本ページはプロモーションが含まれています
仕事と副業で使うアカウントに二段階認証を設定しようとして、設定画面まで開いたところで止まってしまう。よくあることです。止まる理由は手順が難しいからではなく、「どのサービスから設定するのか」「SMSと認証アプリのどちらを選ぶのか」が決まっていないからです。
各サービスの設定画面の押し方は、そのサービスの公式ヘルプが正確です。この記事は、その手順の前と後ろを決めるために書いています。
- どのアカウントから設定するか（止まると困る順の並べ方）
- SMS・認証アプリ・パスキーのどれを選ぶか（対応状況から絞る判定表）
- スマホを替える・なくしたときに締め出されないための備え
総務省は、国民向けの案内の中で、多要素認証（2要素認証）を活用するようすすめています。IPAも不正ログイン対策として、使い回さないパスワードと多要素認証の設定を挙げています。設定する価値があることは前提として、ここでは順番と備えに話を絞ります。
二段階認証のやり方は、設定画面より先に「どこから」で決まる
二段階認証の設定そのもの、つまり画面を進める操作は、そう長い作業ではありません。それでも手が止まるのは、作業の分量ではなく判断の数が多いからです。
仕事と副業で使っているサービスを思い浮かべてみてください。メール、クラウドストレージ、会計ソフト、入金先の銀行、アフィリエイトのASP、発信用のSNS、買い物やサブスクのアカウント。10個や20個はすぐに出てきます。これを全部、今夜まとめて設定しようとすると、たいてい3つ目で手が止まります。
そして、もうひとつ止まる場所があります。設定の最後に「バックアップコード」や「復元コード」と呼ばれる文字列が表示される画面です。ここで「あとで保存しよう」と画面を閉じてしまうと、スマホを替えたときや失くしたときに、自分のアカウントに入れなくなります。二段階認証には、乗っ取られることとは別に「自分が締め出される」という詰まり方があるということです。
だから順番をこうします。止まると困るアカウントから設定して、そのたびに締め出されない備えをセットで済ませる。1つずつ完了させていくほうが、全部を中途半端に触るよりずっと安全です。
「2段階認証」と「2要素認証」は何が違うのか
設定画面の表記は、サービスによって「2段階認証」「2要素認証」「二要素認証」「多要素認証」とばらついています。読者としては同じものを指していると考えて進めて構いませんが、言葉の整理だけしておきます。
総務省やIPAの資料では、認証に使う情報を次の3つに分類しています。
| 要素 | 中身 | 例 |
|---|---|---|
| 記憶 | 自分が覚えていること | パスワード、暗証番号 |
| 所持 | 自分が持っているもの | スマホ、SIM、物理キー |
| 生体情報 | 自分の身体の特徴 | 指紋、顔 |
このうち2つの異なる要素を組み合わせるのが二要素認証だと説明されています。「パスワード（記憶）＋スマホに届いたコード（所持）」は、記憶に所持が加わった形です。
一方「2段階」は、文字どおり確認のステップが2回あるという意味で使われることが多い言い方です。たとえばパスワードを入れたあとに「秘密の質問」を聞かれる形は、ステップは2段ですが要素はどちらも記憶のままです。この違いがあるため、資料によっては二要素認証のほうを推奨する書き方になっています。
ただし、サービス側がどの言葉をどの意味で使っているかは、画面の表記からは判別できません。規格の定義にこだわるよりも、設定画面にある選択肢の中で自分が続けられるものを選ぶほうが実用的です。
仕事・副業のアカウントを「止まると困る順」に並べる
設定する順番は、重要そうな順ではなく、止まったときに仕事が止まる順で決めます。次の5段階に並べてみてください。
| 順 | 区分 | 具体例 | 止まると何が起きるか |
|---|---|---|---|
| 1 | メール | 仕事用のGmail、プロバイダメール | 他のサービスのパスワード再設定の案内がここに届く |
| 2 | 業務データ | クラウドストレージ、会計ソフト、請求書サービス | 納品物・帳簿・取引先情報にアクセスできない |
| 3 | お金の出入口 | 入金先の銀行、ASP、決済サービス | 報酬の受け取りと支払いが止まる |
