定義
二段階認証（Two-Factor Authentication、2FA）は、IDとパスワードに加えて、もう一つ別の認証手段を通らないとログインが完了しないようにするセキュリティ技術です。パスワードが外部に漏れても、本人が持っているスマホや身体の情報がなければ、他人がアカウントに侵入するのをとても難しくしてくれます。
鍵を奪われても金庫が開かない理由
玄関の暗証番号を誰かに盗み見されたと想像してみてください。泥棒が番号を押して入ろうとしたとき、持ち主のスマホに「いまドアを開けますか？」という確認通知が届き、承認しないと開かないとしたらどうでしょう。泥棒は番号を知っていても、中に入れません。これが二段階認証の基本的な考え方です。
インターネットの世界では、どんなに長くて複雑なパスワードを使っていても、危険にさらされることがあります。よく使うサイトのサーバーがハッキングされたり、マルウェアに感染してパスワードが漏れたりするからです。また、複数のサイトで同じパスワードを使い回す習慣のせいで、一か所が破られると、すべてのアカウントが連鎖的に危なくなることもあります。
二段階認証を設定しておけば、ハッカーが私のパスワードを突き止めて入力しても、すぐにはログインできません。システムが私のスマホにワンタイムパスワードを送ったり、アプリに通知を出したりして、本当に本人かどうかをもう一度確認するからです。攻撃者はパスワードを知ることができても、私の手の中にある端末まで手に入れるのは難しいので、侵入の試みはたいてい失敗に終わります。ただし、偽のログイン画面でワンタイムパスワードまでその場で盗み取る手口もあるため、完璧な盾ではありません。
セキュリティを支える3つの認証の柱
コンピューターシステムが、ユーザーが本当の持ち主かどうかを確かめるときは、大きく分けて3つの方式を使います。1つ目は「自分が知っている知識（記憶）」です。ふだん頭の中で覚えているパスワード、画面ロックのパターン、PIN（暗証番号）などがここに入ります。
2つ目は「自分が持っている物（所持）」です。手に持っているスマホ、SMS（ショートメッセージ）で届く番号、ワンタイムパスワードの生成機（OTP）、パソコンに挿すUSB型のセキュリティキーなどがこの領域に属します。
3つ目は「自分の体そのものの特徴（生体）」です。スマホを起動するときに使う指紋認証、顔認証、目の虹彩認証といった生体情報が代表的です。二段階認証は、このように性質の異なる2つの柱を組み合わせて、セキュリティを大きく高めます。
もう少し正確に言うと：本当に安全な組み合わせを探す
パスワードを2回聞かれることも二段階認証だと、誤解している人はよくいます。たとえば、ログインパスワードを入力したあとで「子どもの頃の宝物は？」のような質問に答える方式です。けれども、これは「自分が知っている知識」を2回確認しているだけなので、一つが破られると、もう一つも推測されやすくなります。
本当のセキュリティ効果を得るには、異なる種類の要素を組み合わせなければなりません。自分が覚えているパスワード（知識）に、自分のスマホで生成されるワンタイムパスワード（所持）を組み合わせるようなものです。このように異なる種類の要素を組み合わせる方式を、セキュリティの分野では多要素認証（MFA）と呼びます。
最近では、SMSで届く認証コードさえ横取りするハッキングの手口が登場しました。そのため、セキュリティの専門家は、SMS認証の代わりに、スマホの認証専用アプリや物理的なセキュリティキーを2つ目の手段として使うことを積極的に勧めています。
よくある誤解
パスワードを入力して、秘密の質問（出身小学校など）に答えるのも二段階認証だ。
それは同じ「知識」の領域を2回確認しているだけです。本当の多要素認証は、「パスワード（知っているもの）」と「スマホのOTP（持っているもの）」のように、まったく異なる種類の手段を組み合わせて使う必要があります。
日常で出会う場面
ポータルサイトにログインするとき、パスワードを入力したあと、スマホアプリに届いた確認通知で「はい」をタップしないとアクセスできない場合です。
銀行アプリで送金するとき、パスワードを押したうえで、さらにスマホの指紋センサーに指を当てて本人確認をする流れです。
つまり ひとことで
パスワード（知っているもの）にスマホや指紋（持っているもの・身体）を加えて、パスワードが漏れてもアカウントを安全に守ってくれる二重ロックです。