Microsoft Authenticator（オーセンティケーター）とは？仕組み・使い方・機種変更の手順

Microsoft Authenticator（マイクロソフト オーセンティケーター）は、Microsoftが無料で配布しているスマートフォン用の認証アプリです。サインインのときに「本人のスマホが手元にあること」を確かめる役目を担い、Microsoftの個人用アカウント、会社や学校のMicrosoft 365アカウント（Microsoft Entra ID）、AmazonやGoogleなど他社のアカウントに使えます。

この記事では、4つの認証方式の仕組み、アカウントの追加手順、機種変更で戻らない情報、トラブルの切り分けを、2026年10月時点のMicrosoft公式ドキュメントに沿って説明します。

まとめ：Microsoft Authenticatorの要点

• 読み方は「オーセンティケーター」。iOS版とAndroid版があり、料金はかかりません（App Storeの最新版は2026年9月29日公開の6.8.56で、iOS 17.0以降が必要）。
• 仕組みは4方式。30秒ごとに変わるワンタイムパスワード、プッシュ通知と番号の一致、パスワードを使わない電話によるサインイン、端末に固定されたパスキーです。
• 通知を連打して誤承認を誘う攻撃への対策として、2023年5月8日から職場・学校アカウントのプッシュ通知に番号の一致が必須になりました。同じスマホのTeamsやOutlookからのサインインだけは「はい／いいえ」で答えます。
• パスワードの保存・自動入力機能は2025年8月に終了し、Microsoft Edgeへ移りました。
• 機種変更でバックアップから戻るのはワンタイムパスワードだけです。会社・学校のアカウントと、パスワードレスにした個人用アカウントは新しい端末でサインインし直す必要があります。
• 旧端末を初期化する前に、新端末で全アカウントのサインインを確かめるのが一番確実な移行方法です。

Microsoft Authenticatorとは：読み方と3つの使い道

Authenticatorは英語で「認証するもの」を意味し、カタカナでは「オーセンティケーター」と書きます。Microsoftのサポートページは、このアプリを「パスワードを使用せずに、指紋、顔認識、または PIN を使用するだけですべてのアカウントにサインインできる無料のアプリ」と説明しています。

使い道は3つに分かれます。

• サインインの確認手段として登録する：パスワードを忘れたときの本人確認に使います。
• 2段階認証の2つ目として毎回使う：パスワードに加えて、アプリのコードか通知で承認します。
• パスワードの代わりに使う：スマホで画面の番号に応じて承認するだけでサインインします（パスワードレス）。

2段階認証と多要素認証の違いそのものは、二段階認証とは？二要素認証・多要素認証との違いと企業の導入判断を解説で整理しています。

Authenticatorが必要になる場面と入れなくてよい場面

会社や学校のMicrosoft 365で、管理者が認証方法としてAuthenticatorを指定している場合は必須です。たとえば「セキュリティの既定値群」を有効にしているテナントでは、利用者はAuthenticatorの通知による多要素認証の登録を求められ、2024年7月29日以降は登録までの14日間の猶予もなくなりました。

個人のMicrosoftアカウントでは任意です。SMSのコードやセキュリティキーでも2段階認証は組めます。ただし、SMSは電話番号の乗っ取り（SIMスワップ）に弱いため、アカウントを守りたいならアプリ方式のほうが安全です。

効果の大きさはMicrosoftの研究者が数字で示しています。2023年5月に公開された論文「How effective is multifactor authentication at deterring cyberattacks?」は、多要素認証を有効にすると侵害されるリスクが利用者全体で99.22%、漏えいした資格情報が使われたケースでも98.56%下がったと報告し、Microsoft Authenticatorのような専用アプリはSMS認証より効果が高いと結論づけています。

アプリの入手先はApp StoreとGoogle Playです。Google Playでのインストール数は1億回を超えています。名前の似た別のアプリと取り違えないよう、提供元が「Microsoft Corporation」であることを確かめてから入れてください。

すでに終わった機能：パスワードの自動入力とApple Watch

古い解説記事によく出てくる機能のうち、次の2つは現在使えません。

• パスワードの保存・自動入力：2025年6月に新規保存が止まり、7月に自動入力、8月中旬に保存データの表示が終了しました。パスワードと住所はMicrosoftアカウントに同期されており、Microsoft Edgeで引き続き使えます。Chrome用のMicrosoft Autofill拡張機能は2024年12月14日に終了しています。
• Apple Watch：2023年1月のiOS版リリースでwatchOS用アプリがなくなりました。Microsoftは「Authenticator のセキュリティ機能と互換性がない」ことを理由に挙げています。Android系のウェアラブル端末も対象外です（スマホの通知をウォッチにミラーリングして見ることはできます）。

