サインイン時に追加の確認が求められる理由
お知らせ：当社は、お客様により充実したサポート情報を迅速に提供するため、本ページのコンテンツは機械翻訳を用いて日本語に翻訳しています。正確かつ最新のサポート情報をご覧いただくには、本内容の英語版を参照してください。
メモ：これは多要素認証（MFA）とは異なり、毎回追加の認証を求められるわけではありません。サインイン試行が通常と異なると検出された場合にのみ、認証を求めます。追加認証を無効にする場合は、追加認証を無効にするにはセクションをご参照ください。
追加認証が必要な理由
ほとんどのユーザーは、アカウントへのサインインにパスワードのみを使用していますが、これはアカウントのセキュリティとしては十分ではありません。また、複数のアプリで同じパスワードを使い回す傾向もあります。2019年に実施された調査によると、65%のユーザーが複数のアカウントでパスワードを使い回しています。
さらに、このような弱点に加えて、増加するデータ侵害によってパスワードが漏えいするリスクも高まっており、その結果、アカウントが不正アクセスを受ける可能性があります。攻撃者が漏えいしたパスワード（データ侵害で見つかったもの）を使用してユーザーのアカウントにアクセスする手法は、「クレデンシャルスタッフィング」と呼ばれます。これは「ブルートフォース攻撃」とは異なります。ブルートフォース攻撃では、攻撃者は正確なパスワードを知らず、自動的に異なるパスワードの入力を繰り返して推測します。一方、クレデンシャルスタッフィングでは、攻撃者は試行する実際の認証情報の一覧を持っています。
たとえば、ユーザーのJohnがZohoアカウントと別のアプリABCで同じパスワードを使用しているとします。ABCでパスワード漏えいが発生した場合、攻撃者は漏えいしたパスワードを入手し、クレデンシャルスタッフィングによってJohnのZohoアカウントにサインインできます。
これを防ぐため、現在、通常とは異なる場所からのサインイン試行を検出した場合に追加認証を求めています。この追加認証では、ユーザーがメールの受信トレイまたは登録済みデバイスにアクセスできる必要があるため、攻撃者はこの認証を完了してアカウントにアクセスすることはできません。
この認証を完了するには
この認証を完了する方法は3つあります。ただし、アカウントに設定されている復旧オプションによって異なります。
メールアドレスまたは携帯電話番号を使用して認証
ワンタイムパスワード（OTP）がメールアドレスまたは携帯電話番号に送信されます。本人確認のために入力する必要があります。
復旧用デバイスを使用して認証
サインインページに番号が表示されます。OneAuthがインストールされた復旧用デバイスに送信されるプッシュ通知で、この番号をタップする必要があります。
Zoho OneAuthにサインインしているだけで、MFAをまだ設定していない場合も、復旧用デバイスと見なされます。
ドメインを使用して認証
- ［ドメインを使用して認証］をクリックすると、手順が表示されます。
- 手順を確認し、［続ける］をクリックします。
- 認証するドメインを選択する必要があります。複数ある場合は、目的のドメインを選択します。
- 完全なドメイン名を入力し、［次へ］をクリックします。
- ドメイン所有権を証明するために、表示されているいずれかの方法を選択します。選択肢は次のとおりです。
- ドメインホストにTXTレコードを追加します。
- ドメインホストにCNAMEレコードを追加します。
- HTMLファイルをWebサイトのルートディレクトリーにアップロードします。
- ドメイン所有権を証明する方法に関する追加手順を受け取りたいメールアドレスを入力し、［手順を送信］をクリックします。
- 送信されたメールに記載されている手順に従います。
- 手順のすべてを完了したら、メール内のリンクをクリックします。
- DNSレコード／HTMLファイルが追加されているか確認します。
- 追加されている場合、成功メッセージが表示されます。アカウントへのサインインを続行できます。
- 追加されていない場合、エラーメッセージが表示されます。追加したレコードがまだすべてのDNSサーバーに反映されていない可能性があります。これはTTL値によって異なります。しばらく待ってから、ページを更新してみてください。
- パスワードを入力してサインインします。
認証を完了できない場合
組織にユーザーとして所属している場合：
- 管理者に連絡して、バックアップ認証コードを取得します。（管理者の場合は、Zoho Directoryからユーザー用のバックアップコードを生成できます。）
- バックアップコードを取得したら、追加認証を求められているサインインページで［すべてのオプションを表示］をクリックします。
- ［サインインに問題がありますか？］をクリックします。
- ［バックアップ認証コードを使用する］オプションを選択します。
- 管理者から取得したコードを入力し、［認証］をクリックします。
組織の管理者である場合、または個人ユーザーで、どの組織にも所属していない場合：
以後のサインイン試行が通常と異なると判断された場合、この認証は引き続き求められますのでご注意ください。
この追加認証を回避するには
この認証は、パスワードのみでサインインしているZoho Accountsに対してのみ求められます。アカウントで多要素認証（MFA）を有効にすると、MFA自体がアカウントのセキュリティを保護するため、この認証は求められません。
認証アプリであるZoho OneAuthを使用してMFAを有効にすることをおすすめします。セキュリティが向上するだけでなく、Smart QRサインインやパスワードレスサインインなど、すばやくサインインできるオプションも利用できます。
追加認証を無効にするには
組織に所属している場合、セキュリティ上の理由により、このオプションは利用できません。
このオプションは個人アカウントでのみ利用できます。ただし、追加認証を無効にするとアカウントのセキュリティが低下する可能性があるため、無効にすることはおすすめしません。代わりにMFAを有効にすることをおすすめします。MFAを有効にすると、アカウントのセキュリティを向上させながら追加認証を無効にできます。
このオプションは個人アカウントでのみ利用できます。ただし、追加認証を無効にするとアカウントのセキュリティが低下する可能性があるため、無効にすることはおすすめしません。代わりにMFAを有効にすることをおすすめします。MFAを有効にすると、アカウントのセキュリティを向上させながら追加認証を無効にできます。
追加認証を無効にするには（個人アカウントのみ）：
- accounts.zoho.comに移動します。
- ［セキュリティ］タブをクリックし、パスワードセクションが表示されていることを確認します。
- 追加認証セクションが表示されます。
- 追加認証を無効にするには、切り替えスイッチをオフにします。
ご不明な点がある場合や問題が発生した場合は、support@zohoaccounts.comまでお問い合わせください。