

全体の整理は 個人情報が流出したらどうする？確認方法と今日やる対策 にまとめています。自分のメールアドレスがすでに漏れているかどうかは メールアドレスの漏洩チェックツール比較 で調べられます。

なぜこの層が要るのか。総務省の「国民のためのサイバーセキュリティサイト」は、「サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています」と説明し、「利用するシステムで多要素認証の設定が可能な場合は積極的に利用しましょう」と呼びかけています。

※参照：「総務省｜安全なパスワードの設定・管理」

実際に、令和7年（2025年）の不正アクセス行為の認知件数は7,190件、そのうち不正アクセス後に行われた行為で最も多かったのが「インターネットバンキングでの不正送金等」4,747件でした。漏れた ID とパスワードがそのまま使われている、という現状がこの数字に出ています。

※参照：「総務省｜不正アクセス行為の発生状況（令和8年3月公表）」

二段階認証・二要素認証・多要素認証の違い

言葉が3つありますが、読者の側で区別して使い分ける必要はほとんどありません。

総務省は認証に使う要素を、「知っているもの（知識要素）」＝パスワードなど、「持っているもの（所持要素）」＝スマホなど、「本人自身に関するもの（生体要素）」＝指紋・顔などの3つに分け、「より安全性を高めた認証の方式として、多要素認証や二段階認証があります」としています。

※参照：「総務省｜推測できる簡単なパスワードを利用しないようにしよう」

Apple・Google・Microsoft の設定画面では「パスワード＋もう1つ」という形が標準なので、本記事では3つをまとめて「二段階認証」と書きます。

VPN が守るのは別の層｜通信経路の盗み見

当サイトは VPN の情報サイトですが、VPN で二段階認証の代わりはできません。VPN が受け持つのは「カフェや空港の Wi-Fi、回線事業者から通信を盗み見されない」という通信経路の層で、企業側からの漏洩やフィッシング、弱いパスワードには最初から関係しません。

守れる範囲と守れない範囲は VPN の危険性とセキュリティリスク で整理しています。VPN と二段階認証は「どちらか」ではなく、層が違うので両方です。

 

認証方法の強さの順番｜パスキー・セキュリティキー → 認証アプリ → SMS

※参照：「Google アカウント ヘルプ｜パスワードの代わりにパスキーでログインする」

二段階認証の「2つ目」には何種類かあり、強さには順番があります。Apple・Google・Microsoft の公式ヘルプの記述を並べると、次の表になります。

方法	強さ	公式の記述（2026年10月時点）
パスキー	最も強い	Google：2段階認証の方法として最初に挙げ、「共有したり、コピーしたり、書き留めたりすることはできず」フィッシングへの保護を強化できる。Apple：「フィッシング詐欺対策に優れ」た資格情報
セキュリティキー（物理）	最も強い	Google：「フィッシング攻撃」に強い小型のデバイス。Apple：フィッシング対策の強化に「物理的なセキュリティキーの使用を検討」
認証アプリ	強い	Google 認証システムは「インターネット接続やモバイル サービスを利用できない場合でも、コードを生成できます」。Microsoft Authenticator は「指紋、顔認識、または PIN」でサインインできる無料アプリ
端末への通知（Google からのメッセージ等）	強い	Google：「確認コードを入力するよりも、こうしたメッセージをタップするほうが簡単」
SMS・音声通話	弱い	Google：「電話番号を利用するハッキングに対して脆弱となるおそれ」。Microsoft：個人アカウントの認証と回復の方法として「SMS の段階的な廃止を開始」

※参照：「Google アカウント ヘルプ｜2 段階認証プロセスを有効にする」「Apple サポート｜パスキーのセキュリティについて」「Apple サポート｜Apple Account のセキュリティを維持する」

