ビットコインをはじめとする仮想通貨は、銀行預金と違って「デジタルデータそのものが資産」です。そのため、取引所のIDとパスワードが盗まれてしまうと、あっという間に資産を外部へ送金されてしまうリスクがあります。
そこで欠かせないのが二段階認証です。仮想通貨投資歴6年、ほったらかし投資で約5,000万円を運用している私（為替コヤジ）も、口座を開設したら真っ先に二段階認証を設定しています。
一方で、「設定したスマホをなくしたらログインできなくなるのでは？」「二段階認証さえしておけば絶対に安全なの？」と不安に感じている方も多いのではないでしょうか。
この記事では、二段階認証の仕組みから認証方式の違い、おすすめの認証アプリ、具体的な設定手順、そしてスマホを紛失・機種変更したときに慌てないための事前対策まで、初心者の方にもわかりやすく徹底解説します。2025年以降に急増した「二段階認証をすり抜ける最新の手口」と、その対策もあわせて紹介しますので、ぜひ最後までご覧ください。
- 仮想通貨の二段階認証の仕組みと、設定すべき理由
- SMS・メール・認証アプリ・パスキーの違いと安全性の比較
- Google Authenticatorなどおすすめ認証アプリの特徴
- 取引所で二段階認証を設定する具体的な手順
- スマホの紛失・故障・機種変更に備える4つの事前対策
- 二段階認証をすり抜ける最新のフィッシング手口と追加の防御策
仮想通貨（ビットコイン）で稼ぎたい方には、私が実践している3つの方法がおすすめです。詳しくは以下の記事をご覧ください。
仮想通貨（ビットコイン）の稼ぎ方14選｜初心者におすすめの方法を実績付きで解説
仮想通貨の二段階認証とは？
まずは「二段階認証とは何か」という基本から押さえておきましょう。仕組みを理解しておくと、どの認証方式を選ぶべきか、どんな点に注意すべきかが自然とわかるようになります。
二段階認証とは、IDとパスワードによるログインに加えて、もう一段階の本人確認を求めることでアカウントの安全性を高める仕組みです。英語では「2-Step Verification」と呼ばれ、似た言葉に「二要素認証（Two-Factor Authentication／2FA）」があります。
仮想通貨取引所では、メールアドレスとパスワードを入力したあとに、スマホの認証アプリに表示される6桁の確認コードなどを入力してはじめてログインできるようになります。
IDとパスワードだけでは危険な理由
なぜパスワードだけでは不十分なのでしょうか。理由はシンプルで、パスワードは「知っていれば誰でも使える」情報だからです。
パスワードが漏れる経路は、想像以上にたくさんあります。
- 本物そっくりの偽サイト（フィッシングサイト）に入力してしまう
- 他のサービスで使い回したパスワードが、そのサービスの情報漏えいで流出する
- パソコンやスマホに感染したマルウェア（情報窃取型ウイルス）に盗まれる
- 推測されやすい単純なパスワードを総当たりで破られる
仮想通貨は一度外部のアドレスに送金されてしまうと、ブロックチェーンの性質上、取り戻すことが極めて難しい資産です。だからこそ、パスワードが漏れても簡単には突破されない「もう一枚の壁」が必要になるのです。
二段階認証と二要素認証の違い
本人確認に使われる情報は、大きく次の3つの「要素」に分類されます。
| 要素 | 内容 | 具体例 |
|---|---|---|
| 知識情報 | 本人だけが知っている情報 | パスワード、暗証番号、秘密の質問 |
| 所持情報 | 本人だけが持っているモノ | スマホ（認証アプリ・SMS）、セキュリティキー |
| 生体情報 | 本人の身体的な特徴 | 指紋、顔、静脈 |
「二段階認証」は認証のステップが2回あることを指し、「二要素認証」は異なる2つの要素を組み合わせることを指します。たとえば「パスワード＋秘密の質問」は二段階ですが、どちらも知識情報なので二要素ではありません。
仮想通貨取引所で一般的な「パスワード（知識）＋スマホの認証アプリ（所持）」は、二段階認証であると同時に二要素認証にもなっています。本記事では、一般的な呼び方にあわせて「二段階認証」で統一して解説します。
二段階認証で守れること・守れないこと
二段階認証は非常に有効な対策ですが、万能ではありません。守れる範囲を正しく理解しておきましょう。
