取引所が対応している場合は、フィッシング耐性のあるセキュリティキーまたはパスキーを使ってください。対応していない場合は専用の認証アプリを使います。復旧コードはオフラインで保管し、予備の第2要素を登録して、アカウントを密かに弱めるSMS復旧経路を削除してください。
実行チェックリスト#
- 最初にパスワードを変更し、他のセッションからログアウトする。 2FA設定は、資産や署名権限が別の手に渡る前に完了し、その後の状態も確認します。
- FIDOキーを2本、または1本と慎重に保護した予備手段を登録する。 これも資産や署名権限が動く前に完了し、登録結果を確認してください。
- 復旧コードをダウンロードし、パスワードとは別のオフライン場所に保管する。 設定後、秘密情報を露出させず復旧可能性を確認します。
- ログイン、出金、セキュリティ設定変更に2FAを必須にする。 緊急性を理由にウォレットやアカウントが露出してよい範囲が広がらないよう、先に境界を決めます。
- 予備の認証要素をプライベートブラウザでテストしてから依存する。 誤った前提があっても大きな損失なく修正できるよう、最初の試験範囲を小さくします。
操作前に理解すること#
二要素認証が役立つのは、第2要素をパスワードと同じ程度に簡単に盗んだり再設定したりできない場合です。SMSはSIMスワップ詐欺で転送される可能性があり、ワンタイムコードはリアルタイムでフィッシングされます。ハードウェアで保護されたFIDO認証情報は、認証前に正規ドメインを確認します。
2FA設定では、操作前に検証できることと、操作後にしか監視できないことを分けてください。後者には明確な上限を設けます。
より安全な標準設定#
パスキーまたはセキュリティキーに対応するアカウントでは、入力型コードよりそれらを優先します。TOTPが最善の選択肢なら、専用の認証アプリを使い、そのバックアップを保護し、サポート担当者へコードを読み上げないでください。
なお起こり得る失敗#
- SMSを利用可能な中で最強の認証要素として扱う。 2FA設定の判断に必要な要素が欠け、見かけの結果を信頼できなくなります。
- TOTPの秘密情報をアカウントパスワードと同じ場所へ保存する。 根本の認証情報が漏れ、後でパスワードを変更しても攻撃者のアクセスが残る可能性があります。
- 復旧計画なしでセキュリティキーを1本だけ保有する。 2FA設定の被害範囲を限定するはずの対策そのものが弱くなります。
- 自分が開始していないログイン要求を承認する。 アカウントを守る対策を自ら無効化します。
保存すべき確認情報#
画面に成功と表示されたことだけで、2FA設定の結果を判断しないでください。ページを閉じた後も確認できる証拠を使います。
| 確認点 | 証拠 | 中止条件 |
|---|---|---|
| 最初にパスワードを変更し、他のセッションからログアウト | 秘密情報を除いた、日付入りの設定確認、復旧テスト、認証済み設定記録 | SMSを最強の認証要素として扱っている |
| FIDOキー2本、または1本と保護した予備を登録 | 秘密情報を除いた、日付入りの設定確認、復旧テスト、認証済み設定記録 | TOTPの秘密情報をパスワードと一緒に保存している |
| 復旧コードをパスワードと別のオフライン場所へ保管 | 秘密情報を除いた、日付入りの設定確認、復旧テスト、認証済み設定記録 | 復旧計画なしでキーが1本しかない |
2FA設定の記録に役立つ場合は、トランザクションハッシュ、公式の受付番号、日付入りスクリーンショットを保存してください。ただし、シードフレーズ、秘密鍵、認証コードは除外します。
よくある質問#
認証アプリのコードもフィッシングされますか？
はい。偽ログインページは、有効期限が切れる前に現在のコードを中継できます。ドメインに紐づくFIDO認証は、この中継に耐性があります。
SMSを予備として残すべきですか？
取引所により安全な復旧方法がない場合に限ります。復旧経路が攻撃者にとって最も簡単な入口になることがあります。
スマートフォンを紛失したらどうしますか？
保護された認証アプリのバックアップまたはオフライン復旧コードから復元し、ログイン後に古い認証要素を更新してください。
関連ガイド#
情報源#
リスクに関する注意： 暗号資産の操作は取り消せない場合があります。シードフレーズ、秘密鍵、パスワード、認証コードを共有せず、すべてのドメインとウォレット要求を独立して確認してください。
編集方針
本記事は教育目的で、信頼できる情報源に基づいています。セキュリティ対策、取引所のルール、法的要件は変わるため、重要な操作の前に公式情報を確認してください。