| 4 | 発信 | 仕事用のSNS、ブログの管理画面 | 自分の名前で勝手に投稿される恐れがある |
| 5 | その他 | 買い物、サブスク、ポイント | 金銭的な被害は出るが、仕事は止まらない |
メールを最優先にする理由
1番がメールなのは、メールがほかの多くのサービスの合鍵になっているからです。
ほとんどのサービスは、パスワードを忘れたときの再設定をメールで受け付けます。つまりメールに入られた人は、そこから順番に他のサービスのパスワードを変えていけます。逆に言えば、メールだけは何があっても守れている状態を作ると、他のサービスで問題が起きたときの復旧の足場が残ります。
ここで一度立ち止まってほしいのが、仕事用と私用でアカウントを分けているかという点です。同じメールアドレスで私用の買い物も仕事の取引先連絡もしている場合、守る対象が広がって設定の優先順位がつけにくくなります。端末とアカウントをどこまで分けるかの判断は、副業でパソコンを分ける必要はある？判断基準と、機器を2倍にしない方法で整理しています。
また、会社員として副業をしている場合は、会社の規程で「業務情報を個人のアカウントに置かない」と決まっていることがあります。どのアカウントが会社側のもので、どこからが自分のものかの線引きは、会社員がAIを副業に使うときの注意点｜4本の線を引けば堂々とやれるで扱っている考え方がそのまま使えます。
この棚卸しは紙やメモアプリに書き出すだけで十分です。大事なのは今夜どれを設定するかを1つに決めることです。全部やろうとしないでください。
認証方法は「そのサービスが対応しているもの」から選ぶ
設定を始めると、たいてい複数の方法から選ぶ画面が出てきます。ここで「どれがいちばん安全か」を調べ始めると、また止まります。
実際の分岐はもっと単純です。そのサービスが対応している方法の中から選ぶしかないからです。SMSしか選べないサービスもあれば、認証アプリとパスキーの両方が選べるサービスもある、といった差があります。
SMS・認証アプリ・パスキーの違いを要素で見る
| 方法 | 加わる要素 | 必要なもの | 向いている場面 |
|---|---|---|---|
| SMS（電話番号） | 所持（SIM） | 電話番号と電波 | その方法しか選べないサービス。追加のアプリや機器が要らない |
| 認証アプリ（ワンタイムコード） | 所持（スマホ） | スマホとアプリ | 多くのサービスで選べる。電波がなくてもコードが出る |
| パスキー・物理キー | 所持（端末や鍵）＋生体情報かPIN | 対応端末、または物理キー | 選択肢として用意するサービスがある。サインインの操作が短い |
SMSを最下位に置いていないのは意図があります。「SMSは弱いから使うな」という情報を見て設定そのものをやめてしまうのが、いちばん損な結果だからです。選べる方法がSMSだけなら、SMSで設定したほうが設定しないよりよい。IPAの資料でも、SMSで届くワンタイムパスワードは、携帯電話を持っている人にしか見られない性質を生かして多要素認証の要件を満たすと説明されています。
3段で絞る判定表
選ぶ順番は次の3段です。上から順に見て、残ったものを選びます。
| 段 | 見るところ | 判断 |
|---|---|---|
| 1段 | そのサービスが対応している方法 | 画面に出てこない方法は選べない。ここで候補が1つに絞れることも多い |
| 2段 | 自分の端末で使えるか | 認証アプリはスマホが必要。パスキーは端末側の対応が必要。物理キーはUSBの形やNFCの対応を見る |
| 3段 | 失ったときに戻れるか | その方法で使う「もの」を失ったとき、何があれば戻れるか。ここが次章以降の本題 |
3段目がこの記事の中心です。SMSでも認証アプリでもパスキーでも、どれを選んでも「失ったとき」の備えは別に用意しないといけません。方法の優劣より、この備えがあるかどうかで結果が変わります。
パスキーは端末のロック解除と同じ操作でサインインする
設定画面に「パスキー」という選択肢が用意されていることもあります。FIDO Allianceの説明では、パスキーはパスワードに代わるもので、サインインを求められたときに、スマホやパソコン、セキュリティキーのロックを解除するのと同じ生体認証やPINで承認する仕組みだとされています。パスワードと違って、フィッシングに強いという位置づけです。
