【2026年10月最新】ChatGPTの2段階認証（MFA）を設定する方法｜認証アプリ・パスキーの選び方
aikanri-admin
「ChatGPTのアカウント、パスワードだけで本当に大丈夫？」——業務でChatGPTを使う機会が増えるほど、このアカウントには社内の機密情報やプロンプトの履歴、連携した他サービスの情報まで蓄積されていきます。パスワードが漏れた場合の影響は、個人利用時よりもずっと大きくなります。
こうしたリスクに対する基本的な対策が2段階認証（MFA）です。ChatGPTでも認証アプリなどを使った2段階認証が利用でき、設定自体は数分で完了します。しかし、「結局どの認証方式を選べばいいのか」「設定を忘れてログインできなくなったらどうするのか」といった疑問を持つ方も多いはずです。
この記事では、ChatGPTの2段階認証の基本的な考え方から、使える認証方式の選び方、設定の進め方、ログイントラブル時の対処、そして非エンジニアの経営者・管理職が社内に徹底させるための実践的な進め方までを整理します。
代表菅澤
AI鬼管理山崎
この記事を最後まで読むと、次の6つが明確になります。
01 WHY IT MATTERS ChatGPTアカウントが狙われる理由と2段階認証の基本 パスワードだけでは守れない理由を理解する
2段階認証（Multi-Factor Authentication、MFA）とは、ログイン時に「パスワード」に加えて、もう一つの異なる情報・手段で本人確認を行う仕組みです。パスワードが流出しても、2つ目の認証要素を突破されない限りログインされないため、不正アクセスのリスクを大幅に下げられます。
📚 用語解説
2段階認証（MFA / Multi-Factor Authentication）：ログイン時に「パスワード（知っている情報）」と「スマートフォンの認証アプリ（持っている物）」など、異なる種類の認証要素を組み合わせて本人確認を行う仕組み。片方が漏れても、もう片方がなければログインできないため、不正アクセスの難易度が大きく上がります。
1-1. なぜパスワードだけでは不十分なのか
パスワードが漏洩する経路は、本人の不注意だけに限りません。他サービスでの漏洩情報の流用（同じパスワードの使い回し）、フィッシング（本物を装った偽サイトでの入力誘導）、マルウェアによる端末内の情報窃取など、利用者本人が気づかないうちにパスワードが第三者の手に渡るケースは少なくありません。
📚 用語解説
フィッシング：本物のサービスを装った偽のメール・Webサイトを使って、IDやパスワードを入力させ盗み取る攻撃手法。近年は文面や偽サイトの精度が上がっており、見た目だけでは本物と見分けがつきにくいケースが増えています。
個人利用のChatGPTが乗っ取られても被害は本人に限られますが、業務利用の場合はやり取りの中に含まれる社内情報・顧客情報・連携設定まで覗かれる可能性があります。「個人の問題」ではなく「会社の情報管理の問題」として捉える必要があります。
さらに注意したいのは、AIの進化によってフィッシングメールや偽サイトの精度自体も上がっているという点です。文章生成AIを悪用すれば、不自然な日本語や誤字のない、本物と見分けがつきにくいフィッシングメールを誰でも作れてしまう時代になっています。「怪しい日本語だから気づける」という従来の判断基準は、今後ますます通用しにくくなっていくと考えておくべきでしょう。
1-2. 2段階認証の基本的な仕組み
2段階認証では、以下のような異なる種類の要素を組み合わせます。
| 要素の種類 | 具体例 | 特徴 |
|---|---|---|
| 知っている情報 | パスワード、暗証番号 | 覚えておく必要があり、漏洩リスクがある |
| 持っている物 | 認証アプリが入ったスマートフォン、物理セキュリティキー | 端末そのものを盗まれない限り突破されにくい |
| 自分自身の特徴 | 指紋・顔認証などの生体情報 | 端末のロック解除と組み合わせて使われることが多い |
ChatGPTの2段階認証では、主に「パスワード（知っている情報）」と「認証アプリ（持っている物）」の組み合わせが基本になります。この組み合わせにより、パスワードだけが漏れた場合でも、第三者が認証アプリの入ったスマートフォンを持っていない限りログインできません。
02 METHODS ChatGPTで使える認証方式と選び方 認証アプリ・SMS・パスキーの違いを整理する
ChatGPTでは複数の認証方式に対応しています。それぞれの特徴を理解し、自分や社内の運用に合った方式を選びましょう。
2-1. 認証アプリ（TOTP）
