多要素認証とは？
多要素認証とは、「知識（パスワード等）」「所持（トークン、スマートフォン等）」「生体（指紋、虹彩等）」という異なる種類の要素を2つ以上組み合わせる認証。1要素が破られても突破されにくくする。
情報処理安全確保支援士試験の過去問では2回出題されています（2022年度〜2025年度）。
たようそにんしょう
多要素認証の意味
「知識（パスワード等）」「所持（トークン、スマートフォン等）」「生体（指紋、虹彩等）」という異なる種類の要素を2つ以上組み合わせる認証。1要素が破られても突破されにくくする。
多要素認証の具体例
パスワード＋ワンタイムパスワードアプリの組合せは知識と所持の2要素。
多要素認証は試験でどう引っ掛けられる？
「パスワード＋秘密の質問」はどちらも知識なので多要素ではない（多段階認証ではある）。多要素と多段階の区別が頻出。
多要素認証と関連する用語
多要素認証が出た過去問
パスワードスプレー攻撃に該当するものはどれか。
正解：攻撃の時刻と攻撃元IPアドレスとを変え,かつ,アカウントロックを回避しながらよく用いられるパスワードを複数の利用者IDに同時に試し,ログインを試行する。
要点：スプレー攻撃は少数のパスワードを多数のIDへ薄く試す
パスワードスプレー攻撃は、一つのIDに多数のパスワードを試すのではなく、よく使われる少数のパスワードを多数のIDに広く薄く試す手法である。IDごとの失敗回数が少ないためアカウントロックにかからず、試行の時刻や送信元アドレスも分散させるため、従来の閾値による検知をすり抜けやすい。対策には推測されやすいパスワードの禁止や、認証全体の傾向を見る監視、多要素認証が有効である。
出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問6（IPA）Pass the Hash攻撃はどれか。
正解：パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。
要点：Pass the Hashは盗んだハッシュ値のまま認証を通す横展開手口
WindowsのNTLM認証などでは、平文パスワードではなくそのハッシュ値そのものが認証の資格情報として使われる。Pass the Hashは、侵入した端末のメモリなどから抜き取ったハッシュ値をそのまま提示して他の端末やサーバへログインする手口で、パスワードを解読する必要がない。管理者資格情報の使い回しがあると横展開が容易になるため、特権の分離やLSAの保護、多要素認証の導入が対策となる。
出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。