多要素認証・二要素認証とは？
多要素認証・二要素認証とは、認証の3要素（記憶・所持・生体）のうち、異なる種類を2つ以上組み合わせて本人確認を行う方式。同じ種類を2つ使う（パスワードと秘密の質問など）のは多要素認証とは呼ばない点に注意が必要。
情報セキュリティマネジメント試験の過去問では5回出題されています（2016年度〜2024年度）。
たようそにんしょう・にようそにんしょう
多要素認証・二要素認証の意味
認証の3要素（記憶・所持・生体）のうち、異なる種類を2つ以上組み合わせて本人確認を行う方式。同じ種類を2つ使う（パスワードと秘密の質問など）のは多要素認証とは呼ばない点に注意が必要。
多要素認証・二要素認証の具体例
オンラインバンキングでログイン時にパスワード（記憶）に加えて、スマートフォンアプリに届くワンタイムパスワード（所持）の入力を求める。
多要素認証・二要素認証は試験でどう引っ掛けられる？
パスワードと秘密の質問はどちらも「記憶」要素であり、2つ入力させても二要素認証にはならない。
多要素認証・二要素認証と関連する用語
多要素認証・二要素認証が出た過去問
ICカードとPINを用いた利用者認証における適切な運用はどれか。
正解：PINは、ICカードの配送には同封せず、別経路で利用者に知らせる。
要点：所持と記憶の二要素は経路を分けて渡すのが原則
ICカードとPINの組合せは「所持」と「記憶」による二要素認証であり、カード本体とPINが同時に第三者の手に渡らないよう分離して管理することが原則である。したがってカードを郵送する場合、PINを同封せず別経路で通知するのが適切な運用となる。カードとPINが一緒に盗まれれば二要素の意味が失われ、単なる一要素認証に成り下がる。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問1（IPA）パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、別のサイトから流出した利用者IDとパスワードの組を、そのまま他のサイトのログインに使い回す攻撃である。多くの利用者が複数サイトで同じIDとパスワードを使い回している事実を悪用しており、正しい組合せなので試行回数が少なく、ロックアウトにもかかりにくい。対策は利用者側のパスワード使い回しの回避と、サイト側の多要素認証の導入である。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問26（IPA）特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試す攻撃である。正しい組合せを使うため認証は一度で成功しやすく、パスワードの使い回しをしている利用者が狙われる。桁数を増やしても防げないため、サービスごとに異なるパスワードを使うことと多要素認証の導入が対策になる。
出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問16（IPA）特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードの使い回しがリスト攻撃の成立条件
パスワードリスト攻撃は、他所から流出した利用者IDとパスワードの組をそのまま別のサービスで試すものである。同じ組合せを使い回している利用者がいる限り、少ない試行で成功するため、回数制限だけでは防ぎにくい。利用者側でのパスワード使い回しの回避と、多要素認証の導入が有効な対策になる。
出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問16（IPA）A社は，従業員100名の食品製造・販売会社である。A社では，営業部が取り扱う顧客情報をX社のSaaSであるX顧客管理サービス（以下，Xサービスという）を利用して…
正解：有効から無効に変更する機能：機能1／無効から有効に変更する機能：機能4
要点：社外利用にはIP制限の解除と多要素認証の追加をセットで行う
社外からXサービスを使えるようにするには、社内のグローバルIPアドレスからのアクセスだけを許す機能1を無効にする必要があります。ただしそれだけでは利用者IDとパスワードだけが頼りになるため、所持要素であるワンタイムパスワードの機能4を有効にして認証を強化します。この二つの組合せが、利用範囲の拡大とリスク低減を両立させる変更です。
出典：令和6年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問13（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。