| 守れること | 守りきれないこと |
|---|---|
| 漏えいしたパスワードだけを使った不正ログイン | 偽サイトでパスワードと確認コードを同時に盗まれる「リアルタイムフィッシング」 |
| 使い回しパスワードを狙った「リスト型攻撃」 | スマホそのものの乗っ取りやマルウェア感染 |
| 総当たりによるパスワード破り | 取引所そのものがハッキングされるケース |
右側のリスクへの対策は、記事の後半で詳しく解説します。まずは「二段階認証は最低限の必須装備」と覚えておいてください。
仮想通貨取引所で使われる二段階認証の種類
ひとくちに二段階認証といっても、確認コードの受け取り方にはいくつかの種類があります。取引所によって選べる方式が異なるため、それぞれの特徴を知ったうえで、できるだけ安全性の高い方式を選ぶことが大切です。
| 認証方式 | 安全性 | 手軽さ | 主な注意点 |
|---|---|---|---|
| メール認証 | △ | ◎ | メールアカウントが乗っ取られると突破される |
| SMS認証 | ○ | ◎ | 電話番号変更時の再設定、SIM乗っ取りのリスク |
| 認証アプリ | ◎ | ○ | スマホ紛失時の復元準備が必要 |
| パスキー（生体認証など） | ◎ | ◎ | 対応している取引所・端末がまだ限られる |
メール認証
登録メールアドレスに確認コードが届く方式です。最も手軽ですが、メールアカウント自体が乗っ取られると意味がなくなるという弱点があります。
実際にbitFlyerも、メールのパスワードと取引所のパスワードを同じにしていると二段階認証の意味がなくなると注意を促しており、メール認証を選ぶ場合は暗証番号もあわせて設定するよう案内しています。メール認証を使う場合は、メールアカウント側にも二段階認証を設定しておきましょう。
SMS認証
携帯電話番号宛てのショートメッセージ（SMS）で確認コードを受け取る方式です。アプリのインストールが不要で、多くの取引所が対応しています。
ただし、電話番号を変更すると確認コードが受け取れなくなるため、機種変更や乗り換えの際には必ず取引所側の設定を更新する必要があります。また海外では、通信会社をだましてSIMを再発行させ、電話番号を乗っ取る「SIMスワップ」という手口も報告されています。
認証アプリ（ワンタイムパスワード）
Google Authenticatorなどの専用アプリが、30秒ごとに新しい6桁の確認コードを自動で生成する方式です。この仕組みは「TOTP（時間ベースのワンタイムパスワード）」と呼ばれています。
コードはスマホの中で生成され、通信を経由しないため、SMSやメールよりも傍受されにくいのが強みです。オフラインでも使えるので、私も長年この方式をメインにしています。
パスキー（生体認証など）
最近広がりつつあるのがパスキーです。スマホやパソコンの指紋認証・顔認証・PINを使ってログインする方式で、認証情報が端末の外に送られないため、偽サイトにコードを入力してしまう「フィッシング」に強いのが最大の特徴です。
たとえばCoincheckは、ログイン時のパスキー認証に加え、2025年6月11日から暗号資産の送金先登録時や送金時にもパスキー認証を順次導入しています。利用している取引所がパスキーに対応しているなら、積極的に設定しておくことをおすすめします。
二段階認証をしていれば盗難被害は補償される？最新事情
「二段階認証を設定していれば、万が一のときも取引所が補償してくれる」という話を聞いたことがある方もいるかもしれません。ここは誤解が多いポイントなので、事実関係を整理しておきます。
かつての「不正ログイン補償」は過去のものに
以前は、二段階認証の設定を条件に、不正ログインによる被害を補償する制度を設けていた取引所がありました。
たとえばbitFlyerは、二段階認証を設定したユーザーを対象に、メールアドレスやパスワードの盗取による不正な日本円出金を補償する制度を設けていましたが、この制度は2021年6月をもって終了しています。また、Coincheckも2017年に100万円を上限とする補償サービスの導入を表明していましたが、2018年1月の時点でも導入されていなかったと報じられています。
