多要素認証とは？たようそにんしょう
多要素認証とは、知識（パスワードなど）、所持（トークンやスマートフォン）、生体（指紋や虹彩）という種類の異なる要素を2つ以上組み合わせる認証方式。要素の種類が違うことが条件で、一つが漏れても残りが別の攻撃手段を要求するため、単独の手口では突破が成立しなくなる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パスワードは使い回しと漏えいを避けきれず、他サービスから流出した組合せをそのまま試すパスワードリスト攻撃が成立する。強度を上げる方向には限界があるため、盗み方の性質が異なる要素を重ねる方向へ設計が移った。ただし要素を増やすほど利用者の手間も増えるので、状況に応じて追加要素を求めるリスクベース認証との併用が実務的な着地になる。
具体例
インターネットバンキングでは、パスワードに加えて専用アプリが表示するワンタイムパスワードを求める構成が一般的。GoogleやMicrosoftのアカウントでも、FIDOセキュリティキーやスマートフォンへの通知承認を第二の要素として選べる。
試験での引っ掛け
パスワードと秘密の質問はどちらも知識要素なので多要素にならない（多段階認証ではある）。多要素と多段階の区別が定番。SMSで受け取るワンタイムパスワードは、SIMスワップや中継型フィッシングで奪われうる点も論点になる。
関連用語
出た過去問
出典：令和4年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6（IPA）解説で登場
パスワードスプレー攻撃に該当するものはどれか。
正解：攻撃の時刻と攻撃元IPアドレスとを変え,かつ,アカウントロックを回避しながらよく用いられるパスワードを複数の利用者IDに同時に試し,ログインを試行する。
要点：スプレー攻撃は少数のパスワードを多数のIDへ薄く試す
パスワードスプレー攻撃は、一つのIDに多数のパスワードを試すのではなく、よく使われる少数のパスワードを多数のIDに広く薄く試す手法である。IDごとの失敗回数が少ないためアカウントロックにかからず、試行の時刻や送信元アドレスも分散させるため、従来の閾値による検知をすり抜けやすい。対策には推測されやすいパスワードの禁止や、認証全体の傾向を見る監視、多要素認証が有効である。
出典：令和7年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問2（IPA）解説で登場
Pass the Hash攻撃はどれか。
正解：パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。
要点：Pass the Hashは盗んだハッシュ値のまま認証を通す横展開手口
WindowsのNTLM認証などでは、平文パスワードではなくそのハッシュ値そのものが認証の資格情報として使われる。Pass the Hashは、侵入した端末のメモリなどから抜き取ったハッシュ値をそのまま提示して他の端末やサーバへログインする手口で、パスワードを解読する必要がない。管理者資格情報の使い回しがあると横展開が容易になるため、特権の分離やLSAの保護（資格情報を持つプロセスの防御）、多要素認証の導入が対策となる。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。