最も標準的な方式が、認証アプリを使った2段階認証です。Google AuthenticatorやMicrosoft Authenticatorなどのアプリをスマートフォンにインストールし、ChatGPTと連携させることで、ログイン時に数十秒ごとに切り替わる6桁のコードを入力する仕組みです。
📚 用語解説
TOTP（Time-based One-Time Password）：時間の経過に応じて一定間隔（多くは30秒）で自動的に変化する、使い捨てのパスコードを生成する仕組み。認証アプリはこのTOTPの仕組みを使ってコードを表示します。SMSで送られてくるコードと異なり、通信を傍受される心配がなく、電波の届かない環境でも利用できるという利点があります。
2-2. SMS認証
登録した電話番号にショートメッセージでコードを送る方式です。手軽に始められる一方、SIMスワップ詐欺（契約者の電話番号を第三者が不正に乗っ取る手口）のリスクが指摘されており、認証アプリに比べるとセキュリティ強度は劣るとされています。
📚 用語解説
SIMスワップ詐欺：携帯電話会社に対して本人になりすまし、電話番号を別のSIMカードに不正に移行させる詐欺手口。電話番号が乗っ取られると、SMS認証で送られるコードも第三者の手元に届いてしまうため、SMS認証の弱点としてよく指摘されます。
SMS認証は手軽ですが、唯一の認証方式として依存するのは推奨されません。可能であれば認証アプリやパスキーなど、より強度の高い方式を主軸にし、SMSはバックアップ的な位置づけで考えるのが安全です。
2-3. パスキー
パスキーは、パスワードの入力自体を不要にする、より新しい認証方式です。スマートフォンやPCに登録した指紋・顔認証・画面ロックなどを使ってログインを完了させる仕組みで、対応している場合はパスワードの入力画面自体を省略できます。対応状況やメニューの名称は時期によって変わることがあるため、利用時は設定画面の表示を確認してください。
📚 用語解説
パスキー（Passkey）：パスワードを使わずに、スマートフォンやPCに登録された生体認証・画面ロックなどを使ってログインする仕組み。入力する「パスワードそのもの」が存在しないため、フィッシングサイトに誘導されてもパスワードを盗まれるリスクがそもそも発生しない、という強みがあります。
2-4. 認証方式の比較表
| 方式 | 強度の目安 | フィッシングへの耐性 | 必要なもの |
|---|---|---|---|
| パスキー | 高い | 高い（パスワード自体が存在しない） | 対応端末（スマホ・PC） |
| 認証アプリ（TOTP） | 中〜高い | 中程度（コードを偽サイトに入力すると突破リスクあり） | スマートフォン＋認証アプリ |
| SMS認証 | 中程度 | 低め（SIMスワップ等のリスク） | 携帯電話番号 |
| パスワードのみ | 低い | なし | 記憶したパスワードのみ |
可能であればパスキーまたは認証アプリを主軸に設定し、バックアップコードを安全な場所に保管しておく構成がおすすめです。SMS認証は「他の方式が使えない場合の代替手段」として位置づけるのが安全です。
2-5. 物理セキュリティキーという選択肢
より高いセキュリティ強度を求める場合、物理セキュリティキー（USBやNFCで接続する小型の認証用デバイス）を使う方式もあります。認証アプリが「スマートフォンというソフトウェア環境」に依存するのに対し、物理セキュリティキーは専用のハードウェアそのものを所持していないと認証できないため、マルウェアによる端末内の情報窃取の影響を受けにくいという特徴があります。
📚 用語解説
物理セキュリティキー（ハードウェアキー）：USB接続やNFC（近距離無線通信）で利用する、認証専用の小型デバイス。ログイン時にこのキーを接続・タッチすることで本人確認を行います。対応しているサービスであれば、認証アプリよりもさらに高いセキュリティ強度を得られますが、専用デバイスの購入と、紛失時の予備キー確保が必要になります。
物理セキュリティキーは、経営層や、特に機密性の高い情報を扱う担当者など、「最優先で守るべきアカウント」に絞って導入するのが現実的な運用です。全社員に配布するのはコスト・運用負荷の両面で難易度が上がるため、リスクの大きさに応じた段階的な導入を検討しましょう。
2-6. 複数の方式を組み合わせる設計
2段階認証の設計では、「主軸の方式」と「バックアップの方式」を分けて考えることが重要です。例えば「パスキーを主軸にしつつ、バックアップコードを紙で保管する」「認証アプリを主軸にしつつ、物理セキュリティキーを予備として登録する」といった組み合わせにより、片方の手段が使えなくなった場合でも業務を止めずに対応できます。
03 SETUP STEPS 2段階認証を設定する手順 個人アカウントでの設定の進め方