端末を持っていること（所持）と、それを解除できること（生体情報かPIN）を一度の操作で使うため、サインインの手間は短いまま、覚えている情報だけに頼らない形になります。
ただし、この説明の出どころは業界団体の資料です。普及を進める立場からの説明である点は踏まえて読んでおくほうが公平でしょう。実務的には「対応しているサービスでパスキーが選べるなら、サインインが短くて済む選択肢がある」と理解しておけば十分です。
どのサービスでも共通する設定の4ステップ
画面の文言はサービスごとに違いますが、流れはおおむね共通しています。
- アカウントの設定からセキュリティに関する項目を開く。「セキュリティ」「ログインとセキュリティ」「アカウント保護」など、名前はさまざまです
- 二段階認証（二要素認証）の項目で方法を選ぶ。前章の3段で絞ったものを選びます
- 届いたコード、またはアプリに表示されたコードを入力して確認する。認証アプリの場合は、画面のQRコードをアプリで読み取ってから、アプリに出た数字を入力する流れが一般的です
- バックアップコード（復元コード）を発行して保存する
4つ目を「おまけ」だと思わないでください。ここが設定作業の本体の半分です。発行されたコードは、スマホを失くしてもアカウントに入るための最後の手段になります。表示される枚数や桁数、呼び方はサービスごとに違うので、画面に出たものをそのまま保存するのが正解です。
なお、設定の途中でパスワード自体を見直す画面が出ることもあります。総務省は、流出の事実がなければパスワードの定期的な変更は不要だとし、むしろ使い回しや単純なパターン化を招くおそれがあると説明しています。やるべきなのはサービスごとに違うパスワードにすることで、定期的に変えることではありません。
備え（1）バックアップコードは発行した時点で紙に落とす
設定の4ステップ目で表示されたコードを、その画面を閉じる前に処理します。やることは1つだけです。印刷するか、手で紙に書き写す。
画面のスクリーンショットをスマホに保存するのは、一見すると手軽ですが筋が悪い方法です。理由は単純で、バックアップコードが必要になる場面の多くはそのスマホを失くした・壊した・替えたときだからです。失ったものの中に備えを入れておくと、備えとして働きません。クラウドのメモにそのまま貼るのも避けたほうがよいとされています。アカウントに入られたときに、一緒に読まれてしまいます。
紙にしたあとは、置き場所を1か所に決めます。重要なのは「安全な金庫に入れること」よりも、どこに置いたか自分が確実に思い出せることです。マイナンバーカードの通知書や年金手帳と同じ引き出しにまとめておく、といった決め方で構いません。
書類ごとまとめて保管したい場合は、こうしたケースに入れておく手もあります。
1,580円 （税込・2026-10-17時点）
★4.28（レビュー53件）｜THTECH
紙以外にも退避先を持っておきたい場合は、外付けのストレージにパスワード付きで置く方法もあります。容量と規格の決め方は在宅ワークの外付けSSDの選び方｜バックアップの目的別に容量と規格を決めるにまとめています。ただし、この記事でおすすめしたいのはあくまで紙を1枚作っておくことです。電源も端末も要らず、OSの更新で読めなくなることもないのが紙の強みです。
備え（2）機種を替える前に、移行の手順を確認する
認証アプリを使う場合、つまずきやすいのがスマホの機種変更のときです。新しい端末にアプリを入れただけでは、コードは出てきません。アプリの中にあったアカウントの登録情報を移す作業が必要です。
Googleの公式ヘルプでは、Google認証システムについて、新しい端末でアプリ内からGoogleアカウントにログインすると、コードがその端末に自動的に同期されると案内されています。Googleアカウントを使わずにアプリを使っている場合は、手動の移行手順があり、旧端末のアプリのメニューから「コードを移行」→「コードをエクスポート」をタップしてQRコードを作成し、新端末側で「QRコードをスキャン」（またはメニューの「コードを移行」→「コードをインポート」）から読み取る流れが示されています。
手動の移行は、旧端末がまだ使える状態であることが前提です。同期を使っていない人ほどここが肝心なところで、機種変更の当日や、旧端末を下取りに出したあとでは選べる手が減ります。
