多要素認証（2要素認証）とは？知識・所持・生体の3つの要素

確認日：2026年11月7日

ログインの設定画面では、「2段階認証」「2要素認証」「多要素認証」と、似た言葉がいくつも出てきます。どれも、パスワードだけに頼らずにアカウントを守るための考え方です。

本記事では、本人であることを確かめる3つの要素と、それを組み合わせる多要素認証の考え方を解説します。

多要素認証とは

多要素認証は、種類の違う確認の手段（要素）を2つ以上組み合わせて、本人かどうかを確かめる方法です。英語ではMulti-Factor Authenticationと書き、MFAと略します。

確認の回数を増やすだけでは、多要素認証になりません。パスワードを2つ聞いても、どちらも同じ種類の要素だからです。デジタル庁の本人確認のガイドラインも、多要素認証を「知識情報」「所持情報」「生体情報」のうち複数を組み合わせる方式と定めています。

本人の確かめ方は、大きく3つの種類に分けられます。総務省の資料での呼び名は、知識情報、所持情報、生体情報です。下の表の右の列から、要素ごとの詳しい記事へ進めます。

要素	意味	例	詳しい記事
知識情報	本人だけが知っているもの	パスワード、PIN	パスワードとは
所持情報	本人だけが持っているもの	認証アプリの入ったスマートフォン、セキュリティキー	所持情報とは
生体情報	本人の体の特徴	指紋、顔	生体認証とは

所持情報の「スマートフォン」は、物そのものを確かめているわけではありません。確かめているのは、その中に入っている秘密の値を使えるかどうかです。この点は、所持情報の記事で詳しく説明しました。

種類の違う要素を組み合わせるのは、要素ごとに盗まれ方が違うからです。下の図に、3つの要素と、それぞれが盗まれる手口の例を並べました。

知識情報、所持情報、生体情報の3つの要素と、それぞれの盗まれ方が違うため、種類の違う要素を組み合わせると1つの手口でまとめて盗めないことを示す図

パスワードは、偽サイトに入力させれば、遠くにいる攻撃者でも盗めます。一方、スマートフォンの中の秘密は、その端末を手に入れるか、中身を写し取らなければ使えません。指紋や顔を使うには、本人の体の特徴を写し取る手間がかかります。

盗むための手口が違うので、1つの手口で2つの要素をまとめて手に入れるのは簡単ではありません。パスワードを偽サイトで盗まれても、所持情報があればログインまでは許さない、という守り方です。

2要素認証は、多要素認証のうち、要素を2つ使うものを指します。多要素認証のほうが広い言葉で、2要素認証はその代表的な形です。

下の図では、パスワードに認証アプリの数字を組み合わせた例を上に、秘密の質問を組み合わせた例を下に置きました。

パスワードと認証アプリの数字は知識情報と所持情報なので2要素認証になり、パスワードと秘密の質問はどちらも知識情報なので2段階でも2要素認証にはならないことを示す図

上の組み合わせは、知識情報と所持情報なので2要素認証になります。下の組み合わせは確認が2回あっても、どちらも知識情報なので、2要素認証にはなりません。

このように、確認の手順が2回あることを「2段階認証」と呼びます。2段階認証と2要素認証の違いは、2段階認証とはで詳しく解説しました。

多要素認証というと、パスワードを入れたあとに数字を入れるような、2回の入力を思い浮かべるかもしれません。パスキーなら、1回の操作で2つの要素を確かめられます。

パスキーでは、秘密鍵が入った端末という所持情報と、指紋や顔またはPINという生体情報か知識情報を、1回のロック解除の操作で同時に確かめることを示す図

パスキーの秘密鍵は、利用者の端末やパスワードマネージャーの中にあり、これが所持情報にあたります。その鍵を使うときに、端末は指紋や顔、またはPINで持ち主を確かめる流れです。指紋や顔なら生体情報、PINなら知識情報にあたります。

端末のロックを外すのと同じ1回の操作で、種類の違う2つの要素がそろうわけです。

多くのサービスは、設定画面で「2段階認証」と表示しながら、実際には2要素認証にあたる方法を求めています。言葉の違いより、2回目に何を確かめているかを見てください。

このサイトでは、次のサービスで2段階認証を設定する手順を紹介しています。どちらも、パスワードマネージャーの1つである1Passwordに、所持情報にあたるワンタイムパスワードを保存する方法です。

NISTは、アメリカ政府の技術標準を作る研究機関です。