メール、決済、SNSのアカウントはすべて二段階認証を有効にし、スマホの画面での確認を優先し、SMSの認証コードは次の手段にする
- コスパ最高
- 根拠 A
- お金
- お金ゼロ
- 数分でできる
- 気力いらず
ひとことで
二段階認証とは、ログインのときにパスワードに加えて、本人であることをもう一度確認する仕組みです。スマホに出る確認画面で「はい」を押すだけの方法なら、フィッシングによるアカウント乗っ取りの9割以上を防げます。「前回どこでログインしたか」「バックアップのメールアドレスは何か」といった質問に答える古い方法では、フィッシングによる乗っ取りを防げるのは1割ほどです。
- コスト
-
お金はかかりません。アカウントごとに一度設定すれば、2〜3分で済みます。
- 得られるもの
-
Googleは、実際にあったアカウント乗っ取りの試みを35万回集計しました（アカウント乗っ取りはアカウントハイジャックとも呼ばれます）。一つは端末を使って確認する方法で、スマホに出る確認画面を押す方式や、セキュリティキーを差し込む方式がこれにあたります。この方法は、「フィッシングによる乗っ取りの試みの94%超と、自動化された乗っ取りの試みの100%」を防ぎました。フィッシングとは、偽のサイトでパスワードを入力させられることです。自動化とは、流出したパスワードを機械で大量に試すことです。もう一つは質問に答えて確認する方法で、「前回どこでログインしたか」「バックアップのメールアドレスは何か」などを尋ねます。こちらが防げたのは、フィッシングによる乗っ取りの10%ほどから、自動化された乗っ取りの73%までです。
- 補足
-
同じ研究では、この種の確認が本人を締め出すこともあると分かっています。正規の利用者の52%は最初のログインに失敗しましたが、最終的には97%がログインできました。まずはメールのアカウントに設定してください。ほかのアカウントのパスワードの多くは、メールで再設定できるからです。認証コードは自分だけで使い、他人のために伝えたり、顔認証をしたりしてはいけません。その場合に負うことになるものは、第8節第45項（認証コードを教える）を見てください。
- 根拠のレベル
- A : メタ分析・大規模コホート・ランダム化試験の具体的な数字がある。法律・制度は条文や公式資料に当たっている.
- 出典
-
- Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
この項目に触れている項目
中国語の原書からの翻訳です。 原書 第 14 節 第 1 項. 内容が古くなっている場合があり、制度は地域によって違います。実際に手続き・受診・裁判をするときは、窓口・医師・弁護士の説明に従ってください。 免責事項