しかも、こうした制度の多くは「日本円での不正出金」が対象で、仮想通貨のまま外部へ送金された被害は対象外というケースが一般的でした。
為替コヤジのワンポイント
現在、補償制度の有無や条件は取引所ごとに異なり、変更されることもあります。「補償があるから大丈夫」ではなく「自分の資産は自分で守る」という意識が何より大切です。最新の補償内容は、必ず各取引所の公式サイトで確認してください。
取引所自体のハッキングは別問題
二段階認証が守るのは、あくまであなた個人のアカウントです。取引所のシステムそのものが攻撃されるケースは、利用者側では防ぎようがありません。
2018年1月には、Coincheckから約580億円相当のNEMが不正流出する事件が起きました。このときは同社が自己資金で約26万人の保有者に日本円で返金しましたが、すべての取引所に同じ対応ができるとは限りません。
現在の国内取引所は、法改正によって顧客資産の分別管理やコールドウォレットでの保管が求められるなど、当時より安全性は大きく向上しています。それでも、取引所選びや資産の分散はリスク管理の基本です。仮想通貨のリスクについては、以下の記事で詳しく解説しています。
二段階認証におすすめの認証アプリ3選
認証アプリ方式を使うには、スマホに専用アプリをインストールする必要があります。どのアプリも基本機能は同じ（TOTP方式の6桁コードを生成）ですが、バックアップ機能の有無が、スマホ紛失時の明暗を分けます。代表的な3つのアプリを比較してみましょう。
| アプリ名 | 提供元 | クラウドバックアップ | 特徴・注意点 |
|---|---|---|---|
| Google Authenticator （Google認証システム） |
○（Googleアカウントと同期） | 定番アプリ。2023年4月から同期機能に対応。同期は任意 | |
| Microsoft Authenticator | Microsoft | ○ | Microsoftアカウントとの相性が良い。暗号化バックアップに対応 |
| Twilio Authy | Twilio | ○（暗号化バックアップ） | 複数端末で利用可能。デスクトップ版は2024年3月19日で提供終了、現在はスマホアプリのみ |
Google Authenticator（Google認証システム）
私、為替コヤジが使用しているのがGoogle Authenticatorです。シンプルで動作が軽く、ほとんどの取引所の公式ヘルプでも設定例として紹介されている定番アプリです。
以前は「バックアップ機能がなく、スマホをなくすと復元できない」のが最大の弱点でしたが、2023年4月のアップデートで、確認コードをGoogleアカウントに同期（バックアップ）できるようになりました。これにより、新しいスマホでもGoogleアカウントにログインするだけでコードを復元できます。
ただし、同期を有効にすると「Googleアカウントが乗っ取られると、確認コードまで奪われる」というリスクも生まれます。同期を使う場合は、Googleアカウント自体にも必ず二段階認証やパスキーを設定しておきましょう。なお、同期は任意なので、Googleアカウントにログインせずにスマホ内だけで使うこともできます。
Microsoft Authenticator
Microsoftが提供する認証アプリです。仮想通貨取引所のコード生成はもちろん、Microsoftアカウントのログイン承認にも使えます。バックアップにも対応しているため、Windowsパソコンを使っている方には有力な選択肢です。
Twilio Authy
暗号化されたクラウドバックアップと、複数のスマホで同じコードを使えるマルチデバイス機能が特徴です。かつてはパソコン用のデスクトップ版も人気でしたが、2024年3月19日で提供を終了しており、現在はiOS・Android向けアプリのみとなっています。古い記事でデスクトップ版が紹介されていることもあるので注意してください。
仮想通貨取引所で二段階認証を設定する方法
ここからは、実際に二段階認証を設定する手順を解説します。取引所やアプリによって画面のデザインや名称は多少異なりますが、大まかな流れはどこも同じです。5分もあれば完了するので、口座を開設したらすぐに設定しておきましょう。
認証アプリでの設定手順
