2026年10月27日、Google認証システム（Google Authenticator）の同期はオフにすべきだとするXの投稿が拡散しました。2024年8月にも同じ趣旨の投稿が話題になっており、新しく見つかった危険ではなく、以前から議論されている設定の話です。当記事では、Googleの公式ヘルプをもとに、同期のオン・オフそれぞれのリスクと、先にやっておく設定を整理します。
Google認証システムの「同期」が再び話題に（2026年10月27日）
Xで広まった「同期は危険」という投稿の要点
拡散した投稿の主張を要約すると、「Googleアカウントと同期していると、Googleアカウントを乗っ取られたときに、ほかのサービスの2段階認証のコードまで渡ってしまう。同期をオフにして、別の端末にバックアップを」というものです。
一方で、「同期をオフにすると、スマホをなくしたときに自分が締め出されるリスクが上がる。一般の人は同期オンのまま、Googleアカウントそのものを固めるほうがよい」という趣旨の反論も出ています。つまり、どちらも「何を怖がるか」が違うだけで、両方に理由があります。
そもそもGoogle認証システムとは？
Google認証システムは、ログインのときに入力する使い捨て（1回限り）の確認コードを作るアプリです。2段階認証（パスワードに加えて、もう1つの方法で本人確認をするしくみ）に対応したサイトやアプリで使えます。
2 段階認証プロセスを設定すると、Google 認証システム アプリを使用して、Google アカウントにログインするためのコードを生成できます。インターネット接続やモバイル サービスを利用できない場合でも、コードを生成できます。
出典：Google アカウント ヘルプ「Google 認証システムで確認コードを取得する」
同期の機能は2023年4月から（Google公式ブログ）
Googleは2023年4月24日、Google認証システムのコードをGoogleアカウントにバックアップできる更新を、iPhoneとAndroidの両方で発表しました。公式ブログでは、コードが1台の端末にしか保存されず、端末をなくすとログインできなくなることについて、長年ユーザーから大きな声が寄せられていたと説明しています（編集部訳）。
現在の公式ヘルプでは、Googleアカウントにログインするだけで、すべての端末でコードを同期できると書かれています。この機能の要件は「Android: バージョン 6.0 以降」「iOS: バージョン 4.0 以降」と書かれています（2026年10月27日時点）。
>>Google 認証システムが Google アカウントとの同期に対応（Google セキュリティブログ・英語・2023年4月24日）
>>Google 認証システムで確認コードを取得する（Google 公式ヘルプ）
同期オン／オフ、どっちが安全？リスクの種類で比べる
同期のオン・オフは、どちらが正解というより、守りたいリスクが違います。公式ヘルプの記述をもとに整理すると、次のようになります。
| 項目 | 同期オン | 同期オフ（アカウントなしで使用） |
|---|---|---|
| コードの保存先 | Googleアカウント（ログインした端末すべて） | その端末だけ |
| スマホをなくしたとき | 新しい端末でGoogleアカウントにログインすれば戻る | 移行やバックアップがないと戻せない |
| 心配なこと | Googleアカウントが乗っ取られること | 自分がログインできなくなること |
| 端末をなくしたときのコードの消し方 | Googleアカウントからその端末を削除 | コードを設定した全サイトで削除し、設定し直す |
※2026年10月27日時点・Google 公式ヘルプ「Google 認証システムで確認コードを取得する」より編集部が整理
同期オン：Googleアカウントの守りがすべての土台になる
同期中は、Googleアカウントにログインした端末でコードが使えます。つまり、第三者にGoogleアカウントへログインされると、同期したコードも見られるおそれがある、というのがXの投稿の指摘です。
Googleは、コードを転送中と保管時の両方で暗号化していると説明しています。ただし、暗号化の詳しい方式は公式ヘルプには書かれていません。同期オンなら、Googleアカウントそのものを固めることが前提と考えておきましょう。
同期オフ：スマホをなくすと自分も入れなくなる
同期をオフにすると、コードはGoogleアカウントから削除され、その端末だけに保存されます。
すべての Google アカウントからコードが削除されてデバイスに保存されます。他のデバイスではコードを利用できません。
出典：Google アカウント ヘルプ「Google 認証システムで確認コードを取得する」
この状態でスマホをなくすと、コードを作れる端末がなくなります。各サービスのバックアップコードなどを用意していないと、自分がログインできなくなるおそれがあります。
Googleの公式ヘルプはどちらをすすめている？
Googleの公式ヘルプは「おすすめの方法」として、コードをGoogleアカウントに同期すること、アプリにロックをかける「プライバシー画面」をオンにすることを挙げています。あわせて、Googleアカウントにログインできなくなったときに備えて別の2段階認証の方法を登録すること、Googleアカウントにパスキーを登録することもすすめています。
