Microsoft Authenticatorを入れたスマホを紛失し、Microsoftアカウントへサインインできなくなると、「以前使っていたパスワードを入力すれば戻れるのでは」と考えがちです。
しかし、Microsoftアカウントをパスワードレスにしている場合、アカウントからパスワード自体が削除されています。そのため、過去に使っていたパスワードを入力して復旧する方法ではなく、登録済みのWindows Hello、セキュリティキー、メールやSMSなど、現在利用可能な別の本人確認方法からサインインを試すのが基本です。Microsoftも、Authenticatorへアクセスできない場合は他の登録済み認証方法を利用するよう案内しています。
重要なのは、新しいスマホにAuthenticatorを入れ直すことより先に、アカウントへ本人としてサインインできる手段が残っているか確認することです。アクセスを取り戻した後に紛失端末の認証方法を削除し、代替手段を追加して再発を防ぎます。
パスワードレスのMicrosoftアカウントでスマホを失ったときの確認順
Microsoftアカウントをパスワードレスにすると、Microsoft Authenticatorだけでなく、Windows Hello、物理的なセキュリティキー、SMSコードなど、パスワードを使わない方法でサインインします。利用できる方法は、そのアカウントに事前登録されている内容によって異なります。
スマホを紛失した場合は、次の順番で確認すると状況を整理しやすくなります。
| 確認すること | 対応 |
|---|---|
| 別の認証方法が残っている | その方法でサインインする |
| 2段階認証を有効にしている | 必要な複数の確認方法を利用できるか確認する |
| Authenticatorしか使えない状態 | 通常の端末交換ではなく、アカウント回復が必要な状態として扱う |
| サインインできた | 紛失端末の認証方法を整理し、予備の認証方法を追加する |
| パスワードを再び使いたい | サインイン後にパスワードレスを無効化する |
まず「別のサインイン方法」がないか確認する
Microsoftアカウントのサインイン画面では、表示される選択肢を確認し、Authenticator以外の登録済み認証方法が利用できないか探します。
たとえば、事前に登録していれば次のような方法を利用できる可能性があります。
- Windows Hello
- 物理的なセキュリティキー
- SMSコード
- メールによる確認
- Authenticator以外に登録済みのサインイン方法
Microsoftは、パスワードレスアカウントで利用できる方法として、Authenticator、Windows Hello、物理的なセキュリティキー、SMSコードなどを案内しています。
ただし、「一般的に利用できる認証方法」と「自分のサインイン画面に表示される方法」は同じとは限りません。
事前に登録していない認証方法を、スマホ紛失後にその場で選べるとは限らないため、実際の画面に表示された選択肢を基準に判断してください。
「昔のパスワードを入力する」は基本的な復旧方法にならない
ここがパスワードレスアカウントで特に混乱しやすい点です。
Microsoftアカウントのパスワードレス機能は、単に「パスワード入力を省略している」のではありません。Microsoftは、パスワードレス化をアカウントからパスワードを削除して別の方法でサインインする仕組みとして説明しています。
そのため、
「Authenticatorが使えない」
↓
「パスワード入力に切り替える」
↓
「以前設定していたパスワードを入力する」
という流れで必ず復旧できるわけではありません。
以前使用していた文字列を覚えていても、それが現在のパスワードとして残っているとは考えない方が安全です。
2段階認証を使っている場合は「認証方法がいくつ残っているか」が重要
Microsoftアカウントで2段階認証を有効にしている場合は、単に別の認証方法が1つ見つかればよいとは限りません。
Microsoftは、2段階認証を有効にしているアカウントでは、Authenticatorへアクセスできなくなった場合に2つの回復方法へアクセスできる必要があると案内しています。
そのため、たとえば次のような状態では状況が大きく異なります。
Authenticator以外にも複数の方法が残っている
たとえば、紛失したAuthenticatorとは別に、利用可能なメールアドレスやセキュリティ情報が登録されている状態です。
画面に提示された認証方法で必要な確認を完了できるなら、そのままアカウントへアクセスできる可能性があります。
Authenticatorしか利用できる方法が残っていない
この場合は、「新しいスマホへ機種変更しただけ」のケースとは分けて考える必要があります。
新しいAuthenticatorをインストールするだけで、紛失した端末と同じ承認機能が自動的に復活するわけではありません。
Microsoftは2段階認証について、必要な連絡方法へアクセスできなくなるとアカウントへのアクセス回復に時間がかかったり、場合によってはアクセスできなくなったりする可能性があると説明しています。
認証方法が残っていない場合は、Microsoftが提供するサインインヘルパーなど、正規のアカウント回復手段を確認します。サポート担当者が本人確認を迂回してアカウント情報を変更したり、特別なパスワードリセットを行ったりできる仕組みではありません。