- スマホに認証アプリ（Google Authenticatorなど）をインストールする
- 仮想通貨取引所にログインし、「設定」や「セキュリティ」のメニューから二段階認証の設定ページを開く
- 認証方式で「認証アプリ」を選択すると、QRコードとセットアップキー（英数字の文字列）が表示される
- セットアップキーやバックアップコードが表示された場合は、必ず控えて安全な場所に保管する
- 認証アプリを起動し、「＋」ボタンからQRコードを読み取る
- アプリに表示された6桁の確認コードを取引所の画面に入力する
- 「設定する」などのボタンを押して完了
手順4は見落としがちですが、後述する「スマホ紛失時の復元」で非常に重要になります。この画面を閉じると二度と表示されない取引所も多いので、ここで必ず控えておきましょう。
下記はCoincheckの二段階認証の登録方法です。
なお、ログイン時だけでなく、日本円の出金時や仮想通貨の送金時にも二段階認証を求める設定ができる取引所が多いです。資産が外に出ていくタイミングこそ最も守るべきポイントなので、すべてオンにしておくことをおすすめします。
二段階認証を使ったログインの流れ
設定後のログインはとても簡単です。
- 取引所のログイン画面で、メールアドレスとパスワードを入力する
- 確認コードの入力を求められるので、認証アプリを起動する
- アプリに表示されている6桁のコードを入力してログイン完了
コードは30秒ほどで切り替わります。入力中に切り替わってエラーになった場合は、新しいコードを入力し直せば問題ありません。
Coincheck・bitFlyer・GMOコインなど、主要取引所の特徴や選び方は以下の記事で詳しく比較しています。これから口座を開設する方はあわせてご覧ください。
コインチェックとビットフライヤーを比較！初心者におすすめなのはどっち？
GMOコインの評判・口コミ｜メリット・デメリットと口座開設手順を為替コヤジが本音で解説
二段階認証アプリを入れたスマホを紛失・機種変更したときの対策
二段階認証の最大の弱点は、スマホを紛失・故障したときに自分自身もログインできなくなることです。「セキュリティを強化したはずが、自分が締め出されてしまった」という事態は、実は珍しくありません。
取引所に問い合わせて本人確認書類を提出すれば二段階認証を解除してもらえますが、手続きには時間がかかります。特に海外の取引所では英語でのやり取りが必要になり、国内取引所とは比べものにならないほど大変です。相場が大きく動いているときに売買できないのは、投資家にとって大きな痛手ですよね。
だからこそ、スマホをなくす「前」の準備がすべてです。ここでは私がおすすめする4つの事前対策を紹介します。
| 対策 | 手軽さ | 確実性 | 注意点 |
|---|---|---|---|
| 1. セットアップキー・バックアップコードを控える | ○ | ◎ | 紙での厳重保管が必要 |
| 2. 認証アプリのクラウドバックアップを使う | ◎ | ○ | 同期先アカウントの防御が必須 |
| 3. QRコードを印刷して保管する | ○ | ◎ | 紛失・盗み見に注意 |
| 4. 予備の端末でもQRコードを読み取っておく | ○ | ◎ | 予備端末の管理が必要 |
対策1：セットアップキー・バックアップコードを控えておく
二段階認証の設定画面でQRコードと一緒に表示される英数字の文字列（セットアップキー、シークレットキーなどと呼ばれます）を控えておけば、新しいスマホの認証アプリに入力するだけで同じ確認コードを再現できます。
取引所によっては、認証アプリが使えなくなったとき用の「バックアップコード（リカバリーコード）」を発行してくれる場合もあります。どちらも紙に書いて金庫など安全な場所で保管するのがおすすめです。
ただし、セットアップキーを表示しない取引所ではこの方法は使えません。
対策2：認証アプリのクラウドバックアップを使う
前述のとおり、Google Authenticatorは2023年4月からGoogleアカウントへの同期に対応しました。Microsoft AuthenticatorやTwilio Authyにもバックアップ機能があります。
バックアップを有効にしておけば、新しいスマホにアプリを入れてアカウントにログインするだけで、確認コードがまとめて復元されます。最も手軽な方法ですが、同期先のアカウントが乗っ取られると全滅するリスクがあるため、同期先アカウントのセキュリティは万全にしておきましょう。