Google自身は同期をすすめていますが、同期オフも公式に用意された使い方です。自分がどちらのリスクを重く見るかで選びましょう。
どちらを選ぶ場合でも先にやっておく3つの設定
同期オン・オフのどちらを選ぶ場合でも、次の順番で進めると安心です。
1. Googleアカウントを固める（パスキー・SMSに頼らない）
パスキーとは、パスワードの代わりに、スマホの指紋認証・顔認証・画面ロックでログインするしくみです。Googleのヘルプでは、フィッシング（偽サイトでIDやパスワードをだまし取る手口）に強いと説明されています。
SMS（ショートメッセージ）で届く確認コードについて、Googleは次のように注意しています。
2 段階認証プロセスはどのような形でもアカウントのセキュリティを強化できますが、確認コードがテキスト メッセージや音声通話で送られる場合、電話番号を利用するハッキングに対して脆弱となるおそれがあります。
出典：Google アカウント ヘルプ「2 段階認証プロセスを有効にする」
Googleは、パスキーを使わない場合はSMSのコードより「Googleからのメッセージ」（スマホに届く確認の通知）をすすめています。あわせて、再設定用のメールアドレスと電話番号が自分のものか確認しておきましょう。
>>パスワードの代わりにパスキーでログインする（Google 公式ヘルプ）
▶ 関連記事：SBI証券がパスキー悪用の疑いで注意喚起！Google・Appleで今すぐやる設定
2. 同期をオフにするなら、先にバックアップを用意する
同期をオフにする前に、スマホをなくしたときの戻り道を用意します。たとえば次の方法があります（1つ目と2つ目はGoogleの公式ヘルプにある手順です）。
- アプリのメニューから「コードを移行」→「コードをエクスポート」（iPhoneは「アカウントを移行」→「アカウントのエクスポート」）でQRコードを作り、別の端末で読み取る
- Googleアカウントの「バックアップコード」（8桁・10個1組）を印刷し、安全な場所に保管する
- Google認証システムを登録した各サービスでも、バックアップコードや復旧の方法を確認しておく
同期をオフにするには、アプリ右上のプロフィール写真をタップし、「アカウントなしで認証システムを使用する」を選びます。順番を逆にしないようにしましょう。
>>バックアップ コードを使用してログインする（Google 公式ヘルプ）
3. 対応しているサービスはパスキーに移る
Googleのヘルプでは、パスキーとセキュリティキーは、フィッシング対策を強化する方法として紹介されています。パスキーは書き留めたり他人に渡したりできないため、確認コードを使っているサービスでもパスキーに対応していれば、切り替えを検討しましょう。
特にねらわれやすい人向けに、Googleには「高度な保護機能プログラム」があります。パスキーかセキュリティキー（USBやNFCでつなぐ小型の認証用の機器）でのログインが必須になる仕組みで、無料で使えます（セキュリティキーを使う場合は、購入が必要になることがあります）。ただし、登録するとGoogleアカウントのバックアップコードはダウンロードできなくなります。
>>高度な保護機能プログラムに関するよくある質問（Google 公式ヘルプ）
Google認証システムの同期でよくある疑問
同期するとパスキーも一緒に渡るの？
Google認証システムで同期されるのは、各サービスの確認コードを作るための情報です。パスキーは確認コードとは別のしくみで、Google認証システムのヘルプでも、同期とは別の項目として、Googleアカウントにパスキーを登録することがすすめられています。混同しないようにしましょう。
ただし、パスキーをクラウドに保存して複数の端末で使っている場合も、保存先のアカウントの守りが大切になる点は同じです。
電話番号（SMS）は外したほうがいいの？
Xでは、電話番号での再設定やSMSの2段階認証は弱いので外しておく、という意見も出ています。Googleのヘルプには、SMSのコードは電話番号を利用するハッキングに弱いおそれがあると書かれていますが、「電話番号を外すべき」とは書かれていません。
再設定用の電話番号は、ログインできなくなったときにアカウントを取り戻すための情報でもあります。外す前に、パスキーやバックアップコードなど別の戻り道があるか確かめましょう。
スマホをなくしたらどうする？
公式ヘルプでは、まずiPhoneやAndroidの遠隔データ消去でコードを消すよう案内しています。それができない場合、同期していればGoogleアカウントからその端末を削除することでコードを消せます。同期していない場合は、Google認証システムを設定したすべてのサイトでコードを削除し、設定し直す必要があります。
▶ 関連記事：証券口座の乗っ取り、どこまで補償される？主要14社の公式方針を比較
【まとめ】同期のオン・オフより先に、Googleアカウントを固めよう
Google認証システムの同期は、オンならGoogleアカウントの乗っ取り、オフならスマホの紛失が弱点になります。まずはGoogleアカウントにパスキーを登録し、オフにするならバックアップを先に用意しておきましょう。
※2026年10月27日時点・Google 公式ヘルプ、Google セキュリティブログより。アプリの画面や項目名は、端末やバージョンによって異なる場合があります。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月27日時点のものです。