結論はシンプルです。パスキーが使えるサービスではパスキーを作る。使えなければ認証アプリ。SMS は「何も無いよりは良い」最後の選択肢、と覚えておけば迷いません。

パスキーとは？パスワードの代わりに端末の生体認証でサインインする仕組み

パスキーは、Apple が「パスワードに代わるものとして設計」したと説明する認証方式で、Google は「パスワードに代わる簡単かつ安全なログイン手段」、Microsoft は「従来のパスワードに代わるセキュアな認証方法」と、3社とも同じ位置づけです。

使い方は、サインイン画面でFace ID・Touch ID・指紋・顔・PIN など、端末のロック解除と同じ操作をするだけ。Google は「指紋認証や顔認証に使用される生体認証データはデバイスに保存されており、Google と共有されることはありません」と明記しています。

パスワードと決定的に違うのは、サーバー側に「漏れたら困る秘密」が置かれないことです。Apple は「共有のシークレットが転送されることもなく、サーバが秘密鍵を保護する必要もありません」と説明しています。サービス側から ID とパスワードが流出する、という漏洩事故の典型がパスキーでは成立しません。

対応環境は Google のヘルプが具体的で、Windows 10・macOS Ventura・ChromeOS 109・Android 9・iOS 16 以降、ブラウザは Chrome 109・Safari 16・Edge 109・Firefox 122 以降です。ここ数年の端末ならほぼ条件を満たします。

認証アプリ（Google 認証システム・Microsoft Authenticator）の仕組み

認証アプリは、スマホの中で30秒ごとに変わる確認コードを生成するアプリです。コードは端末の中で作られるため、Google 認証システムはオフラインでもコードを出せます。

Microsoft Authenticator は Microsoft のアカウントだけでなく、「Amazon、Facebook、Google など」他社のアカウントも追加できます。1つのアプリに各サービスの確認コードをまとめられるので、認証アプリは1本に絞ると管理が楽です。

※参照：「Google アカウント ヘルプ｜Google 認証システムで確認コードを取得する」「Microsoft サポート｜Microsoft Authenticator にアカウントを追加する方法」

SMS 認証が危険と言われる理由｜SIM スワップと偽 SMS

SMS で届くコードが弱いとされる理由は2つあります。

1つ目は電話番号そのものが乗っ取られる「SIM スワップ」です。警察白書（令和6年版）は、SIM スワップを「実在する人物になりすまして店舗に来店し、本人確認資料として偽造した運転免許証等を用い、MNP（携帯電話番号ポータビリティ）またはSIMカード再発行で携帯電話番号を乗っ取る手口」と説明し、令和4年7月から8月にかけてこの手口による不正送金が急増したと記しています。

警察庁が令和4年9月に大手携帯電話事業者へ販売店での本人確認の強化を要請し、令和5年上半期には被害が激減しました。それでも Google と Microsoft が SMS を弱い方法として扱い続けているのは、電話番号は「持っているもの」として本人以外の手に渡りうるからです。

※参照：「警察庁｜令和6年版 警察白書 第1項 サイバー事案への対策」

2つ目は偽 SMS（スミッシング）です。IPA（情報処理推進機構）は、宅配業者や通信事業者をかたる偽 SMS で偽サイトに誘導し、電話番号と認証コードを入力させる手口を報告しています。SMS のコードは「人が読んで打ち込む」ものなので、偽サイトに打ち込めばそのまま奪われます。

IPA の助言はひとつで、「これまで見たことのないSMSやメールが届いたら、URLをタップする前に、公式サイトなど確かな情報源を使って真偽を確認してください」。

※参照：「IPA｜宅配便業者に加えて通信事業者をかたる偽ショートメッセージサービス（SMS）が増加中」

パスキーなら打ち込む文字列が無く、認証アプリのコードは SIM と無関係に端末の中で作られます。SMS しか選べないサービス以外では、SMS を「2つ目」に使わないのが今の基準です。

 

