機種変更で 2FA を新しいスマホに移す方法と、古いスマホをなくしたときの対処

1. どのアプリにコードが入っているかを確認します。Google Authenticator に一部、Microsoft Authenticator や Authy に一部という人も多く、それぞれ別々に移す必要があります。

2. 下で紹介する各アプリの方法で移します。移せないアカウントは、まだログインできるうちに設定し直します。認証アプリによる 2FA をいったんオフにしてオンにするか、「認証アプリを変更」といった項目を探します。私たちの設定ガイドでは、Google、Microsoft、GitHub をはじめ 108 のサービスについて、その設定の場所を紹介しています。

3. 新しいスマホで、新しいコードを使って重要なアカウントにログインします。まずはメールから。ほかのすべてのアカウントはメールを通じて復旧するからです。

4. 大事なアカウントについては新しいリカバリーコードを発行し、スマホ以外の場所に保存します。

5. それが済んでから古いスマホを初期化します。1 週間ほど引き出しにしまっておいても損はなく、移し忘れたアカウントがあったときに助かります。

Google Authenticator。 古いスマホでメニュー → Transfer codes（コードを移行）→ Export codes（コードをエクスポート）を開いてアカウントを選ぶと、QR コードが表示されます。新しいスマホでメニュー → Transfer codes（コードを移行）→ Import codes（コードをインポート）を開き、それをスキャンします。Google アカウント同期がオンなら、新しいスマホで同じ Google アカウントにログインするだけで、古いスマホの有無にかかわらずコードが引き継がれます。同期がオフなら、エクスポート用の QR コードを出すために古いスマホが必要です。

Microsoft Authenticator。 古いスマホでクラウドバックアップをオンにし（Android では個人用 Microsoft アカウント、iPhone では iCloud を使います）、新しいスマホでそこから復元します。復元できるのは同じ種類のスマホだけで、iPhone から iPhone、Android から Android です。Amazon や Facebook などほかのサービスのコードはそのまま戻りますが、職場や学校のアカウントはアカウント名しか戻らないので、それぞれサインインし直します。それができない場合は、組織のヘルプデスクに設定をリセットしてもらえば、次のサインイン時に新しいスマホを登録できます。

Authy。 Authy のアカウントは電話番号に結びついています。新しいスマホに Authy をインストールして番号を入力し、古いスマホから、または SMS か電話で新しいデバイスを承認します。トークンは古いデバイスから、あるいは Authy の暗号化バックアップをオンにしていればそこから引き継がれます。バックアップにはバックアップ用パスワードが必要で、Twilio はこれを受け取らず、復元もできません。Authy はほかのアプリにエクスポートできないので、Authy をやめるなら各アカウントを設定し直すことになります。

2FAS Auth。 2FAS Backup をオンにしていれば、その同期（Android では Google Drive、iPhone では iCloud）によって、同じアカウントでログインした同じ種類の新しいスマホにトークンが復元されます。Android と iPhone の間では、古いスマホでパスワード保護したバックアップファイルをエクスポートし、新しいスマホでインポートします。バックアップ用パスワードを設定した場合、2FAS はそれを復元できません。

2FA 認証システム（私たちの製品）。 スマホには入っていないので、新しいスマホに替えても何も変わりません。だからこそ移行中に役立ちます。コードが Chrome にあれば、パソコンで各サービスにログインし、古いスマホなしで新しいスマホに 2FA を設定できます。スマホアプリにコードを直接入れることはできませんが、otpauth:// リンクとしてのエクスポートは、ほとんどの認証アプリが読める形式です（バックアップ）。別のパソコンに移すには、Chrome の同期かエクスポートファイルを使います。複数のデバイスと復元を参照してください。

まず、正直なところから。 2FA のコードは、アプリに保存されたシークレットキーから計算されます。そのキーがなくしたスマホにしかなかったなら、キーは失われ、誰にも作り直せません。アプリの開発元にも、修理店にも、私たちにもできません。2FA 認証システム が誰かのシークレットキーを受け取ることはないからです。ログインし直す手段を持っているのは、ログイン先のサービスです。次の順に試してください。

1. コピーが残っていないか確認する。 Google アカウント同期をオンにした Google Authenticator なら、新しいスマホにインストールしてログインします。クラウドバックアップをオンにした Microsoft Authenticator なら、同じ種類のスマホで復元します。バックアップをオンにした Authy なら、インストールして番号を入力し、SMS か電話で確認してから、バックアップ用パスワードを入力します。同期をオンにした 2FAS なら、同じ Google または iCloud のアカウントで 2FAS Backup をオンにします。2FA 認証システム にもアカウントを追加していたなら、コードはパソコンの Chrome に残っています。

2. サービスのリカバリーコードを使う。 ほとんどのサービスは、2FA をオンにしたときに使い捨てのコードを一式発行しています。Google はそれぞれ 1 回だけ使えるバックアップコードを 10 個発行し、GitHub ではリカバリーコードと呼んでいます。サイトが 2FA のコードを求める欄に 1 つ入力します。

3. 別のサインイン方法を試す。 セキュリティキーやパスキー、まだ使える番号への SMS、サインインしたままの別のデバイスへの通知などです。たとえば GitHub では、なくしたアプリの代わりにパスキーやセキュリティキーを使えます。

4. サービスにアカウント復旧を申し込む。 わざと時間がかかるようになっています。Google はアカウントについての質問をし、ふだんログインしているデバイスと場所から行うのがいちばんうまくいきます。Coinbase は身分証明書の写真を求め、最大 24 時間かかります（Coinbase の 2FA ガイド）。Microsoft の職場・学校アカウントは、組織のヘルプデスクを通じて手続きします。まったく助けてもらえないサービスもあります。GitHub は、2FA の認証情報と復旧手段の両方を失ったアカウントについては、サポートでもアクセスを回復できないとしています。

5. なくしたスマホを締め出す。 Google は、なくしたスマホをリモートで消去し、コードを同期していた場合は Google アカウントからそのデバイスを削除することを勧めています。同期していなかった場合は、各サイトでコードを設定し直すよう案内しています。Authy では、デバイス一覧から古いデバイスを削除します。アカウントに戻れたら、2FA を設定し直して新しいリカバリーコードを保存してください。

すべてのコードに 2 つ目のコピーを。 いちばん簡単なのは、同じ QR コードを 2 つのアプリに読み込ませることです。サイトが設定用の QR コードを表示したら、スマホのアプリと 2FA 認証システム の両方でスキャンすれば、どちらにも同じコードが表示されます（複数のデバイス）。すでに Google Authenticator に入っているアカウントは、そのエクスポート用 QR コードで一度に移せます。

リカバリーコードはスマホの外に。 印刷するか、パスワードマネージャーに保管します。スマホの写真アプリにあるスクリーンショットは、スマホと一緒になくなります。

アプリのバックアップをオンにし、そのパスワードは別の場所に。 Authy と 2FAS のバックアップ用パスワードは、提供元でも復元できません。

ときどきバックアップファイルをエクスポートする。 2FA 認証システム では「設定」→「エクスポート」で、パスワードで保護したファイルを保存できます（バックアップ）。別のパソコンで「インポート」すれば読み込めます（復元）。拡張機能の毎日の自動コピーは拡張機能の中にあるので、アカウントを誤って削除したときには役立ちますが、パソコンをなくしたときには役立ちません。

2 つ目のサインイン方法を追加する。 セキュリティキーやパスキーなど、サービスが用意していればどこでも追加しておきましょう。