対策3：QRコードを印刷して保管する
二段階認証の設定時に表示されるQRコードを印刷しておけば、再度スキャンすることで復元できます。
スクリーンショットで保存する方法もありますが、スマホやクラウドに画像を残すとマルウェアや不正アクセスで盗まれる危険があるため、私は紙での保管をおすすめします。QRコードは「確認コードを生み出す鍵」そのものなので、他人に見られないよう厳重に管理してください。
対策4：予備の端末でもQRコードを読み取っておく
手軽で確実なのが、設定時のQRコードをメインのスマホと予備の端末（古いスマホやタブレット）の両方で読み取っておく方法です。同じQRコードから生成される確認コードは、どの端末でも同じになります。
どちらか一方をなくしても、もう一方の端末でそのままログインできるので安心です。予備の端末は自宅に保管し、画面ロックも必ず設定しておきましょう。
機種変更のときは「古いスマホがあるうちに」移行する
紛失ではなく機種変更の場合は、古いスマホを手放す前に移行を済ませるのが鉄則です。
Google Authenticatorには、古いスマホに表示したQRコードを新しいスマホで読み取ってコードをまとめて移す「アカウントの移行（エクスポート）」機能があります。移行後は、新しいスマホで各取引所に正しくログインできることを確認してから、古いスマホのデータを消去しましょう。
それでもログインできないときは取引所に連絡する
事前対策をしていなかった場合は、取引所のサポートに連絡して二段階認証の解除（リセット）を申請します。一般的には本人確認書類の提出などが求められ、完了までに数日以上かかることもあります。
なお、「二段階認証を解除してあげる」とSNSやDMで声をかけてくる人物は詐欺の可能性が極めて高いです。手続きは必ず取引所の公式サイトの問い合わせ窓口から行ってください。
二段階認証だけでは不十分！最新の手口と追加のセキュリティ対策
ここまで二段階認証の重要性をお伝えしてきましたが、残念ながら攻撃者の手口も年々巧妙になっています。ここでは、二段階認証をすり抜ける最新の手口と、あわせて実践したい追加対策を紹介します。
確認コードごと盗む「リアルタイムフィッシング」
近年特に増えているのが、本物そっくりの偽サイトに入力させたIDやパスワード、確認コードを、犯人がリアルタイムで本物のサイトに入力してログインする手口です。この方法だと、30秒で切り替わるワンタイムコードでも突破されてしまいます。
2025年には、この種のフィッシングなどによって証券口座の乗っ取りが多発しました。日本総研のレポートによると、2025年1〜9月の累計で不正取引は約9,000件、不正売買額は約6,900億円に達しています。これを受けて日本証券業協会は、ログイン時や出金時などにフィッシング耐性のある多要素認証を必須化する方向でガイドラインの改正案を公表しました。
仮想通貨取引所も決して他人事ではありません。bitFlyerも、同社の名称やロゴを使った偽広告やフィッシングサイトに注意するよう呼びかけています。
今すぐできる追加のセキュリティ対策
二段階認証とあわせて、次の対策も実践しておきましょう。どれもすぐにできるものばかりです。
為替コヤジが実践しているセキュリティ対策チェックリスト
- 取引所の公式サイトはブックマークから開き、メールやSMS、検索広告のリンクからはログインしない
- 取引所ごとに異なる長く複雑なパスワードを設定し、使い回さない（パスワード管理アプリの活用がおすすめ）
- パスキーに対応している取引所では、パスキーを設定する
- ログイン時だけでなく、出金時・送金時にも二段階認証を設定する
- ログイン通知メールを有効にし、身に覚えのないログインがあればすぐにパスワードを変更する
- 登録メールアドレスとGoogleアカウントにも二段階認証を設定する
- スマホやパソコンのOS・アプリを常に最新に保つ
- 「PC版のインストール」「ボーナス受け取り」などをうたう不審なソフトをダウンロードしない
長期保有分はウォレットへの分散も検討する
