多要素認証・二要素認証とは？たようそにんしょう・にようそにんしょう
多要素認証・二要素認証とは、認証の3要素、すなわち記憶（本人だけが知っているもの）・所持（本人だけが持っているもの）・生体（本人自身の特徴）のうち、種類の異なるものを2つ以上組み合わせて本人確認を行う方式。2つを組み合わせる場合を特に二要素認証という。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パスワードは、漏えいしても本人が気づけず、使い回しによって別のサービスの漏えいが波及する。長さや複雑さを求めるだけでは限界があるため、盗まれ方の異なる要素をもう一つ重ね、片方が破られても不正利用に至らない構えへ移った。単に入力する項目を増やすのではなく、種類の違う要素を組み合わせることが要点である。
具体例
オンラインバンキングでは、パスワード（記憶）に加えてスマートフォンのアプリに届くワンタイムパスワード（所持）を求める。GoogleやMicrosoftのアカウントでも、FIDO2に対応したYubiKeyなどのセキュリティキーを所持要素として使える。
試験での引っ掛け
パスワードと秘密の質問はどちらも記憶要素なので、2つ入力させても二要素認証にはならない。また多要素認証と多段階認証は別の観点で、入力を2段階に分けても要素の種類が同じであれば多要素にはならない点が引っ掛けになる。
関連用語
出た過去問
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問1（IPA）解説で登場
ICカードとPINを用いた利用者認証における適切な運用はどれか。
正解：PINは、ICカードの配送には同封せず、別経路で利用者に知らせる。
要点：所持と記憶の二要素は経路を分けて渡すのが原則
ICカードとPINの組合せは「所持」と「記憶」による二要素認証であり、カード本体とPINが同時に第三者の手に渡らないよう分離して管理することが原則である。したがってカードを郵送する場合、PINを同封せず別経路で通知するのが適切な運用となる。カードとPINが一緒に盗まれれば二要素の意味が失われ、単なる一要素認証に成り下がる。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問26（IPA）解説で登場
パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、別のサイトから流出した利用者IDとパスワードの組を、そのまま他のサイトのログインに使い回す攻撃である。多くの利用者が複数サイトで同じIDとパスワードを使い回している事実を悪用しており、正しい組合せなので試行回数が少なく、ロックアウトにもかかりにくい。対策は利用者側のパスワード使い回しの回避と、サイト側の多要素認証の導入である。
出典：平成31年度 春期 情報セキュリティマネジメント試験 午前 問16（IPA）解説で登場
特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードリスト攻撃は流出した認証情報の使い回しを突く
パスワードリスト攻撃は、他のサービスから漏えいしたIDとパスワードの組をそのまま別のサービスで試す攻撃である。正しい組合せを使うため認証は一度で成功しやすく、パスワードの使い回しをしている利用者が狙われる。桁数を増やしても防げないため、サービスごとに異なるパスワードを使うことと多要素認証の導入が対策になる。
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問16（IPA）解説で登場
特定のサービスやシステムから流出した認証情報を攻撃者が用いて、認証情報を複数のサービスやシステムで使い回している利用者のアカウントへのログインを試みる攻撃はどれ…
正解：パスワードリスト攻撃
要点：パスワードの使い回しがリスト攻撃の成立条件
パスワードリスト攻撃は、他所から流出した利用者IDとパスワードの組をそのまま別のサービスで試すものである。同じ組合せを使い回している利用者がいる限り、少ない試行で成功するため、回数制限だけでは防ぎにくい。利用者側でのパスワード使い回しの回避と、多要素認証の導入が有効な対策になる。
出典：令和6年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問13（IPA）解説で登場
A社は，従業員100名の食品製造・販売会社である。A社では，営業部が取り扱う顧客情報をX社のSaaSであるX顧客管理サービス（以下，Xサービスという）を利用して…
正解：有効から無効に変更する機能：機能1／無効から有効に変更する機能：機能4
要点：社外利用にはIP制限の解除と多要素認証の追加をセットで行う
社外からXサービスを使えるようにするには、社内のグローバルIPアドレスからのアクセスだけを許す機能1を無効にする必要があります。ただしそれだけでは利用者IDとパスワードだけが頼りになるため、所持要素であるワンタイムパスワードの機能4を有効にして認証を強化します。この二つの組合せが、利用範囲の拡大とリスク低減を両立させる変更です。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ 情報セキュリティ技術（利用者認証）に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。