二段階認証アプリの使い方と比較｜Google Authenticator・Authy・Microsoft Authenticator

アカウントの数が増えるほど、二段階認証の設定が複数のアプリに分散し、機種変更時の移行を心配する方は少なくありません。私も1年ほど前まで同じように悩み、仕事用とプライベート用の両方でこの不安を抱えていました。

二段階認証アプリの選定は、パスワード管理と並ぶアカウントセキュリティの中核を担います。一方で、「どの製品が安全性に優れているのか」「操作性は十分なのか」といった比較情報を日本語で探すのが難しいと感じる方が多いのではないでしょうか。

Google Authenticator、Authy、Microsoft Authenticatorの3つのアプリを比較する本記事では、各社の公式情報をもとにしています。読み終える頃には、どのアプリが最適であるかが明確になっているはずです。

---

二段階認証（2FA）アプリとは？

二段階認証の導入を多くのウェブサービスが推奨しています。その中でも「SMS認証」と「認証アプリ」の相違点を正確に把握している方は、まだ少数派かもしれません。結論として、認証アプリはSMS認証よりも安全性が高いという評価です。NIST（米国国立標準技術研究所）のガイドラインでも、この選択肢が推奨されています。

米国NIST SP 800-63B（デジタルアイデンティティ ガイドライン。最新版は2025年8月公開のSP 800-63B-4）の内容を確認しました（出典: NIST SP 800-63B-4、2026年10月確認）。このガイドラインでは、認証レベル（AAL）を3段階に定義しています。各認証方式の位置付けは、以下にまとめておきます。

• AAL1（最低レベル）: パスワード単体など、1つの要素による認証です。
• AAL2: パスワードとTOTP認証アプリ（Google Authenticator等）など、2つの要素を組み合わせる構成です。SMSで届くコードも「制限付き」の扱いで使えます。
• AAL3（最高レベル）: ハードウェアセキュリティキー（YubiKey等）など、秘密鍵を取り出せない認証器による認証です（端末間で同期されるパスキーはAAL2まで）。

注目すべき点は、SMS認証が「Restricted Authenticator（制限付き認証器）」として位置づけられていることです。利用者にリスクを説明し代替手段を用意することなどが条件とされており、その背景にはSIMスワッピング攻撃などへの脆弱性があります。NISCや総務省も同様の立場から、認証アプリへの移行を推奨しています（出典: 総務省 国民のためのサイバーセキュリティサイト、2026年6月確認）。

認証アプリが採用するTOTP（Time-based One-Time Password）は、RFC 6238という国際標準で規定されています。その仕組みはシンプルであり、まずQRコードを通じてシークレット鍵をアプリに登録します。その後、アプリが現在時刻とシークレット鍵を用いてHMAC-SHA1で演算し、6桁のOTPを生成します。この6桁のコードは30秒ごとに更新され、サーバー側も同じ計算を実行して照合を行います。ネットワークが不要であること、そして毎回コードが変わるという2点が、SMSよりも安全な理由です。

6桁のTOTPコードは100万通りしかありませんが、コードは30秒ごとに変わり、多くのサービスはログインの試行回数を制限しているため、オンラインで総当たりするのは現実的ではありません。

Google Authenticator・Authy・Microsoft Authenticator比較

3つの主要アプリの実態を整理します。日本での検索の傾向を見ると、Google AuthenticatorやMicrosoft Authenticatorに比べて、Authyの検索はかなり少なくなっています。

項目	Google Authenticator	Microsoft Authenticator	Authy
開発元	Google LLC	Microsoft Corporation	Twilio Inc.
対応OS	iOS / Android	iOS / Android	iOS / Android（デスクトップ版は2024年3月廃止）
料金	無料	無料	無料
クラウドバックアップ	Googleアカウントに同期（2023年〜）	Microsoftアカウントにバックアップ（iPhoneはiCloud経由）	Authyクラウドに同期（AES-256暗号化）
複数デバイス対応	Google同期で対応	×（バックアップから復元）	○（同一電話番号で複数端末に同期）
プッシュ通知認証	×	○（Microsoftの個人・職場アカウント）	×
日本語対応	○（完全対応）	○（完全対応）	△（英語メイン）
デスクトップ版	×	×	×（2024年3月廃止済み）