ここでは、認証アプリを使った2段階認証設定の基本的な流れを紹介します。実際の画面のメニュー名や配置は仕様変更で変わることがあるため、最新の表示に合わせて読み進めてください。
設定画面を開く
アカウント設定の
セキュリティ項目へ
認証アプリを準備
スマホに認証アプリを
インストール
QRコードを読み取り
表示されたコードを
入力して連携
バックアップコード保存
表示されたコードを
安全な場所に保管
3-1. バックアップコードは必ず保存する
設定の最終段階で表示されるバックアップコード（リカバリーコード）は、スマートフォンを紛失した際などに本人確認を行うための重要な手段です。このコードを保存し忘れると、認証アプリの入った端末を失った瞬間にログイン手段を失うリスクがあります。
📚 用語解説
バックアップコード（リカバリーコード）：認証アプリが使えなくなった場合に備えて発行される、緊急時用のログインコード。印刷して金庫に保管する、パスワード管理ツールに安全に記録するなど、スマートフォンとは別の場所に保管しておくことが推奨されます。
バックアップコードをスマートフォンのメモ帳や、認証アプリと同じ端末にだけ保存するのは危険です。スマートフォンを紛失した場合、バックアップコードも一緒に失うことになります。印刷して保管する、または別の安全な手段で管理しましょう。
3-2. 設定後に確認しておきたいこと
AI鬼管理山崎
3-3. 業務用アカウントで特に気をつけたいこと
個人のメールアドレスで契約している場合と、会社のメールアドレスで契約している場合とでは、設定時に気をつけるポイントが異なります。会社のメールアドレスで契約している場合、そのメールアドレス自体のセキュリティ（会社のメールシステムの2段階認証）も合わせて強化しておくことが重要です。ChatGPTのパスワード再設定やバックアップコードの通知が、会社のメールアドレスに送られる設計になっている場合、メールアカウント自体が乗っ取られると、ChatGPTのアカウントも連鎖的に危険になります。
ChatGPTアカウントのセキュリティだけを強化しても、連携している会社のメールアカウントが脆弱なままでは意味が薄れてしまいます。2段階認証の導入は、ChatGPT単体ではなく、連携する主要なアカウント全体を見渡して進めるのが理想的です。
04 RECOVERY ログインできなくなった時の対処 バックアップコードがない場合の考え方
2段階認証を設定した後によく発生するトラブルが、「スマートフォンを買い替えた・紛失した」ことで認証アプリにアクセスできなくなるケースです。事前にバックアップコードを保存していれば、それを使ってログインし、新しい端末で認証アプリを再設定できます。
4-1. バックアップコードがある場合
4-2. バックアップコードがない場合
バックアップコードを保管していなかった場合、サービス提供者側の本人確認プロセスを通じた復旧を試みることになります。復旧には時間がかかることが多く、確実性も保証されないため、「バックアップコードを保存していない」状態は、できるだけ早く解消すべきリスクと考えてください。
本人確認による復旧は、サービス提供者の審査プロセスに時間がかかる場合があり、業務への影響も大きくなります。最初の設定段階でバックアップコードを確実に保管しておくことが、最も確実で速いトラブル回避策です。
代表菅澤
4-3. ロックアウトを未然に防ぐための事前設計
最も良いトラブル対応は、「トラブルが起きてから対処する」ことではなく、最初からロックアウトが起きにくい設計にしておくことです。具体的には、認証手段を1つだけに依存させず、バックアップコード・予備の認証アプリ登録端末・物理セキュリティキーなど、複数の手段をあらかじめ用意しておくことがポイントになります。
スマートフォンを機種変更する際は、「旧端末の認証アプリを先に消さない」のが鉄則です。新端末での登録・ログインテストが完了してから、旧端末のデータを消去するようにしましょう。この順番を守るだけで、機種変更に伴うロックアウトはほぼ防げます。
05 ROLLOUT FOR NON-ENGINEERS 【独自】非エンジニアが社内に2段階認証を徹底させる方法 Claude Codeを使って、設定マニュアルと周知フローを整える
ここからは、競合記事にはない独自の視点として、非エンジニアの経営者・管理職が、社内全員に2段階認証を徹底させる実践的な進め方を紹介します。「個人の善意」に頼ると、設定しない人が必ず出てきます。
この周知・徹底のプロセスで活用できるのがClaude CodeのようなAIコーディングエージェントです。「ChatGPTの2段階認証設定手順を、スクリーンショット付きで社内マニュアル化したい」「設定済みかどうかの進捗を管理するチェックシートを作りたい」といった依頼を日本語で伝えるだけで、社内配布用の資料やチェックシートの下書きを作成させることができます。