Microsoft Authenticatorの仕組み：4つの認証方式

アプリの中では、性質の違う4つの方式が同居しています。方式ごとに秘密情報の保管場所が異なります。TOTPのシークレットキーはサーバーと共有しますが、Authenticatorのパスキーの秘密鍵は作成した端末から出ません。

フィッシング耐性の有無については、Microsoft Entra IDの認証方法の概要に基づいています。同ページは、SMSやメールのワンタイムパスワード、認証アプリによる多要素認証は遠隔のフィッシングに弱いとしたうえで、Authenticatorの方式のうちパスキーだけをフィッシング耐性のある（phishing-resistant）認証方法に挙げています。

ワンタイムパスワード：シークレットキーと時刻から数字を計算

アプリに表示される数字は、RFC 6238で定められたTOTP（時間ベースのワンタイムパスワード）です。登録時にQRコードで受け取ったシークレットキー（シード）と現在時刻を材料に、30秒ごとに新しいコードを計算します。桁数はサービスごとに決まっており、多くは6桁です。サーバー側も同じキーと時刻から同じ計算をして、一致すれば通します。

計算に通信を使わないため、機内モードでもコードは出ます。逆に言うと、シークレットキーが漏れれば誰でも同じコードを作れます。QRコードの画面をスクリーンショットで残したり、チャットに貼ったりしてはいけない理由はここにあります。

次のPython 3コードは、HMAC-SHA-1を使うTOTPの計算例です。スペース区切りやパディング（=）なしで表示されるBase32のキーも渡せます。RFC 6238の付録Bにあるテスト値（時刻59秒・8桁で94287082）と一致することを確認しています。

import base64, hashlib, hmac, struct, time

def totp(secret_b32, t=None, step=30, digits=6):
    s = secret_b32.replace(' ', '').upper()
    key = base64.b32decode(s + '=' * (-len(s) % 8))
    counter = int((time.time() if t is None else t) // step)
    mac = hmac.new(key, struct.pack('>Q', counter), hashlib.sha1).digest()
    offset = mac[-1] & 0x0F
    code = struct.unpack('>I', mac[offset:offset + 4])[0] & 0x7FFFFFFF
    return str(code % 10 ** digits).zfill(digits)

# RFC 6238 付録Bのテストベクトル（共有シークレット 12345678901234567890）
secret = base64.b32encode(b'12345678901234567890').decode()
print(totp(secret, t=59, digits=8))   # 94287082
print(totp(secret, t=59))             # 287082

スマホの時計が数分ずれるとコードが合わなくなるのも、この仕組みから説明できます。Microsoft Entra IDが公表している時刻ずれの補正幅（30秒更新のトークンで認証時に前後1分）はハードウェアOATHトークンについての値で、スマホのAuthenticatorに同じ幅が適用されるとは書かれていません。スマホの日付と時刻は自動設定にしておくのが確実です。実装側から見たHOTPとの違いやSMS認証の弱点はOTPとは？HOTP/TOTPの生成アルゴリズムと実装・SMS OTPの限界を実装視点で解説で扱っています。

プッシュ通知と番号の一致：通知の連打で誤承認させる攻撃への対策

パスワードを入れた後、スマホに「サインインを承認しますか？」という通知が届く方式です。以前は「承認」を押すだけでしたが、攻撃者が盗んだパスワードで何度もサインインを試み、うんざりした利用者に承認を押させる手口（MFA疲労攻撃）が広がりました。

そこでMicrosoftは2023年5月8日から、職場・学校アカウント（Microsoft Entra ID）でのAuthenticatorのプッシュ通知すべてに番号の一致を強制しました。パソコンからのサインインでは、画面に出た2桁の番号をアプリに入力します。通知を押すだけの誤承認は防げますが、攻撃者に番号の入力を誘導される危険は残ります。

• 同じスマホのTeamsやOutlookからサインインする場合は、番号入力の代わりに「はい／いいえ」で答えます。ブラウザからのサインインは番号入力のままです。
• 2023年8月以降、普段と違う場所などからの異常なサインインでは通知が出ません。アプリを開いて下に引っぱるか、更新（Refresh）をタップすると承認画面が出ます。
• 職場・学校アカウント向けには、Outlookモバイルの中に同じ承認機能を持つAuthenticator Liteもあります。こちらはパスワードレスには対応していません。