Microsoft Authenticatorにもバックアップと復元の仕組みがありますが、公式サポートにはバックアップと復元は同じデバイスタイプでのみ可能で、iOSでバックアップしたアカウントはAndroidで復元できないと明記されています。iPhoneからAndroidへ（またはその逆へ）乗り換える場合は、アプリのバックアップに頼れない前提で、旧端末が使えるうちに各サービスの設定画面で認証アプリを登録し直す段取りを考えておく必要があります。他の認証アプリも復元できる条件はアプリごとに違うため、使っているアプリの公式ヘルプで現在の手順を確認してください。
機種変更の予定が立った時点で、次の2つをやっておくと取りこぼしを減らせます。
- 使っている認証アプリの名前を確認し、公式ヘルプの移行手順を旧端末がまだ手元にあるうちに読む
- バックアップコードが紙にある状態を確認する（備え1）
パソコンの買い替えでも似たことが起きます。ブラウザに保存した情報やアプリの設定は、ファイルをコピーしただけでは移りません。何が移らないのかの整理はパソコン買い替えのデータ移行｜コピーしても移らない4つから片づけるで扱っています。認証アプリも、この「コピーしても移らないもの」の仲間だと考えておくと取りこぼしが減ります。
備え（3）スマホ1台に集約しない＝2本目の鍵を持つ
備え1と2をやっておくと、締め出される場面はかなり減ります。それでも残るのが、認証の手段がスマホ1台に集まっているという状態です。仕事で使うアカウントが多い人ほど、落としたときの影響が大きくなります。
ここで選択肢になるのが、物理的なセキュリティキーです。スマホとは別に持ち歩ける「鍵」で、パソコンのUSBポートに挿すか、スマホにNFCで近づけて使います。パスキーに対応したサービスでは、この鍵を認証の手段として登録できます。
選ぶときに先に見るのは、商品の性能ではなく次の2点です。
- 使いたいサービスが物理キーに対応しているか。対応していなければ出番がありません
- 自分の端末の接続に合っているか。パソコンのUSBがA型かC型か、スマホのNFCを使いたいか
カードの形をしたものなら、財布に入れて持ち歩けます。スマホと財布を別々に持つようにしておけば、スマホだけを失ったときにもう一方が残ります。置き場所を分けること自体が備えになります。
1,496円 （税込・2026-10-17時点）
★4.33（レビュー3件）｜ACS Japan 楽天市場店
パソコンのUSBポートに挿して使う形や、NFCとUSBの両方に対応したものもあります。仕事で止まると困るアカウントが多く、毎日使うことになりそうなら、こちらの形が扱いやすい場合があります。
10,880円 （税込・2026-10-17時点）
★4.25（レビュー8件）｜KKPL楽天市場店
物理キーを使う場合も、バックアップコードの紙は残しておいてください。鍵そのものを失くす可能性があるからです。なお、物理キーを複数登録できるかどうか、登録できる本数はサービスごとに違います。2本目を登録して別の場所に置いておきたい場合は、使っているサービスの設定画面で登録できる本数を確認してください。
設定しても残る穴（外出先の回線と、端末そのもの）
二段階認証を設定すると、パスワードが流出しても他人がログインしにくくなります。ただし、これで全部が解決するわけではありません。
総務省の資料では、ID・パスワードのリストを使ってログインを試す攻撃に対して二要素認証は有効な対策とされる一方で、不正なプログラムによって突破された例もあり、単独ではなく複数の対策を組み合わせることが重要だとされています。設定して安心しきってしまわないための前提として、この点は押さえておいてよいでしょう。
残る穴のうち、仕事で現実的に効くのは次の2つです。
- 外出先の回線と環境。カフェやコワーキングで作業するときは、つないでいる回線と、画面を見られる位置の問題が別に残ります。場面ごとに回線を選ぶ考え方はフリーWi-Fiの危険性と対策｜外で仕事するなら回線を場面で選ぶにまとめています
- パスワードの使い回し。二段階認証を設定したサービスは入られにくくなりますが、設定していないサービスで同じパスワードを使っていると、そこから情報が漏れます。総務省も、複数のサービスでの使い回しは避けるよう案内しています。覚えきれない場合はパスワード管理ツールの利用もすすめられています