📚 用語解説
ソーシャルエンジニアリング：技術的な攻撃ではなく、人の心理的な隙や信頼関係を利用して情報を引き出す攻撃手法全般。「情報システム部を名乗る電話でパスワードを聞き出す」といった手口が代表例です。2段階認証はこうした手口に対しても、最終的なログインの壁として機能します。
5-1. 社内徹底のための4ステップ
対象アカウントの
棚卸し
設定マニュアルを
Claude Codeで作成
全員に設定を依頼
期限を設定
チェックシートで
進捗を管理
特に重要なのがStep 1の「対象アカウントの棚卸し」です。会社で契約しているChatGPTのアカウントがどれだけあり、誰が使っているかを把握していない企業は少なくありません。棚卸しをせずに「みんな設定してね」と伝えるだけでは、把握漏れのアカウントがセキュリティの穴として残り続けます。
代表菅澤
AI鬼管理山崎
06 COMMON PITFALLS 【独自】企業・チーム導入でよくある失敗と回避策 個人設定に任せきりにすると起きる3つの問題
6-1. 【失敗1】個人のモラルに依存し、強制力がない
「設定してください」という案内だけで終わらせると、一定数のメンバーが後回しにしたまま忘れてしまうのが実情です。特に忙しい部署ほど、セキュリティ設定は優先度が下がりやすい傾向があります。
可能であれば、組織全体でログイン時に2段階認証を必須化する設定（管理者側での強制設定）を検討しましょう。個人の意思に委ねず、仕組みとして強制する方が徹底率は確実に上がります。
6-2. 【失敗2】退職者・異動者のアカウント整理を忘れる
2段階認証を設定していても、退職者のアカウントが放置され続けると、そのアカウント自体がリスクになります。認証の強度を上げることと、不要になったアカウントを適切に無効化することは、どちらも欠かせない対策です。
6-3. 【失敗3】バックアップ手段を社内で誰も把握していない
担当者が設定した2段階認証のバックアップコードを、その担当者本人しか知らない状態で運用してしまうケースがあります。担当者の異動・休職・退職時に、誰もアカウントを引き継げなくなるリスクがあります。
誰が、どのアカウントを
管理するか明確化
バックアップコードの
保管・引き継ぎ方法を決める
半年〜1年ごとに
アカウント状況を確認
AI鬼管理山崎
6-4. 【失敗4】一度整備して終わり、見直しをしない
セキュリティ対策の整備は、「一度やって終わり」ではなく継続的な見直しが必要な取り組みです。契約プランの変更、利用人数の増加、組織体制の変化などに応じて、当初決めたルールが実態と合わなくなっていくことがあります。
この「定期的な見直し」を属人的な気合いに頼らず、カレンダーにあらかじめ見直しのタイミングを登録しておくなど、仕組みとして組み込んでおくことが継続のポイントです。見直しの手間自体も、Claude Codeにチェックリストのリマインド文面や見直し用の質問リストを作ってもらうことで、負担を減らせます。
代表菅澤
07 QUICK GUIDE 状況別・推奨設定早見表 自分の状況に近い行から、やるべきことを確認する
ここまでの内容を整理した早見表です。自分や自社の状況に近い行を探してみてください。
| あなたの状況 | おすすめの対応 | 補足 |
|---|---|---|
| まだ2段階認証を設定していない | 今すぐ認証アプリで設定 | バックアップコードの保管まで完了させる |
| SMS認証だけ設定している | 認証アプリ・パスキーへの切り替えを検討 | SIMスワップ等のリスクを下げる |
| バックアップコードを保存していない | 今すぐ再発行して保管 | 紛失時のログイン不能リスクを解消 |
| 会社で複数人がChatGPTを使っている | アカウント棚卸し＋マニュアル整備 | Claude Codeでマニュアル下書きを作成 |
| 退職者・異動者が多い組織 | アカウント無効化フローを整備 | 人事手続きに組み込む |
| Team/Enterpriseプランを検討中 | 管理者機能での強制設定を確認 | 個人のモラルに依存しない運用へ |
08 CONCLUSION まとめ 「設定して終わり」ではなく「運用し続ける」ことが本質
この記事では、ChatGPTの2段階認証の基本的な考え方、使える認証方式の選び方、設定手順、ログイントラブル時の対処、そして非エンジニアが社内に徹底させる方法、企業導入でよくある失敗までを整理しました。最後にポイントを振り返ります。
最も重要なメッセージは、「2段階認証は一度設定すれば終わりではなく、組織として運用し続ける仕組みが必要」という点です。設定の徹底、アカウントの棚卸し、担当者の引き継ぎルールまで含めて初めて、実効性のある対策になります。