電話によるサインイン：端末に紐づく鍵を使ったパスワードレス認証

ユーザー名を入れるとパスワード欄の代わりに番号が表示され、スマホでその番号を入力し、指紋や顔、PINで本人確認すればサインインが終わる方式です。Microsoftはこれを、端末に結びついた資格情報を使う「鍵ベースの認証」と呼び、Windows Hello for Businessと同様の技術だと説明しています。

職場・学校アカウントで使うには、管理者が電話によるサインインを許可し、端末をそのテナントに登録する必要があります。個人のMicrosoftアカウントでは、アカウントのセキュリティ設定で「パスワードレス アカウント」をオンにするとパスワード自体を消せます。

パスキー：Secure EnclaveやTEEの中に作るデバイス固定の鍵

Microsoft Entra ID向けに、Authenticatorはパスキーの保存先にもなります。iPhoneではSecure Enclave、AndroidではSecure Element（非搭載機はTEE）の中で鍵ペアを作り、秘密鍵は作った端末から出ません。サインインするサイトのドメインと鍵が結びつくので、偽サイトに誘導されても使えないのがパスキーの強みです。

利用条件はAndroid 14以降またはiOS 17以降です。管理者がアテステーション（正規のAuthenticatorが作った鍵かの検証）を有効にしている場合、登録時にAppleのApp AttestやGoogleのPlay Integrityへ問い合わせるため、それらのサービスが混んでいると登録が失敗することがあります。パスキー一般の仕組みはパスキー認証とは？仕組み・パスワードとの違い・企業の導入判断を解説を参照してください。

Microsoft Authenticatorの使い方：アカウント別の追加手順

アプリを入れたら、右上の「＋」からアカウントを追加します。選ぶ種類は「個人用」「職場または学校」「その他（Google、Facebook など）」の3つで、どのサービスのアカウントかによって入口が違います。

個人のMicrosoftアカウント（Outlook.com・Xboxなど）の追加手順

1. パソコンで account.microsoft.com/security を開き、「サインイン方法を管理」を選びます。
2. 「サインインまたは確認する新しい方法を追加します」から「アプリの使用」を選び、QRコードを表示します。
3. スマホのAuthenticatorで「＋」→「個人用アカウント」→「QR コードのスキャン」と進み、画面のQRコードを読み取ります。

毎回コードを求めたい場合は同じ画面の「2 段階認証」を、パスワードをなくしたい場合は「パスワードレス アカウント」をオンにします。

会社・学校のアカウント（Microsoft 365・Entra ID）の追加手順

1. パソコンで mysignins.microsoft.com/security-info を開き、「サインイン方法の追加」を選びます。
2. 一覧から「Microsoft Authenticator」を選び、表示されたQRコードをスマホの「職場または学校アカウント」から読み取ります。
3. パソコンに出た番号をアプリに入力して、登録を完了します。

アプリに「aka.ms/mfasetup に移動する必要があります」と表示される場合は、アカウントに登録済みの認証方法が足りない状態です。ブラウザ側で先に登録するか、管理者から一時アクセスパス（TAP）を発行してもらいます。Entra IDの位置づけはMicrosoft Entra ID（旧Azure AD）とは？で解説しています。

Amazon・Googleなど他社アカウントとシークレットキーの手動入力

Authenticatorは標準的なTOTPアプリとしても動くので、Microsoft以外のサービスでも使えます。Amazonの場合は、アカウントの「ログインとセキュリティ」から2段階認証の設定を開き、コードの受け取り方で認証アプリを選ぶとQRコードが出ます。Authenticatorで「その他のアカウント（Google、Facebook など）」を選んで読み取り、表示された6桁をAmazonの画面に入力すれば登録完了です。

カメラで読めないときは、パソコン側の「バーコードをスキャンできません」などのリンクを押すと英数字のシークレットキーが表示されます。アプリ側で「コードを手動で入力」を選び、アカウント名とこのキーを入れれば同じ結果になります。キーはアルファベットと数字2〜7だけで書かれたBase32の文字列です。