取引所に置いておく資産は、日々の売買や積立に必要な分にとどめ、長期でガチホする分はハードウェアウォレットなどで自分自身で管理するのも有効な選択肢です。インターネットから切り離して保管できるため、取引所のハッキングやアカウントの乗っ取りの影響を受けにくくなります。
ただし、ウォレットは秘密鍵（リカバリーフレーズ）を自分で管理する必要があり、紛失すると誰も復元できません。ウォレットの種類や選び方は以下の記事で解説しています。
仮想通貨のお財布“ウォレット”とは？5種類を使い分ける方法とおすすめハードウェアウォレット2選
セキュリティを固めたら、安心して仮想通貨投資を始めよう
二段階認証をはじめとするセキュリティ対策は、仮想通貨投資の「守り」の部分です。守りを固めてしまえば、あとは安心して「攻め」に集中できます。
私が仮想通貨で実践しているのは、相場に張り付く必要のないほったらかし投資です。毎月決まった額をコツコツ買う積立投資と、保有している仮想通貨を貸し出して利息を受け取るレンディングを組み合わせることで、忙しいサラリーマンでも無理なく資産を育てています。
仮想通貨の基礎から始め方までまとめて知りたい方は、まずこちらの記事をご覧ください。
【2026年最新】仮想通貨とは？仕組み・始め方・おすすめ銘柄を初心者にもわかりやすく徹底解説
買った仮想通貨を寝かせておくだけで増やしたい方には、仮想通貨レンディングがおすすめです。私自身、BTC・ETH・XRPをレンディングに預けて運用しています。
【金利一覧】仮想通貨レンディングとは？メリット・デメリットから最もお得なサービスまで徹底解説
なお、レンディングサービスの口座も、仮想通貨取引所と同じく大切な資産を預ける場所です。口座を開設したら、取引所と同じように必ず二段階認証を設定しておきましょう。
口座開設でもらえるお得なキャンペーン情報は、以下にまとめています。
仮想通貨の二段階認証に関するよくある質問
最後に、二段階認証について読者の方からよくいただく質問にまとめてお答えします。
Q. 二段階認証は設定しないといけないのですか？
取引所によっては、仮想通貨の外部送金など一部の操作で二段階認証が必須になっています。ログイン時の設定は任意の場合もありますが、資産を守るためにはすべての場面で設定することを強くおすすめします。
Q. 複数の取引所で同じ認証アプリを使えますか？
はい、使えます。1つの認証アプリに複数の取引所やサービスを登録でき、それぞれ別の確認コードが表示されます。取引所ごとに別のアプリを用意する必要はありません。
Q. 確認コードを入力してもエラーになります
スマホの時刻がずれていると、正しいコードが生成されないことがあります。スマホの日付と時刻の設定を「自動」にしてから、再度お試しください。それでも解決しない場合は、取引所のサポートに問い合わせましょう。
Q. SMS認証と認証アプリ、どちらを選ぶべきですか？
選べるなら、より安全性の高い認証アプリ、さらに対応していればパスキーがおすすめです。ただし、どの方式でも「設定しない」よりははるかに安全です。まずはSMS認証からでも、今日中に設定することが大切です。
まとめ：二段階認証で大切な資産を守りながら仮想通貨投資を楽しもう
最後に、この記事のポイントを振り返ります。
- 二段階認証は、パスワードが漏れても不正ログインを防ぐための必須のセキュリティ対策
- 安全性は「メール＜SMS＜認証アプリ・パスキー」の順。選べるなら認証アプリかパスキーを使う
- かつての「二段階認証を条件とした補償制度」は過去のもの。自分の資産は自分で守る意識が大切
- Google Authenticatorは2023年からクラウド同期に対応。同期先のGoogleアカウントの防御も忘れずに
- スマホ紛失に備え、セットアップキーの控え・バックアップ・予備端末などで事前に復元手段を用意しておく
- リアルタイムフィッシング対策として、ブックマークからのログイン、パスワードの使い回し禁止、パスキーの活用を徹底する
二段階認証の設定は、たった5分の作業です。しかし、その5分が何年もかけて積み上げた大切な資産を守ることにつながります。
「守り」をしっかり固めたら、あとは積立やレンディングで、仮想通貨をコツコツほったらかしで増やしていきましょう。仮想通貨でどうやって稼げばいいのか知りたい方は、私が実践している方法をまとめた以下の記事をぜひご覧ください。
コメント