Apple Account の2ファクタ認証とパスキーの設定手順

※参照：「Apple サポート｜Apple Account の2ファクタ認証」

Apple の2ファクタ認証は「パスワードが他人に漏れても本人以外はアカウントにアクセスできないようにする認証方式」です。新しいデバイスでサインインするとき、パスワードに加えて信頼済みのデバイスに自動表示される、または信頼済みの電話番号に送られる6桁の確認コードが必要になります。

2ファクタ認証をオンにする（iPhone・iPad・Mac・Web）

｜Apple Account の2ファクタ認証を有効にする

Apple は「複数の電話番号をお持ちの場合は、iPhoneに関連付けられていない電話番号を、追加の信頼できる電話番号として使用することを検討してください」と案内しています。iPhone を1台しか持っていない人が、その1台を失くしたときの逃げ道になります。

※参照：「Apple サポート｜Apple Account の信頼できる電話番号と信頼できるデバイスについて」

注意点として、アカウント作成時から2ファクタ認証が有効な Apple Account は、この保護を解除できません。後から有効にした場合も、2週間を過ぎると元に戻せなくなります。

復旧キー（28文字）を作って紙で保管する

Apple には「復旧キー」という仕組みがあります。28文字のコードで、信頼できる電話番号や Apple 製デバイスと組み合わせて使うことで、Apple Account へのアクセスを回復できます。

設定は「設定」→ 自分の名前 →「サインインとセキュリティ」→「復旧キー」から。ただし Apple は「復旧キーがないと、Apple Accountのすべてのデータにアクセスできなくなる可能性があります」「Appleでは復旧キーを発行できません」と強く注意しています。

保管場所についても具体的で、プリントか手書きのコピーを複数の場所に分けて置き、Apple パスワードアプリ・iCloud 写真・メモ・iCloud Drive には保管しないよう案内されています。Apple Account に入れなくなったときに見られない場所に置いても意味が無い、という理屈です。

※参照：「Apple サポート｜Apple Account の復旧キーを設定する」

Apple のパスキーは iCloud キーチェーンで同期される

iPhone・iPad・Mac で作ったパスキーは、Touch ID または Face ID で利用を承認し、iCloud キーチェーンを使って自分のデバイス間で同期されます。同期の中身は「強力な暗号化鍵でエンドツーエンドで暗号化」されると Apple は説明しています。

つまり iPhone で作ったパスキーは、同じ Apple Account でサインインした Mac や iPad でもそのまま使えます。パスキーに対応したアプリや Web サイトでアカウントを作るとき、または設定画面で「パスキーを追加」を選ぶときに、保存先として iCloud キーチェーンが提示されます。

※参照：「Apple サポート｜パスキーのセキュリティについて」

 

Google アカウントの2段階認証プロセスとパスキーの設定手順

※参照：「Google アカウント ヘルプ｜2 段階認証プロセスを有効にする」

Google の2段階認証プロセスは「パスワードが盗まれた場合に備えてアカウントのセキュリティを強化する機能」です。Gmail・YouTube・Google Play・Google ドライブがすべて1つのアカウントにぶら下がっているので、個人のアカウントの中で最初に固めるべき場所です。

2段階認証プロセスを有効にする

｜Google アカウントの2段階認証プロセスを有効にする

Google は2つ目の手順として、パスキー・Google からのメッセージ・認証システムアプリ・セキュリティキー・SMS や音声通話・バックアップコードを挙げています。パスキーを一番上に置き、SMS については「電話番号を利用するハッキングに対して脆弱となるおそれ」があると明記しているので、選ぶ順番は迷いません。

また「このデバイスでは次回から表示しない」のチェックは、自分だけが使う端末でだけオンにするよう注意書きがあります。会社の共用 PC やネットカフェでは付けないでください。

パスキーを作成する（g.co/passkeys）

｜Google アカウントにパスキーを追加する

パスキーを作ると既存の認証要素や復元要素は変更も削除もされません。また「2段階認証プロセスが有効になっている場合や、高度な保護機能プログラムに登録している場合は、パスキーを使用すると2つ目の手順が省略されます」。パスキーの時点で「端末を持っている本人」が確認できているからです。