機種変更の手順：バックアップで戻るもの・戻らないもの

機種変更では、バックアップから復元しても、そのままサインインできないアカウントがあります。Microsoftのバックアップ手順のページによると、バックアップに入る情報はアカウントの種類で次のように違います。

iPhoneで取ったバックアップはAndroidに戻せません（逆も同じ）。OSをまたぐ機種変更では、全アカウントを登録し直すことになります。

また、旧端末からアプリを消すだけでは不十分です。アカウントのセキュリティ設定で旧端末の登録も外さないと、通知が旧端末に届き続けます。

iPhone：iCloudでのバックアップと復元

iPhoneのバックアップはiCloudに保存されます。旧端末で次の4つを済ませておきます。

1. iCloud Drive、iCloudキーチェーン、iCloudバックアップをそれぞれオンにする。
2. 設定アプリの「iCloudに保存済み」の一覧でAuthenticatorをオンにする。
3. Authenticatorを6.8.33以降に更新する。
4. 機種変更の前にアプリを一度開く。

新しいiPhoneで同じApple IDにサインインしてAuthenticatorを入れれば、アカウントが表示されます。「Sign in to restore your account」と出たアカウントは、タップしてサインインすると復元が終わります。出てこない場合は、アプリを削除して入れ直すとバックアップが読み込まれます。

Android：クラウドバックアップと2027年1月からの変更

Androidでは、アプリの「設定」→「クラウド バックアップ」をオンにし、保存先の個人用Microsoftアカウントを選びます。新しい端末では最初の画面で「バックアップから復元」を選び、同じMicrosoftアカウントでサインインします。すでにアカウントを1つでも追加していると「バックアップから復元」が表示されないので、その場合はいったんすべてサインアウトしてから操作します。

なお、Microsoftは2027年1月から、Androidのバックアップを個人用Microsoftアカウントではなく、Google Oneのバックアップで「Microsoft Authenticator」を有効にする方式へ切り替えると告知しています。

職場・学校アカウントの再登録と、旧端末を手放す前の確認

職場・学校アカウントは、バックアップの有無に関係なく新端末で登録し直します。一番確実なのは、旧端末がまだ使えるうちに次の順で進める方法です。

1. パソコンで mysignins.microsoft.com/security-info を開き、旧端末の通知で承認してサインインする。
2. 「サインイン方法の追加」から新端末のAuthenticatorを登録する。
3. 新端末でサインインできることを確かめてから、一覧の旧端末を削除し、旧端末を初期化する。

旧端末を先に失った場合は、SMSなど別の認証方法を登録済みならそれでセキュリティ情報ページにサインインし、新端末を追加して旧端末を削除します。別の方法が何もなければ、社内の管理者に連絡して認証方法をリセットしてもらうか、一時アクセスパス（TAP）を発行してもらいます。

通知が来ない・コードが合わないときの対処

Microsoftのトラブルシューティングページとサポート記事から、よく出る症状を原因別にまとめます。

• 通知が届かない：端末の設定でAuthenticatorの通知がオンか、機内モードやおやすみモードになっていないかを確認します。Androidではアプリの「バッテリーの最適化」を外すと改善することがあります。職場・学校アカウントをAndroidで使うにはGoogle Play開発者サービスが必要です。
• 通知がいつも期限切れになる：スマホの日付と時刻が手動設定になっていると起きます。自動設定に戻します。
• コードを入れても通らない：同じく時計のずれを疑います。別のサービス用のコードを入れていないかも、アカウント名で確かめます。
• QRコードが読めない：まずAuthenticatorを最新版に更新します（Microsoftは12か月以上前のアプリ版をサポートしていません）。それでも読めなければ、前の章の手順でシークレットキーを手入力します。
• 端末がルート化（脱獄）されているというエラーが出る：後述の端末チェックで職場・学校アカウントがブロックされています。端末を元に戻すか、別の端末を使うしかありません。

Google Authenticatorなど他の認証アプリとの違いと選び方

「authenticator アプリ」は特定の製品名ではなく、TOTPのコードを出すアプリ全般を指す言葉です。TOTPは標準規格なので、AmazonやGitHubの2段階認証ならGoogle AuthenticatorでもMicrosoft Authenticatorでも同じように動きます。差が出るのはTOTP以外の機能です。

会社のMicrosoft 365でプッシュ通知の番号の一致を求められているなら、Microsoft Authenticator（またはOutlookモバイルに組み込まれたAuthenticator Lite）が必要です。パスキーはAuthenticatorのほか、FIDO2セキュリティキーなど管理者が許可した方式でも使えます。他社製アプリでもEntra IDのTOTPコードは使えますが、プッシュ通知で承認する運用からは外れます。Microsoft製品を使わず、AmazonやGoogleのコードだけを管理したいなら、普段使うクラウドにバックアップできるアプリを1つ選べば十分です。Google Authenticatorは2023年4月にGoogleアカウントへの同期に対応しました。

