こんにちは！こんばんは！
ないとめあです。
ご訪問ありがとうございます。
主要3大アカウント（Microsoft・Google・Apple）に
設定して気づいた「抜け道」ともやもやの解消法
最近、証券口座や各種ウェブサービスでのアカウント乗っ取り被害のニュースをよく目にするようになりました。
「二要素認証を設定しているのに突破された」という話を聞くと、「情報を管理している大元のサービス（GoogleやMicrosoftなど）がやられたのでは？」と不安になりますよね。
しかし、実際の乗っ取り原因の多くは「リアルタイム・フィッシング攻撃（AiTM攻撃）」と呼ばれる手法で、ログイン時のワンタイムパスワードなどが攻撃者に横取りされているケースがほとんどです。このフィッシング攻撃を原理的に防げる唯一の決定打が、FIDO（ファイド）規格に対応した物理セキュリティキー（YubiKeyなど）です。
今回、私もセキュリティ対策を本気で見直すべく、主要な3大アカウント（Microsoft、Google、Apple）にセキュリティキーを導入してみました。実際に設定してみて分かった「セキュリティキーを挿しても残るログインの抜け道」と、それを完全に塞ぐための設定手順をまとめます。
物理セキュリティキーが「最強」と言われる理由
まず前提として、従来のSMS認証や認証アプリによる「ワンタイムパスワード」は、攻撃者が用意した偽のログイン画面に入力してしまうと、そのまま突破されてしまいます。
一方、セキュリティキー（FIDO認証）は「今開いているブラウザのURL（ドメイン）」と「認証情報」を物理キー内で照合します。仮に偽サイトへ誘導されてキーをタップしても、ドメインが異なるため認証情報が送信されません。
物理的にキーを持っていない限り、世界のどこから攻撃されても突破されないのが最大のメリットです。
3大アカウントに導入して感じた「もやもや」の正体
さっそく「Microsoft」「Google」「Apple」の3つのアカウントに物理キーを登録しました。これで完璧！…と思ったのですが、ある疑問が浮かびました。
「セキュリティキーを使わなくても、パスワードや従来の認証でログインできてしまう抜け道が残っていませんか？」
セキュリティキーをせっかく買ったのに、従来のパスワード認証が生きていると「そこから破られたら意味がないのでは？」ともやもやしますよね。実は、各サービスの設定をもう少し踏み込むことで、この「抜け道」を完全に遮断することができます。
各アカウントの「抜け道」を完全に塞ぐ設定ガイド
1. Microsoftアカウント：「完全パスワードレス」にする
Microsoftは、パスワードという概念そのものをアカウントから削除できます。
-
設定手順:
-
Microsoftアカウントの「セキュリティ」＞「詳細なセキュリティ オプション」を開く。
-
「パスワードレス アカウント」を「有効」にする。
-
これでパスワードによるログインが一切不可能になり、セキュリティキーまたはMicrosoft Authenticator等の暗号化認証のみに限定されます。
2. Googleアカウント：「高度な保護機能」を活用する
Googleは標準設定のままだとフォールバック（SMSやパスワード）が残りやすい仕様になっています。完全に固めるなら以下の設定が有効です。
-
手軽な対策: 「セキュリティ」タブ ＞「可能な場合はパスワードをスキップする」をオン。
-
最強の対策（推奨）: 「高度な保護機能プログラム（Advanced Protection Program）」に登録する。
「高度な保護機能プログラム」に登録すると、セキュリティキー以外のほぼすべてのログイン手段（SMSコード送信やメール通知など）が強制的に無効化され、物理キーがないと絶対にログインできなくなります。
3. Appleアカウント：信頼済みデバイスとの強固な連携
Appleアカウント（Apple ID）は、物理キー設定時に「予備を含む2本以上のキー登録」が義務付けられるなど厳格です。
Appleの場合、物理キーが手元になくても「手持ちのiPhoneやMac（信頼済み端末）での承認」が残ります。一見抜け道に見えますが、Appleは端末内のSecure Enclave（安全なチップ領域）で強力に保護されているため、遠隔からの第三者によるログインはほぼ不可能です。
物理キー＋設定の見直しで安心を手に入れよう
新しい端末からログインしようとした際、「手元の信頼済み端末での承認」や「セキュリティキーの物理タップ」が要求される状態を作れれば、フィッシング攻撃による乗っ取りリスクはほぼゼロになります。せっかくセキュリティキーを導入したなら、Microsoftの「パスワードレス化」、Googleの「高度な保護機能プログラム」まで設定を押し進めてみてください。
「キーを持っていない人は絶対にログインできない」という環境を作ることで、毎日のログインに関する不安をすっきり解消できます！
では、また。