弊社では、Claude Codeを活用した社内マニュアル作成やセキュリティ運用の仕組み化、業務自動化の設計まで支援しています。ChatGPTをはじめとしたAI活用のセキュリティ対策を検討されている方は、ぜひ以下のAI鬼管理までお気軽にご相談ください。
代表菅澤
AI活用のセキュリティ運用・社内マニュアル整備を、AI鬼管理が一緒に進めます
「社内のAI利用ルールを整えたい」という方へ。
Claude Codeを活用したマニュアル作成から、業務自動化全体の設計まで個別にご相談を承ります。
AI鬼管理山崎
ここから先の進め方は、大きく2つあります。
自社で回せるようになりたい方は、AI鬼管理でClaude Code／Codexの使い方から業務設計・社内定着まで伴走を受けながら、社内に仕組みを作る道があります。
覚えるより任せたい方は、AI社員AIKATAでこの記事のような定型業務を丸ごと預ける道があります。料金は月30万円の月額定額、追加費用は0円です。
どちらが合うかは、業務量と社内体制次第です。無料相談・無料適合診断で、貴社の場合はどちらが向くかからご相談いただけます。
NEXT STEP
この記事の内容を、あなたのビジネスで
実践してみませんか？
よくある質問
Q. ChatGPTの2段階認証は無料で設定できますか？
A. 認証アプリを使った2段階認証自体に追加の料金はかかりません。認証アプリ（Google Authenticator等）も無料で利用できるものが一般的です。物理的なセキュリティキーを別途購入する場合は、その実費のみ発生します。
Q. SMS認証と認証アプリ、どちらが安全ですか？
A. 一般的には認証アプリの方がSMS認証よりも安全性が高いとされています。SMS認証はSIMスワップ詐欺などで電話番号自体を乗っ取られるリスクがあるためです。可能であれば認証アプリやパスキーを優先し、SMSはバックアップ手段として位置づけるのがおすすめです。
Q. 認証アプリを入れたスマートフォンを紛失したらどうなりますか？
A. 事前に保管していたバックアップコードを使ってログインし、新しい端末で認証アプリを再設定できます。バックアップコードを保管していない場合は、サービス提供者の本人確認プロセスを通じた復旧が必要になり、時間がかかることがあります。
Q. 会社で複数人がChatGPTを使っている場合、個別に設定してもらうしかないのですか？
A. Team/Enterpriseプランなど法人向けの契約であれば、管理者機能を通じて2段階認証（またはSSOによる認証）を組織全体に強制できる場合があります。個別設定に依存せず、管理者側で統制する運用が望ましいです。
Q. パスキーを設定すれば、もう2段階認証は不要になりますか？
A. パスキーはパスワード自体を使わない認証方式であり、フィッシング耐性が高い点で優れていますが、対応状況は環境やサービスの仕様によって異なります。バックアップとして別の認証手段も確保しておくことが安全です。
Q. 2段階認証を設定すると、ログインの手間はどのくらい増えますか？
A. 通常のログイン時に、認証アプリに表示されるコードの入力や、パスキーによる本人確認が一手順加わります。多くの環境では一定期間同じ端末からのログインを記憶する機能もあるため、毎回の手間はそれほど大きくならないことが一般的です。
Claude Codeで業務自動化を90日で叩き込む
経営者向けの伴走型パーソナルトレーニング
AI鬼管理／AI社員AIKATAへのお問い合わせ
この記事を読んで気になった方へ。
専門スタッフが、御社に最適な
業務自動化・業務代行プランを無料でご提案します。
- AI業務自動化サービス「AI鬼管理」を運営 — Claude Code を活用し、経営者の業務を「AIエージェントに任せる仕組み」へ転換するパーソナルトレーニングを 伴走構築 で提供。日報・採用・問い合わせ対応・経費精算・議事録・データ集計・営業リスト等の定型業務を、AIに代行させる体制を経営者と一緒に作り込む
- Claude Code 実装ノウハウを 経営者・法人クライアント に直接指導。生成AIを「便利ツール」ではなく 「業務を任せる存在」 として運用する手法を体系化
- 「やらせ切る管理」メソッドの開発者。シンゲキ株式会社（2021年設立・鬼管理専門塾運営）にて累計3,000名以上の学習者を志望校合格に導いた管理メソッドを、AI × 経営者支援 に転用
- 著書『3カ月で志望大学に合格できる鬼管理』(幻冬舎)、『親の過干渉こそ、最強の大学受験対策である。』(講談社)
- メディア出演: REAL VALUE / カンニング竹山のイチバン研究所 / ええじゃないかBiz 他
- 明治大学政治経済学部卒
