Facebookの二要素認証（2FA）は、アカウントを守るうえで最も重要な設定の一つです。本記事では3つの認証方法の設定手順と選び方、端末変更やスマートフォン紛失時のログイン方法をわかりやすく解説します。
Facebookアカウントに第三者がログインすると、個人情報の漏えいだけでなく、スパム投稿や詐欺への悪用、さらにプラットフォームのリスク管理によるアカウント制限につながる可能性があります。二要素認証（2FA）は、手軽で効果の高い防御策の一つです。パスワードが漏れても、第二の認証要素がなければ第三者はログインできません。本記事では、Facebookの二要素認証を正しく有効にする方法に絞って説明します。
Facebookの二要素認証とは
二要素認証は「2段階認証」とも呼ばれます。有効にすると、新しい端末やブラウザからログインするたびに、パスワードに加えて動的な認証コードの入力が必要になります。コードの主な取得方法は3つです。
- 認証アプリ：Google AuthenticatorやDuo Mobileなどが、モバイル回線に依存せずオフラインで6桁のコードを生成します；
- SMSコード：Facebookが、アカウントに登録した電話番号へワンタイムコードを送信します；
- セキュリティキー：YubiKeyなどのUSB/NFCハードウェアを使い、物理的なタッチやボタン操作でログインを確認します。
認証アプリとセキュリティキーは、SMSより安全性が高いのが一般的です。SMSは傍受されたり、SIMカードがすり替えられたりするリスクがあるためです。可能であれば、この2方式を優先してください。
Facebookの二要素認証を有効にする手順
Facebookは定期的に画面構成を変更するため、メニューの位置が多少異なる場合がありますが、基本的な流れは同じです：プロフィール写真 → 設定とプライバシー → 設定 → アカウントセンター/セキュリティとログイン → 二要素認証。見つからない場合は、Facebook設定内で「二要素認証」または「two-factor」と検索してください。
二要素認証の画面を開くと、3つの設定方法が表示されます。
方法1：認証アプリを使う
- スマートフォンにGoogle AuthenticatorまたはDuo Mobileをインストールします（対応するブラウザ拡張機能を使う方法もあります）；
- Facebookの二要素認証画面で「認証アプリを使用」を選択します；
- 認証アプリで画面のQRコードを読み取ります；
- アプリにFacebookアカウントが自動で追加され、6桁のコードが生成されます；
- 現在表示されているコードをFacebookに入力し、「続行」をクリックします。
設定後は、ログインのたびにアプリを開いてコードを確認するだけです。スマートフォンがインターネットに接続されていなくても利用できます。
方法2：SMSコードを使う
二要素認証画面でSMS方式を選ぶと、Facebookから登録済みの電話番号に認証コードが送られます。コードを入力して「続行」をクリックします。次の点に注意してください。
- 電話番号が正しく、有効な状態でSMSを受信できること；
- 電話番号を変更した場合は、できるだけ早くFacebookのセキュリティ設定で更新すること；
- SMSが長期間届かない場合は、メッセージのフィルタやブロック設定を確認するか、認証アプリへ切り替えること。
方法3：セキュリティキーを使う
- 二要素認証画面で「セキュリティキー」を選択します；
- USBキーをパソコンに挿すか、NFCキーを読み取り位置に近づけます；
- 画面の案内に従ってキーに触れる、またはボタンを押して認証を完了します。
セキュリティキーはフィッシング攻撃に対して非常に強い保護を提供します。ただし、端末とブラウザが対応していることを確認してください（Chrome、Firefox、Edgeなど主要ブラウザは対応しています）。キーを紛失する前に予備の認証方法を設定しておかないと、ログインできなくなる可能性があります。
よくある質問
Facebookの二要素認証用SMSコードが届かない場合は？ まず、電話番号が正しいか、スマートフォンでSMSを正常に受信できるか確認してください。通信事業者やシステム側でブロックされていないかも確認します。それでも届かない場合は、SMS経路に依存せず安定しやすい認証アプリに切り替えてください。
新しい端末ではどうやってログインしますか？ パスワードを入力し、表示された案内に従って認証コードを入力します。ログイン承認を有効にしている場合、新しい端末からのログインには毎回コードが必要です。
スマートフォンを紛失してもFacebookにログインできますか？ 認証アプリを設定済み、またはバックアップ用ログインコードを保存していれば、引き続きログインできます。どちらもない場合は、Facebook公式のアカウント復旧手続きを利用する必要があり、手間が増えます。そのため、バックアップコードは事前に保存しておくことをおすすめします。
二要素認証でアカウント乗っ取りを防げますか？ リスクを大きく下げられます。パスワードと認証コードの両方が必要になるため、自動化された多くの乗っ取り攻撃は突破できません。ただし、2FAは適切なパスワード管理やルールに沿ったアカウント運用の代わりではありません。
複数の企業向け広告資産を管理するチームのセキュリティ対策
企業の広告運用チームでは、1つの個人アカウントだけでなく、複数のFacebook広告アカウント、ページ、企業資産を管理することがあります。Metaのルールでは、個人アカウントは各人が自分のものを使用し、企業資産はBusiness Managerで一元管理します。従業員はログイン情報を共有するのではなく、自分のアカウントに必要な資産への権限を付与してもらいます。
このような場面では、アカウントとブラウザ環境の対応関係も明確にしておくと管理しやすくなります。PurpleMarkでは、役割・顧客・事業ラインごとに独立したブラウザ環境を作成し、ログインセッション、プロキシ、よく使うページを分けて保存できます。さらにメンバー権限によって、誰がどの環境へアクセスできるかを管理できます。2FAは「パスワードを盗まれても、それだけでは入れない」ための対策であり、環境のグループ分けは「どの資産を誰が担当し、誰が操作し、どう引き継ぐか」というチーム管理の課題を整理するものです。両方を組み合わせることで、より包括的なアカウントセキュリティになります。企業資産の操作はすべてMetaの公式ポリシーと権限体系に従い、複数環境をプラットフォーム規則の回避手段として使用しないでください。