初期設定では、パスキーを作るとパスキー優先の（パスワードを使わない）ログイン方法に切り替わります。パスワードを常に先に使いたい場合は、アカウント設定でこの既定を変更できます。

スマホをなくしたときは、使える別のデバイスで Google アカウントにログインし、なくした端末のパスキーを削除します。手順はパスキーのヘルプにあります。

※参照：「Google アカウント ヘルプ｜パスワードの代わりにパスキーでログインする」

Google 認証システムの設定と、機種変更時のコード移行

Google 認証システム（Google Authenticator）は、2段階認証プロセスの設定画面で「認証システムを設定」をタップし、画面の指示どおりに QR コードを読み取るだけで使い始められます。Android は 6.0 以降が必要です。

機種変更のときは2通りあります。

古い端末を初期化する前に、新しい端末でコードが出ることを確かめてから消してください。

※参照：「Google アカウント ヘルプ｜Google 認証システムで確認コードを取得する」

バックアップコードは10個・1回限り・紙で保管

バックアップコードは、スマホが手元に無いときの最後の入口です。Google アカウントの「2段階認証プロセス」→「バックアップコード」→「バックアップコードの取得」で10個のセットが発行され、各コードは1回しか使えません。

Google は「パスポートやその他の重要な書類を保管している場所など」安全な場所への保管を勧めています。更新アイコンで新しいセットを作ると古いセットは自動的に無効になるので、誰かに見られた疑いがあれば作り直すのが正解です。

※参照：「Google アカウント ヘルプ｜バックアップコードでログインする」

 

Microsoft アカウントの2段階認証と Microsoft Authenticator の設定手順

※参照：「Microsoft サポート｜Microsoft アカウントで 2 段階認証を使用する方法」

Microsoft アカウントは Windows のサインイン、Outlook、OneDrive、Xbox に共通です。Microsoft は2段階認証を「他のユーザーが Microsoft アカウントにサインインするのをより困難にすることで、ユーザーを保護するのに役立ちます」と説明し、有効にすると信頼されていないデバイスにサインインするたびに、メール・電話・認証アプリにセキュリティコードが届くようになります。

このページには重要な注記があります。「個人の Microsoft アカウントの認証とアカウントの回復の方法として SMS の段階的な廃止を開始します」。SMS に頼った設定は、Microsoft では近いうちに使えなくなる前提で組んでください。

2段階認証を有効にする

｜Microsoft アカウントの2段階認証を有効にする

Microsoft は「アカウントに3つのセキュリティ情報が関連付けられていることを強くお勧めします」と書いています。連絡手段が1つしか無いと、その1つを失ったときにアカウントごと失います。

なお、セキュリティコードに対応していない古いアプリやデバイスでは、別途「アプリパスワード」を作る必要があります。

Microsoft Authenticator を入れてパスワードレスにする

Microsoft Authenticator は「パスワードを使用せずに、指紋、顔認識、または PIN を使用するだけですべてのアカウントにサインインできる無料のアプリ」です。用途は3つで、パスワードを忘れたときの本人確認、2段階認証、スマホで承認をタップするだけのパスワードレス認証です。

アプリは App Store か Google Play から入手し、アカウントを追加します。個人用の Microsoft アカウントのほか、職場・学校のアカウント、Amazon・Facebook・Google などの他社アカウントも登録できます。

※参照：「Microsoft サポート｜Microsoft Authenticator について」

機種変更に備えたバックアップは OS で違います。iOS は iCloud Drive・iCloud キーチェーン・iCloud バックアップを有効に、Android は個人用 Microsoft アカウントでバックアップします。注意点は「バックアップと復元は、同じデバイス タイプでのみ実行できます」。iPhone から Android へ（その逆も）は復元できないので、OS をまたぐ機種変更ではアカウントを登録し直す前提で動いてください。