※ 2026年6月時点の情報。最新情報は各公式サイトでご確認ください。

① Google Authenticator｜シンプルさと互換性

Google Authenticatorは、2段階認証アプリの中でも特にシンプルな設計を採用しています。TOTP標準（RFC 6238）に準拠しているため、Google以外のサービスでも広く利用できます。

Google PlayでのGoogle Authenticatorのダウンロード数は1億回以上で、最も広く使われている2FAアプリのひとつです。また、2023年にGoogleアカウントとのクラウド同期機能が追加されたことで、以前は最大の弱点とされていた「機種変時のデータ引き継ぎ」の問題が大幅に改善されました。

実際に使ってみた感想

Google Authenticatorの設定手順は非常にシンプルに設計されています。アプリを起動して「+」ボタンをタップし、サービスのQRコードを読み取るだけで登録が完了します。今回の検証では10秒もかからず設定が終了しました。UIは余計な機能を排除しており、登録したサービスと6桁コードのみが整然と並ぶ構成です。視認性という観点では非常に高い評価を得られる仕上がりと言えます。

エクスポート機能はQRコード形式のみを提供しており、個別のシークレット鍵テキストを直接確認することはできません。機種変更を行う際は、Googleアカウントへの同期が完了しているかどうかを事前に必ず確認してください。

主な機能

二段階認証アプリの主な機能は、次の5点です。

• RFC 6238準拠のTOTP（時間ベース）認証コード生成に対応しています
• Googleアカウント経由でのクラウドバックアップと同期が可能です
• QRコードを読み取るだけで簡単にセットアップできます
• 他デバイスへQRコード形式でエクスポートできます
• Android環境ではウィジェットとして利用できます

こんな方におすすめ：Googleアカウントをメインに使っており、シンプルで軽いアプリが欲しい方。複雑な機能は不要で「ただ2FAコードを生成したい」だけの方。

---

② Microsoft Authenticator｜Microsoftサービス利用者は一択

Microsoft Authenticatorの最大の強みは、Microsoft 365やOutlook、AzureといったMicrosoftアカウントとの深い統合にあります。このアプリではTOTPコードの入力が不要な「数字一致プッシュ通知」方式を利用できるため、ログイン時の操作がよりスムーズになるという利点があります。

TOTP（RFC 6238）に準拠しているため、Google Authenticatorと同様に、Google・Amazon・GitHub・X（旧Twitter）など事実上すべてのTOTP対応サービスで利用できます。Microsoft公式ページ（microsoft.com/ja-jp/security/mobile-authenticator-app）によると、iOS・Androidの両方に対応し、日本語でも利用できます。

参考までに、各サービスの公式サイトのHTTPセキュリティヘッダー（HSTS・CSPなど）の設定も確認しました（2026年6月時点）。ただ、ヘッダーの返り方は確認方法や時期によって変わり、ボット対策の画面が返るサイトもあるため、点数での比較は控えます。これはWebサイト側の設定であり、認証アプリそのものの安全性とは別の話です。

主な機能

Microsoft Authenticatorの主な機能は、TOTP認証やプッシュ通知など次の5点です。

• RFC 6238準拠のTOTP認証コード生成に対応します
• Microsoftアカウント（個人・職場/学校）向けのプッシュ通知認証を利用できます
• Number Matchingによるフィッシング対策を強化しています
• Microsoftアカウントへのクラウドバックアップ・同期が可能です
• FIDO2対応のパスキー管理機能を実装しています

こんな方におすすめ：Microsoft 365・Teams・Outlookをメインに使っている方。企業・学校でMicrosoftアカウントを使用しており、プッシュ通知認証の利便性を活かしたい方。

---

③ Authy｜バックアップ重視なら選択肢だが注意

Authyは、2FA認証アプリの中で早くからマルチデバイス同期とクラウドバックアップを実装していたサービスです。運営元はTwilio Inc.（本社: サンフランシスコ）で、同社は主にAPIを通じた通信サービスを提供するB2Bの大手企業です。

Authy公式サイトの説明によると、Authyのバックアップは「ユーザーが設定するバックアップパスワード」でAES-256暗号化されたうえでTwilioのクラウドに保存されます。バックアップパスワードはAuthy側では知ることができないため、バックアップパスワードを忘れると復号は事実上不可能です。

