まず、このシステムの大前提となっている“あなたの持っているスマートフォンでしかSMSは受け取れない”という部分。実はこれ、海外では成り立ちません。海外の通信キャリアでは、SMSを盗聴される危険性があるため、SMSを利用した二段階認証は推奨されていません。もし、あなたが海外に出ているときは、なるべく利用しない方がいいでしょう。

　ならば日本では絶対に安全かというと、そうでもありません。「認証コードを入力するWebサイトは本物なのか？」というリスクは残ります。

　もしSMSやアプリなどで表示される6桁の数字を、偽サイトに入力してしまったとしたら、その裏にいる悪意ある人間が、あなたに代わって正規のサイトに入力でき、二段階認証が成立してしまいます。せっかく二段階認証を取り入れたのに、パスワードに加えて二段階目の情報までもが奪われてしまうわけです。

　佐川急便の偽サイト事件を見ても分かるように、一段階目で偽サイトと気付けなかった人が、二段階認証の認証コードを入力するページが偽物だと気付けはしないでしょう。つまり、二段階認証の意味を正しく理解しなければ、せっかくの仕組みも意味がなくなってしまうのです。コードを入力するタイプの二段階認証では、そのコードはパスワードと同じく「絶対に他人に教えないこと」「サービス提供サイト以外に入力しないこと」を心掛けてください。

　スマートフォンを使った二段階認証は、その仕組みを正しく理解し、正しく使えばリスクを減らすことができます。しかし、この方法にもさまざまなリスクはあります。

　例えば「スマートフォンは肌身離さず持つべし」「画面ロックを設定すべし」「二段階認証のコードが通知欄にそのまま表示されないようにすべし」「二段階認証のコードが取得できないときに備えて、緊急コードを別に保管すべし」「機種変更のときにコードが消失しないように気を付けるべし」などなど、これはこれで気を付けるべきポイントが多数あるのです。

　さらには、二段階認証が当たり前になったとき、犯罪者もその「当たり前」に合わせて攻撃を変えてくるはずです。その時に攻撃されるのは「二段階認証を設定しているからもう安心」という、あなたの心だと思ってください。

　とはいえ、単なるパスワード認証に比べれば、二段階認証を突破されるリスクは低いです。最近では、6桁の数字を入力するのではなく、アプリを利用し、プッシュ通知でログインを許可をする方法が主流です。こちらのほうがより安全で便利でしょう。NTTドコモも、2018年8月20日からその方式の提供を開始しました。

　どのような方法にせよ、まずは二段階認証に「慣れる」ことが大切です。何度かログインしてみて、正しい画面に慣れておくことが、偽サイトに対する対抗策になります。

　ただし、慣れたからといって、不正アクセスによって届く「ログイン許可」に対しても何となくタップしてしまわないように。これも、気を付けるべきポイントの一つなのかもしれませんが……。