※参照：「Microsoft サポート｜Microsoft Authenticator からアカウントの資格情報を復元する」

Microsoft アカウントにパスキーを作成する

｜Microsoft アカウントにパスキーを追加する

以後は「サインインするたびに、デバイスは、顔、指紋、PIN などのセキュリティで保護された方法でサインインするように求められます」。Windows PC なら Windows Hello、スマホなら生体認証です。

※参照：「Microsoft サポート｜パスキーを作成して保存する」

 

二要素認証アプリのおすすめと、パスキー・バックアップコードの保管場所の選び方

設定が終わったら、次に決めるのは「どのアプリに集約するか」「パスキーとバックアップコードをどこに置くか」です。

認証アプリは「1本に集約」と「引き継ぎ手段がある」で選ぶ

二要素認証アプリは機能の差より、機種変更で中身を失わないかで選びます。

アプリ	向いている人	引き継ぎ
Google 認証システム	Google アカウントが中心の人。オフラインでもコードが出る	Google アカウントへの同期、または QR コードでエクスポート／インポート
Microsoft Authenticator	Windows・Outlook・職場アカウントを使う人。Amazon・Facebook・Google も登録できる	iOS は iCloud、Android は Microsoft アカウント。同じ OS 間だけ復元できる
パスワード管理アプリ（NordPass など）	パスワード・パスキー・ワンタイムコードを1か所にまとめたい人	アカウントにログインすれば全デバイスで同期

どれか1本に決めて、すべてのサービスの2つ目をそこに集めるのがコツです。アプリが2本に分かれると、片方だけ移行し忘れて締め出される事故が起きます。

パスキーをどこに保存するか｜標準機能とパスワード管理アプリ

パスキーの保存先は、大きく「OS の標準機能」と「パスワード管理アプリ」の2つです。

OS をまたぐ人は、標準機能だと「iPhone で作ったパスキーが Windows PC に無い」という状態になりがちです。NordPass は App Store の公式ページで、パスワード・パスキー・ワンタイムコードを1つの暗号化された保管庫に保存し、すべてのデバイス間で同期すると説明しています。

※参照：「App Store｜NordPass パスキー・パスワード管理（Nordvpn S.A.）」

主要なパスワード管理アプリの比較は パスワード管理アプリ比較、NordPass 単体の評価は NordPass の評判と口コミ にまとめています。

バックアップコード・復旧キーは「アカウントに入れなくても取り出せる場所」へ

バックアップコードと復旧キーの保管場所には、Apple と Google の案内に共通する原則があります。そのアカウントにサインインできない状況でも取り出せる場所に置くことです。

パスワード管理アプリに保管する場合は、そのアプリ自体のマスターパスワードと復旧手段が別系統で守られていることが条件です。ファイルとして端末に置くなら、端末とファイルの暗号化ガイド で説明している暗号化を先に済ませてください。

 

機種変更・紛失・公共Wi-Fi で困らないための注意点

二段階認証の失敗は「設定したこと」ではなく「引き継ぎを忘れたこと」で起きます。機種変更と紛失、そして外出先での認証の3場面に分けて注意点をまとめます。

機種変更の前にやる3つのこと

｜機種変更の前のチェックリスト

スマホをなくしたときの順番

なくした直後にやることは、別の端末からサインインして、なくした端末を「信頼できるデバイス」や「パスキーの保存先」から外すことです。Google はパスキーのヘルプで、利用可能なデバイスからログインして紛失デバイスのパスキーを削除する手順を案内しています。

Apple Account は、信頼できる電話番号が iPhone 1台分しか無いと確認コードの受け取り先を失います。復旧キーを作っていた場合は、Apple が「復旧キーがないと、Apple Account のすべてのデータにアクセスできなくなる可能性があります」と書くとおり、紙のコピーがあるかどうかで結果が変わります。

