メール、決済、SNSアカウントにはすべて二要素認証を設定。スマホへのプッシュ通知による承認を優先し、次にSMS認証コードを使用する
2段階認証は、ログイン時にパスワードに加えて本人か再確認することだ。スマートフォンの通知を押して承認する方法では、フィッシングによる乗っ取りの9割以上を防いだ。SMSコードは通知よりだまし取られやすい。「前回のログイン場所」「予備メールアドレス」のような古い質問方式は、最低で1割しか防がなかった。
無料。各アカウントで一度設定すれば、2〜3分で完了します。
Google は実際の乗っ取り試行35万件を調べた。端末による認証、たとえばスマートフォンで通知を承認したりセキュリティキーを挿したりする方式は、「フィッシング由来の94%超と自動化された試行の100%」を阻止した。
無料。各アカウントで一度設定すれば、2〜3分で完了します。
Google は実際の乗っ取り試行35万件を調べた。端末による認証、たとえばスマートフォンで通知を承認したりセキュリティキーを挿したりする方式は、「フィッシング由来の94%超と自動化された試行の100%」を阻止した。前者は偽サイトにパスワードを入力させること、後者は漏洩パスワードを機械で大量に試すことだ。前回のログイン場所や予備メールを答える質問方式は、「フィッシングでは低い場合10%、自動化では73%」しか防がなかった。同じ端末認証でも SMS は通知より弱い。フィッシング攻撃者が正しく通したのは SMS の4%、通知は1%だった。特定の人を狙う攻撃では SMS が76%、通知が90%を防いだ。
Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
出典を開く同様の研究では、このような認証手段が時折本人を外側に追い出すことも分かっています。真のユーザーの52％は最初の試行でログインに失敗しましたが、最終的には97％がログインに成功しました。メールアドレスでこの機能を有効にすることがまず行われる理由は、他のアカウントではメールアドレスをもとにパスワードを再設定できるからです。認証コードは自分自身だけに使用し、他人に代わってコードを入力したり、顔認証を代行したりするとどのような問題が生じるか、第8節第45条（認証コードを読み上げる）をご参照ください。