Authenticatorのバックアップがあっても、そのままパスワードレス認証が戻るとは限らない
「Authenticatorはバックアップしていたから大丈夫」と考えている場合も注意が必要です。
Microsoft Authenticatorにはバックアップ・復元機能がありますが、アプリのバックアップを復元できることと、Microsoftアカウントへの本人確認を完了できることは別問題です。
Microsoftの案内では、個人用Microsoftアカウントでパスワードレスサインインを使用している場合、Authenticatorのバックアップに保存されるのはアカウント名であり、復元後には再度サインインする必要があります。
つまり、
「Authenticatorを新しいスマホへ復元した」
＝
「紛失前と同じように承認通知を受け取れる」
とは限りません。
バックアップは重要ですが、パスワードレスアカウントではバックアップとは別に、再サインインできる認証経路を確保しておくことが重要です。
また、Authenticatorのバックアップと復元には端末種別などの条件もあります。Microsoftは、iOSで作成したバックアップをAndroidへ復元する、といった異なる端末種別間の復元には対応していないと案内しています。
サインインできたら紛失したスマホの認証方法を整理する
別の認証方法を使ってMicrosoftアカウントへアクセスできたら、そのままにせず、紛失端末に関連する設定を整理します。
Microsoftは、スマートフォンを紛失または交換した場合、Microsoftアカウントのセキュリティ設定から、そのデバイスに対応する認証方法を削除するよう案内しています。
基本的な流れは次のとおりです。
- Microsoftアカウントへサインインする
- セキュリティ関連の設定を開く
- 高度なセキュリティ設定から登録済みの本人確認方法を確認する
- 新しく利用するAuthenticatorなどの代替方法を登録する
- 新しい方法で利用できることを確認する
- 紛失した端末に関連する不要な認証方法を削除する
画面上の名称や表示項目は変更されることがあるため、「紛失した端末らしい項目を見つけたら即削除」ではなく、代替手段を登録して正常に利用できることを確認してから削除するのが安全です。
Microsoftも、サインインや確認に使う電話番号やメールアドレスを最新の状態に保つことを推奨しています。
必要ならパスワードレスを解除してパスワードを戻せる
「Authenticatorだけに依存するのが不安なので、今後はパスワードも設定しておきたい」という場合は、パスワードレス設定を無効にしてパスワードを追加できます。
Microsoftの案内では、Microsoftアカウントへサインインしたうえで追加のセキュリティ設定を開き、「パスワードレスアカウント」を無効にすると、画面の案内に従ってパスワードを追加できます。
ただし、ここには重要な前提があります。
パスワードレスを無効にする操作そのものに、Microsoftアカウントへのアクセスが必要です。
つまり、
「スマホを紛失してサインインできないから、パスワードレスを解除する」
という順番ではありません。
正しくは、
「残っている認証方法でサインインする」
↓
「アカウントへのアクセスを回復する」
↓
「必要ならパスワードレスを無効にする」
という順番です。
復旧後は「Authenticator以外の逃げ道」を用意しておく
今回のようなトラブルを防ぐには、Authenticatorそのものを失わないようにするだけでは不十分です。
スマートフォンは故障、紛失、盗難、初期化などで突然使えなくなる可能性があります。大切なのは、1台のスマートフォンだけが本人確認の唯一の入口にならないようにすることです。
Microsoftアカウントへアクセスできるうちに、登録されているサインイン・本人確認方法を確認しておきましょう。
特に確認しておきたいのは次の点です。
- Authenticator以外の本人確認方法が登録されているか
- 登録済みメールアドレスを現在も利用できるか
- 登録した電話番号が古くなっていないか
- セキュリティキーなど別系統の認証手段を利用している場合、保管場所を把握しているか
- 2段階認証を使用している場合、必要な複数の確認方法を失わない構成になっているか
Microsoftは、2段階認証を使う場合、万一に備えて複数のセキュリティ情報を登録することを推奨しています。
「スマホ紛失＝パスワードで入る」ではない
Authenticatorを入れたスマホをなくしたとき、パスワードレスのMicrosoftアカウントで最初に確認すべきなのはパスワードではありません。
まず、サインイン画面に表示される別の登録済み認証方法を利用できるか確認することが重要です。
Windows Helloやセキュリティキーなど利用可能な方法が残っていれば、そこからアクセスを取り戻します。2段階認証を使っている場合は、必要な複数の確認方法を利用できるかも確認します。
サインインできた後は、紛失した端末に関連する認証方法を整理し、新しいAuthenticatorや別の本人確認方法を登録します。必要であれば、その段階でパスワードレスを無効にしてパスワードを追加することも可能です。
そして復旧後は、Authenticatorだけに依存せず、スマートフォンを1台失っても本人確認を続けられる状態にしておくことが、次のトラブルを防ぐ最も重要な対策です。
コメント