避けたいのは、同じシークレットキーを複数のアプリに登録する運用です。同じキーの複製は個別に失効させられないため、1台を紛失した場合はサービス側でキーを再発行し、残りのアプリにも登録し直す必要があります。

Authenticatorに頼るべきでない端末と運用

便利なアプリですが、次の条件ではAuthenticatorを主な認証手段にしないほうが安全です。

• 脱獄・ルート化した端末：Microsoft 365管理センターのメッセージセンターの告知MC1179154（2026年6月19日更新）によると、Androidは2026年2月末、iOSは4月から端末チェックの展開を始め、完了は2026年半ばの見込みです。まず警告を表示し、約1か月後に職場・学校アカウントの登録とAuthenticatorでのサインインをブロックする2段階で進み、オプトアウトはできません。個人用アカウントは対象外ですが、業務で使う端末では選べない構成です。
• パスワードとAuthenticatorを同じ1台に集める運用：Microsoft自身もFAQで、PC版を出さない理由として、パスワードと認証の2要素が同じ端末にあると攻撃者は両方を奪いやすくなると説明しています。パスワードマネージャーとAuthenticatorを同じスマホに入れる場合は、少なくとも端末ロックを生体認証＋強いPINにしておきます。
• バックアップを取っていない1台きりの端末：2段階認証を有効にした個人用Microsoftアカウントでは、端末をなくしてほかの確認方法も使えないと、回復フォームでもアクセスは戻りません。予備のサインイン方法（予備のメールアドレスや回復コード）を登録しておきます。
• 中国国内で使うAndroid端末：Google Playのプッシュ通知が届かないため、Android版では通知方式が動きません。TOTPコードか別の認証方法を用意します。

本物そっくりのサインイン画面にパスワードとコードを入力させる手口には、TOTPも番号の一致も完全には防げません。組織として守るなら、Entra IDがフィッシング耐性ありとするパスキー（AuthenticatorのパスキーやFIDO2セキュリティキー）へ移すのが次の段階です。手口の見分け方はフィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説にまとめています。社内のEntra IDやシングルサインオンと合わせて認証方式を設計し直す場合は、認証基盤・ID管理システム開発のような外部の支援を使う選択肢もあります。

よくある質問

Microsoft Authenticatorは無料ですか？

無料です。App StoreでもGoogle Playでも料金はかかりません。

Microsoft Authenticatorを使わずにサインインできますか？

個人用のMicrosoftアカウントなら、SMSやメールのコード、セキュリティキー、Windows Helloなどを代わりに使えます。会社・学校のアカウントでは、管理者が許可した認証方法の中からしか選べません。アプリを入れたくない事情があれば、ハードウェアトークンやセキュリティキーが使えるかを管理者に確認してください。

パソコン（WindowsやMac）でも使えますか？

Microsoft AuthenticatorはiOSとAndroid向けのアプリで、WindowsやMac用のアプリはありません。パソコンでサインインするときは、手元のスマホで承認するかコードを確認して入力します。パスワード管理の機能は、パソコンでもMicrosoft Edgeのパスワードマネージャーで使えます。

スマホをなくしたらどうすればよいですか？

個人用アカウントは、別の確認方法（予備のメールや回復コード）でサインインし、セキュリティ設定から失くした端末を削除します。会社・学校のアカウントは、機種変更の章で触れたとおり別の認証方法でサインインして端末を削除するか、すぐに管理者へ連絡します。

Authenticatorのアプリやアカウントを消してもいいですか？

消すと、その端末ではサインインの確認ができなくなります。Microsoftの削除手順でも、アプリのデータを消去してすべてのアカウントを削除する操作は元に戻せないと注意しています。消してよいのは、そのアカウントに別の確認方法（SMS、予備のメール、別端末のAuthenticatorなど）を登録し、それでサインインできると確かめた後です。会社・学校のアカウントは、管理者が求める認証方法を満たせなくなるので、消す前に管理者へ確認してください。

関連記事

• 二段階認証とは？二要素認証・多要素認証との違いと企業の導入判断を解説
• パスキー認証とは？仕組み・パスワードとの違い・企業の導入判断を解説
• ワンタイムパスワードとは？仕組みと種類・企業が選ぶ導入方式を解説
• Microsoft Entra ID（旧Azure AD）とは？読み方・Azure AD/Active Directoryとの違い・機能・料金を解説【2026年版】
• OTPとは？HOTP/TOTPの生成アルゴリズムと実装・SMS OTPの限界を実装視点で解説