公共Wi-Fi で認証コードを入力するときは VPN をつないでから

二段階認証そのものは、通信を盗み見されても破られません。確認コードは1回限りで、パスキーは文字列として流れないからです。

それでも外出先で気をつけたいのは、認証の前後に流れるメール・アプリの通信です。カフェや空港のパスワードなしの Wi-Fi では無線区間が暗号化されておらず、ログイン後の画面やメールの中身を同じネットワークの第三者に見られる可能性があります。VPN はこの通信経路を暗号化する道具で、二段階認証とは守る層が違います。

公共Wi-Fi で何が起きるか、VPN で何が防げて何が防げないかは 公共Wi-Fi を安全に使う方法 と VPN の危険性とセキュリティリスク にまとめています。「認証は二段階認証、通信路は VPN」と役割を分けて両方そろえるのが、外出先の基本形です。

 

二段階認証とパスキーに関するよくある質問

二段階認証と二要素認証は同じものですか？

日常の使い方ではほぼ同じ意味で通ります。厳密には「二段階」は手順の数、「二要素」は総務省の言う知識要素・所持要素・生体要素のうち種類の違う2つを使うことを指します。Apple・Google・Microsoft の標準設定は「パスワード＋端末」なので、どちらの呼び方でも中身は同じです。

パスキーを作ったら、パスワードはもう要りませんか？

Google アカウントでは、パスキーを作ると初期設定でパスキー優先のログインに切り替わりますが、既存のパスワードや認証要素は削除されません。パスキーに対応していない古い端末やブラウザから入るときのために、パスワードは引き続き強いものを設定しておいてください。

SMS 認証しか選べないサービスはどうすればいいですか？

SMS しか無いなら SMS を使ってください。「何も無い」よりは確実に安全です。そのうえで、①そのサービスのパスワードを他と使い回さない ②SMS で届いたコードを求める偽サイトに入力しない ③携帯電話会社の契約に暗証番号や本人確認の強化を設定する、の3点で弱さを補います。

認証アプリを入れたスマホを初期化してしまいました。どうなりますか？

Google 認証システムを Google アカウントに同期していれば、新しい端末でログインするとコードが戻ります。同期していない場合はバックアップコードで入り、2段階認証の設定で認証アプリを登録し直します。Microsoft Authenticator はクラウドバックアップがあれば同じ OS の端末で復元できます。どれも無いときは各社のアカウント復旧の手続きになります。

パスキーは複数の端末で使えますか？

使えます。Apple のパスキーは iCloud キーチェーンで同じ Apple Account のデバイスに同期されます。Google アカウントのパスキーは端末ごとに作成する形です。iPhone と Windows PC のように OS をまたいで使うなら、NordPass のようなパスワード管理アプリに保存すると全デバイスで同期されます。

VPN を使っていれば二段階認証は不要ですか？

不要にはなりません。VPN が守るのは通信経路で、サービス側から漏れた ID・パスワードを使った不正ログインは VPN の守備範囲の外です。二段階認証は「漏れても入られない」層、VPN は「盗み見されない」層として、両方を使ってください。

二段階認証をあとからオフにできますか？

Google と Microsoft は設定画面からオフにできます。Apple Account は、アカウント作成時から2ファクタ認証が有効な場合は解除できず、後から有効にした場合も2週間を過ぎると戻せません。オフにする理由がある場合は、まず「受け取り方法を変える」ことで解決できないかを先に確かめてください。

 

まとめ：二段階認証とパスキーで「漏れても入られない」層を今日つくる

この記事では、二段階認証とパスキーの位置づけ、認証方法の強さの順番、Apple・Google・Microsoft の設定手順、保管と引き継ぎの注意点を公式ヘルプと公的機関の記述で整理しました。

設定にかかる時間は、3社あわせても30分ほどです。漏洩が起きてから慌てるより、データ漏洩対策のハブ記事の順番どおり、今日この層を先に作っておいてください。

外出先の通信経路については、当サイトで検証している NordVPN のように、運営元と監査実績がはっきりした VPN で固めるのが手早い方法です。

＼ 30日間全額返金保証 ／

NordVPN 公式サイト