MFA端末を紛失したら。本人確認と再登録の担当を決める

入れなくなった人を助ける入口も、なりすましに開かないように整える。

まず、紛失と不正利用の疑いを区別して受ける

MFAに使う端末やキーを失くすと、業務サービスへ入れなくなることがあります。SONAEは、申請を受けた人が、対象のサービス、失ったもの、最後に使った時期、身に覚えのない通知の有無を確認する方法を提案します。カナダのサイバーセキュリティ機関も予備の認証手段や紛失時の対応を準備する観点を示しています。連絡した人を責めず、秘密の値を送らせず、社内の窓口へつなぐことから始めましょう。

連絡してきた相手を、その場の情報だけで信じない

会社名、社員名、役職を知っていることや、声が似ていることだけで再登録を認めないようにします。会社が確認済みの連絡経路や本人確認の手順を使い、操作する人と承認する人を決めます。新しく教えられた電話番号やメールだけで本人を確かめると、連絡先ごとなりすまされる可能性があります。具体的な確認方法は自社の条件に合わせて定め、実際の証明書や個人情報を本サイトへ提出させません。

パスワード、認証方法、セッションは別の項目

Microsoftの公式資料は、パスワードのリセット、MFAの再登録、セッションの取り消しを別の管理操作として示しています。これは対象製品の説明で、実際に必要な操作と影響は利用環境で確認します。再登録のボタンを押せば、すべての認証手段や不正な利用が自動的に整理されるとは考えないようにします。失った端末やキーの状態、不審な利用の疑いを対応責任者へ伝え、対象の公式手順に沿って判断します。

予備が使える場合と、すべて失った場合を分ける

会社が承認した予備の認証手段が使えるなら、その利用手順を確認します。すべての手段が使えない場合は、製品の回復機能や管理者による対応を確認する必要があります。急いでいるからMFAを外す、といった運用を標準にしないようにします。利用できる窓口、管理者不在時の連絡、対応する時間帯を用意します。予備の秘密や一時的な回復情報の受け渡しも、会社が認めた方法で管理してください。

新しい手段を登録した後の、確認を残す

再登録できたことに加え、対象の利用者が通常の業務を再開できるか、不要な認証手段や想定外の登録がないかを確認する計画にします。紛失した端末に関係する別の業務サービスも把握します。対応記録には、受付、本人確認と承認の担当、対象、実施した操作、結果、残課題を残します。認証コードや秘密の回復情報そのものを、通常の対応チケットへ書き込む必要はありません。

平時の練習は、操作せず机上から始める

架空の社員が端末を紛失した想定で、受付担当がどこへ連絡し、誰の承認でどの手順を使うかをたどります。練習のために、本物の認証情報を消したり新しく登録したりしません。実機で試す場合は検証用アカウントと承認した範囲に限ります。完了の目安は、本人確認、管理操作、業務の回復、残る疑いの扱いまで、担当が分かることです。ログインできたという一点だけで、事故の可能性を閉じないようにします。

相談前の確認表

• 本人確認と承認を先に決めた
• 管理操作ごとの影響を確認する
• 予備ありと全手段紛失を分けた
• 秘密を記録せず結果と残課題を残す

参考資料（確認日：2026年10月23日）：Microsoft Learn：Manage user authentication methods ↗ ／ Canadian Centre for Cyber Security：Steps for effectively deploying MFA ↗

一般的な説明とSONAEの運用提案です。製品の公式条件と自社の管理責任者の判断を確認してください。