メール、決済、SNSのアカウントはすべて二段階認証を有効にし、スマホの画面での確認を優先し、SMSの認証コードは次の手段にする

コスト

お金はかかりません。アカウントごとに一度設定すれば、2〜3分で済みます。

得られるもの

Googleは、実際にあったアカウント乗っ取りの試みを35万回集計しました（アカウント乗っ取りはアカウントハイジャックとも呼ばれます）。一つは端末を使って確認する方法で、スマホに出る確認画面を押す方式や、セキュリティキーを差し込む方式がこれにあたります。この方法は、「フィッシングによる乗っ取りの試みの94%超と、自動化された乗っ取りの試みの100%」を防ぎました。フィッシングとは、偽のサイトでパスワードを入力させられることです。自動化とは、流出したパスワードを機械で大量に試すことです。もう一つは質問に答えて確認する方法で、「前回どこでログインしたか」「バックアップのメールアドレスは何か」などを尋ねます。こちらが防げたのは、フィッシングによる乗っ取りでは最低で10%、自動化された乗っ取りでは73%にとどまりました。同じ端末による確認でも、SMSの認証コードはスマホの通知より弱いです。フィッシングで突破されたのは、SMS認証コードで4%、スマホの通知で1%でした。特定の人を狙う標的型攻撃では、SMSは76%しか防げず、通知は90%防げました。

補足

同じ研究では、この種の確認が本人を締め出すこともあると分かっています。正規の利用者の52%は最初のログインに失敗しましたが、最終的には97%がログインできました。まずはメールのアカウントに設定してください。ほかのアカウントのパスワードの多くは、メールで再設定できるからです。認証コードは自分だけで使い、他人のために伝えたり、顔認証をしたりしてはいけません。その場合に負うことになるものは、第8節第45項（認証コードを読み上げる）を見てください。

根拠のレベル

A : メタ分析・大規模コホート・ランダム化試験の具体的な数字がある。法律・制度は条文や公式資料に当たっている.

出典

1. Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481

中国語の原書からの翻訳です。 原書 第 14 節 第 1 項. 内容が古くなっている場合があり、制度は地域によって違います。実際に手続き・受診・裁判をするときは、窓口・医師・弁護士の説明に従ってください。 免責事項