はじめに
「スマホを変えたら認証アプリが使えなくなった」「SMSのコードが届かない」
——多要素認証（MFA）を導入した途端、この手の問い合わせが急増した。そんな経験はありませんか？
多要素認証（MFA：Multi-Factor Authentication）とは、パスワードに加えて、スマホの認証アプリや生体認証など「異なる種類の要素」を組み合わせて本人確認する仕組みです。パスワードが漏れても、もう一つの要素がなければ突破されにくい。いまやセキュリティ対策の第一歩です。
導入の流れは業界全体で加速しています。金融業界では、日本証券業協会が2025年10月にガイドラインを改正し、フィッシング耐性のある多要素認証を必須化しました。一般企業でも、Microsoft 365やGoogle WorkspaceがMFAを標準要求へと進めており、「MFAなしの運用」は選択肢から消えつつあります。
問題は、セキュリティが上がった分だけ「つまずく社員」が増えることです。この記事では、MFAでよくあるつまずき4パターンの対処法と、問い合わせ対応そのものを軽くする仕組みづくりを、金曜恒例のTips形式でまとめます。
よくあるつまずき4パターンと対処の型
パターン1：認証アプリの初期設定が分からない
最初のQRコード読み取りでつまずくケースです。対処はシンプルで、「スクリーンショット付きの手順書を、登録作業の前に配る」こと。文字だけの手順書は読まれません。画面写真1枚に赤枠を1つ、の粒度で作ります。
パターン2：SMSコードが届かない
原因は通信状況、迷惑メッセージフィルタ、機種変更後の番号未更新など様々です。切り分けの順番を決めておきます。①電波状況→②迷惑メッセージ設定→③登録電話番号の確認。この順で見れば大半は解決します。そもそも論として、SMS認証はフィッシング耐性が低いため、認証アプリやパスキー（生体認証でログインする新しい仕組み）への誘導を中期的には検討しましょう。
パターン3：機種変更で認証アプリが引き継げない
MFAトラブルの王様です。旧端末を初期化する前に認証アプリの引き継ぎ設定が必要、という知識が社員側にないために起きます。対策は2段構え。①機種変更の申請フローに「認証アプリ引き継ぎ確認」の項目を入れる、②それでも起きた場合に備え、情シス側でMFAリセットの手順を確立しておく。
パターン4：プッシュ通知の承認画面が出ない
通知設定オフ、省電力モード、アプリのバージョン違いが三大原因です。あわせて注意したいのが「MFA疲労攻撃」。攻撃者が承認通知を連打し、うっかり承認させる手口です。「身に覚えのない承認通知は絶対に押さず、情シスに連絡」を周知しておきましょう。
対応を長引かせない鍵は「相手の画面が見えること」
つまずき対応の時間の大半は、実は「状況の把握」に消えます。
電話口で「いま何が表示されていますか？」「右上に歯車はありますか？」と聞きながら進める対応は、お互いに消耗します。相手が見ている画面と、こちらが想像している画面がズレたまま進むからです。
そこで効くのが、相手の画面を見ながら案内できる環境です。選択肢は規模と予算に応じて段階があります。
- 社用端末なら：MDM（モバイルデバイス管理）やリモートサポートツールの画面共有機能。日常の資産管理と兼用できるため、一人情シスにはまず本命です
- Web会議ツールの画面共有：追加費用ゼロで始められる現実解。TeamsやMeetで「画面共有しながら一緒に操作」するだけで、電話だけの対応より大幅に早く終わります
- 顧客向けサポートが必要な業種なら：アプリのインストール不要で接続でき、口座番号などの機密欄をマスキング（オペレーター側から見えなく）できる遠隔サポート専用ツールも市場にあります。金融機関のMFAサポートではこの種のツールが導入されています
どの手段でも、画面を勝手に見ない・操作は本人の承認を得る、という透明性のルールをセットで整備してください。便利さと監視感は紙一重です。社内向けでも「画面共有は本人の同意を得てから」を明文化しておくと、余計な不信を生みません。
問い合わせを「そもそも減らす」3つの仕込み
1. つまずき4パターンのFAQを先回りで公開する。上記4パターンだけで、MFA問い合わせの大半をカバーできます。社内ポータルやチャットの固定メッセージに置き、問い合わせが来たらまずFAQのリンクを返す運用にします。
2. MFAリセットの本人確認手順を決めておく。リセット依頼は「本人を装った攻撃者」の常套手段でもあります。上長経由の依頼に限定する、ビデオ通話で顔を確認する、など自社なりの本人確認ルールを先に決めておくと、緊急時に迷いません。
3. 導入・変更のタイミングで「つまずき祭り」を見込む。MFAの新規導入時、認証アプリの変更時、全社機種変更時は、問い合わせが集中する日をあらかじめカレンダーに確保しておきます。「その週は他の作業を入れない」だけで、心の余裕がまるで違います。
落とし穴：セキュリティを固めるほど、抜け道が生まれる
最後に注意点をひとつ。MFAのつまずき対応が面倒になると、現場では「MFAを外してほしい」という圧力が必ず発生します。ここで例外を認め始めると、セキュリティは静かに崩れます。
例外を求められたら、外すのではなく「よりつまずきにくい認証方式に変える」方向で応えましょう。SMSより認証アプリ、認証アプリよりパスキー。セキュリティと使いやすさは、方式の選択次第で両立できます。
まとめ
MFAのつまずきは、①手順書の先回り配布、②切り分け手順の型化、③画面を見ながらの案内、④FAQとリセットルールの整備でほぼ制圧できます。導入して終わりではなく、「つまずく前提」で運用を設計する。それが結局、セキュリティを長持ちさせる近道です。
なお、夏季休暇前のセキュリティ点検については、こちらの記事もどうぞ。
［リンク: 夏季休暇前に必ずやっておきたい｜一人情シスのためのIT点検チェックリスト10項目］
Mobitech Solutionへのご相談
「MFAを導入したいが、問い合わせ対応が回るか不安」「機種変更フローも含めて設計してほしい」——Mobitech Solutionでは、認証まわりの制度設計からMDMとの連携、社員向け手順書の整備までお手伝いしています。つまずきの少ないMFA運用を作りたい方は、お気軽にご相談ください。