2024年の廃止情報（重要）

Authyは2024年に主要プラットフォームへの対応を終了しています。Authy公式ブログを実際に確認したところ（Authy公式ブログ、2026年6月確認）、以下のような廃止内容が記されていました。

主な機能

各アプリの主な機能は、以下の4点です。

• TOTP認証コード生成（RFC 6238準拠）に対応しています。
• AES-256暗号化クラウドバックアップを利用できます。
• 同一電話番号での複数スマートフォン同期が可能です。
• PINまたは生体認証によるロック機能を実装しています。

こんな方におすすめ：GoogleアカウントもMicrosoftアカウントも使いたくなく、独立したバックアップ・同期が欲しい方。ただし現在からの新規利用開始であれば、Google AuthenticatorまたはMicrosoft Authenticatorのほうが長期的なサポート継続が確実です。

バックアップ・移行方法の比較

機種変更時のデータ移行は、2FA認証アプリを利用する上で最も不安を感じやすいポイントです。「バックアップを取らずに機種変更してしまい、すべてのサービスにログインできなくなった」という失敗例が数多く報告されています。そのため、各アプリにおける具体的な移行手順を以下にまとめます。

Google Authenticatorの移行手順

Googleアカウントの同期機能が有効な場合、新しい端末にGoogleアカウントでログインするだけで、すべてのデータを復元できます。データの移行を開始する前に、設定画面でバックアップの状態を必ず確認してください。

1. 旧端末でGoogle Authenticatorを起動し、右上メニューから「アカウントの転送」→「エクスポート」を選択してください。
2. 表示されたQRコードを新端末でスキャンします（Googleアカウント同期が有効であれば自動復元されるため不要です）。
3. 新端末で各サービスにログインし、2FAが正常に動作することを確認してください。

Microsoft Authenticatorの移行手順

Microsoftアカウントのバックアップが有効な場合、新しい端末にデータを復元できます。Google・Amazonなど他社サービスの認証コードも復元されますが、職場・学校アカウントは復元後にサインインし直す必要があります。また、iPhoneのバックアップをAndroidに復元すること（またはその逆）はできません。

1. 旧端末のMicrosoft Authenticatorで「設定」から「バックアップ」が有効化されていることを確認します。
2. 新端末にMicrosoft Authenticatorをインストールしたうえで、Microsoftアカウントへログインします。
3. 「バックアップから回復」を選択し、データの復元を実行します。

Authyの移行手順

Authyの大きな特徴は、マルチデバイスでの同期機能にあります。新しい端末にAuthyをインストールし、登録済みの電話番号で認証を行うと、バックアップパスワードを用いてデータを復元できる仕組みです。このバックアップパスワードを失わないよう、パスワードマネージャーで管理することをおすすめします。

1. 新しい端末にAuthyをインストールし、同じ電話番号で認証してください。
2. 「バックアップを復元する」を選択して、バックアップパスワードを入力します。
3. すべてのTOTPトークンが正しく復元されたことを確認してください。

パスワードマネージャーとの組み合わせ

2FA認証アプリとパスワードマネージャーを併用すると、アカウントのセキュリティレベルが大幅に向上します。1Passwordをはじめとする高機能なツールであれば、パスワードの管理に加え、TOTPシークレットの保存と一元管理も可能です。

1Passwordの公式ページ（1password.com/features/two-factor-authentication/）によると、同サービスにはTOTP認証コードの生成機能が標準で備わっています。対応するサービスへのログイン時には、パスワードの自動入力と並行してTOTPコードがクリップボードへコピーされる仕様となっており、これは1Password公式サイトで2026年6月に確認した情報です。

この方法の最大の利点は、シークレット鍵の管理をパスワードマネージャーに任せる点にあります。スマートフォンを紛失した場合でも、パスワードマネージャーからTOTPを再生成することが可能です。なお、パスワードマネージャー自体の2FAは、ハードウェアキーなど独立した手段で保護するのが推奨されます。