よくある質問
Q. 全部のサービスに設定したほうがいいですか
最終的には設定したほうがよいですが、今夜全部やる必要はありません。この記事の棚卸しの表のとおり、止まると困る順に、まずメールから始めてください。1つ終えるたびにバックアップコードを紙にする、という完結した単位で進めるほうが、全部を中途半端に触るより安全です。
Q. SMSしか選べないサービスでも意味がありますか
あります。選べる方法がSMSだけなら、SMSで設定したほうが設定しないよりよい状態になります。総務省も多要素認証（2要素認証）の活用をすすめており、IPAの資料ではSMSのワンタイムパスワードも多要素認証の要件を満たすと説明されています。より多くの方法に対応したサービスでは、認証アプリやパスキーを選べばよい、という順序で考えてください。
Q. バックアップコードも失くしてしまったらどうなりますか
復旧の手順はサービスごとに違います。本人確認の書類を提出する窓口が用意されているサービスもあれば、復旧の手段が限られているサービスもあります。使っているサービスの公式のヘルプと問い合わせ窓口を確認してください。ここで一律の方法は案内できません。だからこそ、備え1（紙に落とす）を設定と同時に済ませておく価値があります。
まとめ：今夜やる3つ
- メールのアカウントに設定する。他のサービスのパスワード再設定の案内が届く場所なので、ここが最優先です
- 表示されたバックアップコードを紙に落とす。スクリーンショットをスマホに置くのは、失くしたときに一緒に消えるので避けます
- 機種変更の予定があるなら、移行手順だけ先に読んでおく。旧端末が手元にあるうちに確認するのが条件です
認証方法は、そのサービスが対応しているものの中から選べば十分です。SMSでも認証アプリでもパスキーでも、失ったときに戻れる状態を作ってあるかどうかで結果が変わります。
スマホ1台への集約が気になる場合は、財布に入れておける鍵を2本目の手段として持っておく選択肢もあります。
1,496円 （税込・2026-10-17時点）
★4.33（レビュー3件）｜ACS Japan 楽天市場店
在宅ワークと副業の環境づくり全体の優先順位は、在宅ワーク環境を快適にする作り方｜効果が大きい順と部屋・予算別の組み立てで順番に整理しています。アカウントの保護は、道具をそろえる前に済ませておける数少ない項目のひとつです。
参照した公式情報（取得日）
※出典はいずれも 2026-10-18 時点の公開情報で確認したものです。設定画面の表記や手順は変わることがあるため、実際に設定するときは各ページを直接ご確認ください。
- 総務省｜国民のためのサイバーセキュリティサイト（一般利用者の対策） — 多要素認証（2要素認証）の活用／パスワードの使い回しを避ける／流出がなければ定期変更は不要／パスワード管理ツールの利用
- 総務省｜2段階認証や多要素認証でセキュリティを高めよう（情報通信白書 for Kids） — 記憶・所持・生体情報の3要素の分類
- 総務省｜リスト型アカウントハッキングによる不正ログインへの対応方策について（平成25年12月） — 二要素認証は有効だが単独では足りず、複数の対策の組み合わせが重要
- IPA｜不正ログイン対策特集ページ — 使い回さないパスワードと多要素認証の設定
- IPA｜情報セキュリティ10大脅威 知っておきたい用語や仕組み（2024年6月） — 認証要素の分類／SMSのワンタイムパスワードも多要素認証の要件を満たす
- FIDO Alliance｜パスキー（パスキー認証器） — パスワードに代わる仕組み／端末のロック解除と同じ生体認証やPINでサインインを承認／フィッシングに強い
- Google アカウント ヘルプ｜Google 認証システムで確認コードを取得する — 新端末でGoogleアカウントにログインするとコードが同期／手動移行は「コードを移行」→「コードをエクスポート」→QRコード
- Microsoft サポート｜Microsoft Authenticator でアカウントをバックアップする — バックアップと復元は同じデバイスタイプでのみ可能（iOSでバックアップしたアカウントはAndroidで復元できない）
コメント