最初に：パニックにならないでください
スマートフォンをなくし、二要素認証を持つすべてのアカウントが目の前でフラッシュしています。深呼吸してください。選択肢があり、ほとんどの人は、何もアカウントを永久に失うことなくこれを乗り越えます。
今後の道は、あらかじめ何を設定したか、およびどのサービスに入ろうとしているかに依存します。それを解決していきましょう。
最初にバックアップコードを確認
最初に2FAをオンにしたとき、ほとんどのサービスは、一度だけ使用できるバックアップコードのセットを提供しました。これらは通常、8〜10文字の英数字文字列で、各コードはTOTPコードの代替として、正確に一度だけ機能します。
それらのコードをどこかに保存した場合（パスワードマネージャー、引き出しの印刷シート、暗号化されたメモ）、今すぐ探しに行ってください。それらは、もっとも素早く戻るための道です。
各サービスはログイン時にバックアップコードを少し異なる方法で処理します。通常、2FAプロンプトの下に「別の方法を試す」または「バックアップコードを使用」といったリンクがあります。それをクリックし、コードの1つを入力すれば、ログインできます。
ログインしたら、すぐにセキュリティ設定に移動し、古い認証アプリを削除し、現在のデバイスに新しいものを設定してください。
バックアップコードがない場合
ここで物事は遅くなりますが、絶望的ではありません。
メールアカウント（Google、Microsoftなど）
Googleには、accounts.google.com/signin/recoveryでアカウント回復フローがあります。アカウントを作成した時期、最近使用したパスワード、頻繁にメールを送る連絡先など、アイデンティティを確認するための質問に答える必要があります。数日かかることがあります。
Microsoftは、あらかじめ設定した回復用メールまたは電話番号を使用できるようにしています。それらへのアクセスも失った場合、彼らのアカウント回復フォームは、所有権を証明するためにアカウントの詳細を提供するよう求めます。
ソーシャルメディア
ほとんどのプラットフォーム（Instagram、Twitter／X、Facebook）は、2FA紛失のためのサポートフローを持っています。通常、政府発行のIDまたは個人の詳細を確認することでアイデンティティを確認する必要があります。応答時間は、プラットフォームによって数時間から1週間以上の範囲です。
Discordについては、設定時にバックアップコードを保存した場合、それらを使用してください。そうでない場合、Discordのサポートチームが助けてくれますが、メールを通じてアカウント所有権を確認する必要があります。Discordがこれをどう処理するかの詳細については、Discord 2FA設定ガイドをご確認ください。
開発者アカウント
GitHubは、SSHキー検証または確認済みデバイスを使用してアクセスを回復できるようにしています。アカウントに関連付けられたSSHキーがあれば、これは通常最も素早い道です。アカウント所有権の証明とともに、サポートチームに連絡することもできます。GitHubの回復オプションの詳細については、GitHub 2FAガイドをご覧ください。
AWSなどのクラウドプロバイダーの場合は、サポートに連絡し、アイデンティティ確認プロセスを通過する必要がある可能性が高いです。これには時間がかかるため、早めに始めてください。
銀行と金融サービス
銀行に直接電話してください。金融機関の電話サポートは通常、セキュリティ質問とアカウント詳細を通じてアイデンティティを確認した後、2FAをリセットできます。この分野では、オンラインサポートよりも電話が優れている数少ない分野の1つです。
認証アプリがクラウドに同期していた場合
一部の認証アプリは、自動的に秘密をバックアップします：
- Authyは、デバイス間で暗号化されたバックアップを同期します。タブレットまたはセカンダリスマートフォンにAuthyがあれば、コードはすでにそこにあります。新しいデバイスにAuthyをインストールし、バックアップから復元することもできます。
- Microsoft AuthenticatorはiCloud／Googleバックアップを提供します。新しいスマートフォンに復元すれば、アカウントが戻ります。
- Google Authenticatorは2023年にGoogleアカウント同期を追加しました。それがオンになっていた場合、新しいスマートフォンにアプリをインストールし、サインインしてください。
- 1Password、Bitwarden、その他のパスワードマネージャーは、TOTPの秘密を同期して、すべてのデバイスで使用できます。2FAコードをパスワードマネージャーに保存した場合、すでにラップトップまたはタブレットにそれらがあります。
クラウド同期なしのアプリ（古いバージョンのGoogle Authenticatorや、バックアップなしのAegisなど）を使用しており、キーをエクスポートしていなかった場合、それらの秘密はスマートフォンとともに消えます。各アカウントについて個別に回復を通過する必要があります。
新しいデバイスへの2FA移行
アカウントへのアクセスを回復したら、新しいデバイスに2FAを新規に設定してください。各アカウントについて：
- ログイン（バックアップコードを使用するか、回復を完了した後）
- セキュリティ設定に移動
- 古い2FA方法を削除または無効化
- 新しいスマートフォンの認証アプリで再度2FAを設定
- 新しいバックアップコードを安全な場所に保存
はい、アカウントが多い場合は面倒です。しかし、実際に使用しているアカウントと、すべてに2FAが必要かどうかを監査するのに良いタイミングでもあります。
次回の予防
すべての2FAコードを持ったスマートフォンを紛失することは、回避可能です。異なることを以下に示します。
**バックアップコードを保存してください。**サービスがバックアップコードを提供するたびに、毎回保存してください。パスワードマネージャーが最も簡単な場所です。耐火金庫の印刷シートも機能します。消える可能性のあるスマートフォンにだけ置かないでください。
**同期する認証アプリを使用。**Authy、Microsoft Authenticator（バックアップ有効）、またはTOTPサポートを持つパスワードマネージャーなどのアプリは、コードが1台のデバイスに閉じ込められないことを意味します。スマートフォンが消えても、コードは別のデバイスから回復可能です。
**2台目のデバイスをログインさせておく。**タブレットまたは古いスマートフォンがあれば、認証アプリをそこにもインストールしてください（マルチデバイスをサポートするアプリの場合）。これは低手間のバックアッププランです。
**定期的にキーをエクスポート。**Aegisや2FASなどの一部のアプリでは、秘密鍵を暗号化されたファイルにエクスポートできます。時々これを行い、エクスポートを安全な場所に保存してください。
結論
スマートフォンを紛失しても、アカウントを失う必要はありません。バックアップコードは、高速な道です。サポートを通じたアカウント回復は、遅い道です。両方とも機能します。
しかし、実際の修正は、スマートフォンを紛失する前に行われます。明日スマートフォンが消えた場合に回復できることを確認するため、今日10分費やしてください。未来のあなたがそれを感謝するでしょう。
TOTPコードの仕組みをテストしたい場合、または新しいデバイスで設定を確認したい場合は、2fa.zipでコードを生成できます。完全にブラウザ内で実行され、サーバーに何も保存しません。