パスワードマネージャーと組み合わせて利用する場合の詳細については、パスキーとパスワードの違いを解説した記事やハッキング対策の完全ガイドを参照してください。

パスワード自体を安全に管理する方法については、パスワードマネージャーのおすすめ比較記事で詳しく解説しています。

よくある質問

最後に、二段階認証アプリについてよくある質問を以下にまとめておきます。

Q. スマホを紛失したらどうなる？

スマートフォンを紛失した際、クラウドバックアップが有効であれば新端末でデータを復元できます。一方、バックアップを設定していない場合は、各サービスのリカバリーコード（バックアップコード）を用いてアカウントにアクセスし、2FAを再設定する手段しか残されていません。リカバリーコードは2FAを設定した際に提供されるため、パスワードマネージャーや印刷して金庫に保管するなど、必ず安全な場所に保存してください。また、パスワードが漏洩していないかを確認する方法については、パスワード漏洩確認の記事を参照することをおすすめします。

3つのアプリで互換性はある？

はい、3つのアプリはいずれもRFC 6238（TOTP）標準に準拠しているため、同じQRコードで登録が可能です。Google AuthenticatorとMicrosoft Authenticatorの両方に同一サービスのQRコードを登録すると、どちらのアプリからも同じ6桁コードが生成されます。

SMS認証から認証アプリへの切り替え

A. 移行可能なサービスがある場合は、積極的に切り替えることをおすすめします。SMS認証はNIST SP 800-63Bで「制限付き認証器」と位置づけられており、SIMスワッピング攻撃に対して脆弱性があります。金融機関・メール・SNSなどの重要アカウントについては、認証アプリへの移行を優先してください。アカウント乗っ取り対策の全体像についてはアカウント乗っ取り対策ガイドも参照してください。

Authyは今から使い始めても大丈夫？

既存ユーザーは引き続き利用できますが、2024年にデスクトップ版が提供終了しています（Chrome拡張版は2020年にサポート終了）。そのため、今後もプラットフォームのサポート縮小が続く可能性があります。これから新しく2FAアプリを選ぶのであれば、Google AuthenticatorまたはMicrosoft Authenticatorのほうが長期的なサポートが見込めます。

TOTPコードが「無効なコード」と表示される原因

TOTPは端末の時刻に依存する仕組みのため、スマートフォンの時刻がずれていると無効と判定されることがあります。この問題を解決するには、スマートフォンの「自動時刻設定」をオンにしてNTPサーバーと同期させるのがおすすめです。Google Authenticatorには「時刻補正」機能も用意されているため、設定から時刻補正を行うことも可能です。また、30秒の時間窓をまたいでいる場合（コードの切り替わり直後）は、再度コードを確認してから入力してください。

パスワードマネージャーに2FAも管理させるのは安全？

利便性を重視する場合は、1PasswordのようにパスワードとTOTPを一つのツールで管理する方法が手軽です。一方で、セキュリティを最優先にする場合は、パスワードと2FAのアプリを分離して管理し、2FAはスマートフォンの専用アプリに任せる方法が堅牢です。ただし、どちらの方法を選んでも、パスワードマネージャー自体の保護、つまり強力なマスターパスワードやハードウェアキーの使用が前提となります。

まとめ

各社の公式情報をもとに、3つの主要な二段階認証アプリを比較しました。どのアプリも基本的なTOTP機能は同等ですが、バックアップ方法・エコシステム統合・将来のサポート体制に明確な差があることがわかりました。

あなたの状況	おすすめ	理由
Googleアカウントをメインに使用	Google Authenticator	Googleアカウント同期で機種変も安心。シンプルで操作が迷わない
Microsoft 365・Outlookをメインに使用	Microsoft Authenticator	プッシュ通知認証でMicrosoftサービスがさらに便利に
GoogleもMicrosoftも使いたくない	Authy（注意点あり）	独立したクラウドバックアップ。バックアップパスワードの管理を徹底すること
セキュリティと利便性を両立したい	1Password（TOTPも管理）	パスワードとTOTPを一元管理でき、機種変対応も容易
まずSMS認証から移行したい	Google Authenticator（無料で今すぐ）	NIST AAL2準拠。SIMスワッピング攻撃に耐性。設定が最もシンプル

どのアプリを選ばれたとしても、最も重要なのは『バックアップを確実に取ること』と『各サービスのリカバリーコードを安全に保管すること』です。2FAを設定した後に機種変や紛失でアクセスできなくなるという事態を防ぐため、今すぐバックアップ状態を確認してみてください。

パスワード管理の全体像を強化したい方は、パスワードマネージャーのおすすめ比較記事も併せてご確認ください。