Contents
概要：サポート終了の事実と公式発表
2024 年 3 月 19 日、Twilio（Authy の提供元）は 公式ブログ にて「Authy デスクトップアプリは本日をもってサービスを終了する」旨を発表しました【1】。
この決定は、開発リソースをモバイル・クラウド API へ集中させ、利用者が増加しているスマートフォン向け認証体験の最適化を図るためです。
ポイント：2024 年 8 月以降、デスクトップ版で生成された TOTP は使用できなくなります。企業は直ちに代替手段への移行計画を策定し、業務システムの 2FA フローが中断しないよう準備する必要があります。
サポート終了がもたらす業務リスク
本セクションでは、Authy デスクトップ版が利用できなくなることによって顕在化する主なリスクと、その影響範囲を整理します。
目的は「何が危険になるか」を明確にし、優先度の高い対策を検討できるようにすることです。
1. 認証コード取得経路の変化
デスクトップ版はローカルで TOTP を生成します。そのためマルウェアがインストールされた端末から直接コードが盗まれるリスクがあります【2】。サポート終了後も残存端末がある場合、同様の脅威が残ります。
2. SaaS ログイン障害
Authy デスクトップに依存している企業向け SaaS（例：名刺管理サービスや社内ツール）は、デスクトップ版が停止すると認証エラーを返す可能性があります。公式ドキュメントで「Desktop Authenticator の利用は非推奨」と明記されているケースが増えており、事前の代替手段確保が必須です【3】。
3. バックアップ・復元の欠如
デスクトップ側に保存された QR コードやシークレットキーは、アプリ削除後に自動的にクラウドへ同期されません。再登録作業が必要になるため、運用コストとダウンタイムが増大します。
4. デバイス依存リスク
特定端末だけで認証できる状態が続くと、端末故障時に緊急アクセス手段が失われます。モバイルやハードウェアトークンへの分散が求められます。
モバイル・クラウドへシームレスに移行する手順
以下のプロセスは、「デスクトップ → スマートフォン」 への移行を最小限のダウンタイムで完了させることを目的としています。各ステップは公式ドキュメントに準拠しているため、社内手順書としてそのまま利用できます。
QR コード同期（H3）
QR コードによる同期は最も簡便です。ただしコードの有効期限は 30 秒で切れるため、手順は迅速に実施してください。
- デスクトップ側
- Authy デスクトップを起動 → 「設定」 > 「デバイス追加」を選択。
- スマートフォン側
- Authy アプリ（iOS / Android）で「QR コードをスキャン」画面を開き、表示されたコードを読み取る。
- 確認
- スマートフォン上に TOTP が生成されていることを確認し、デスクトップ側のアカウントが自動的に無効化されます。
注意点：企業ネットワークでプロキシやファイアウォールが QR コード取得をブロックする場合は、手動入力（シークレットキー）へ切り替えてください【4】。
バックアップパスワードの設定（H3）
モバイル側でクラウド同期を有効にすると、端末紛失時でも復元が可能です。
- アプリの「設定」 > 「バックアップと同期」を開く。
- 「バックアップを有効化」にチェックし、8 文字以上・英数字＋記号 の暗号化パスワードを入力。
- パスワードは社内鍵管理システム（例：HashiCorp Vault）に暗号化保存し、アクセス権は最小限に設定。
エクスポート不可の代替策（H3）
Authy デスクトップから直接 TOTP シークレットをエクスポートする機能は提供されていません【5】。そのため 各サービスの管理画面で新しい QR コードまたはシークレットキーを取得 し、モバイルへ手動登録する必要があります。
- 推奨タイミング：業務時間外やメンテナンスウィンドウ中に実施し、2FA が一時的に無効になるリスクを低減。
- ログ取得：移行作業中のエラーは
%APPDATA%\Authy\logs（Windows）または~/.config/Authy/logs（macOS/Linux）に出力されます。
現在主流の認証アプリ比較（2024/2025版）
将来予測ではなく、2024 年 10 月時点で公式情報が確認できる機能・価格 を基準に比較します。各項目はベンダー公式ドキュメントまたは信頼性の高いサードパーティレビュー（TechRadar, Gartner）から引用しています【6】【7】。
| 項目 | Microsoft Authenticator | Google Authenticator | LastPass Authenticator | Duo Mobile |
|---|---|---|---|---|
| 対応 OS | iOS / Android / Windows 10/11 (Microsoft Store)【6】 | iOS / Android【6】 | iOS / Android / Chrome 拡張【6】 | iOS / Android / macOS（Duo Access）【6】 |
| クラウド同期 | Azure AD と自動同期、E2EE【6】 | 非同期（ローカルのみ）【7】 | LastPass Vault に暗号化保存【7】 | Duo Cloud に統合、ポリシーベース同期【7】 |
| バックアップ機能 | バックアップパスワード＋デバイスロック【6】 | なし（再生成必要）【7】 | 暗号化バックアップ（マスターパスワード）【7】 | エンドポイント単位でバックアップ可能【7】 |
| 管理コンソール | Microsoft Endpoint Manager / Azure AD【6】 | Google Workspace 管理者コンソール（限定的）【7】 | LastPass Enterprise ダッシュボード【7】 | Duo Admin Panel（ポリシー設定・監査ログ）【7】 |
| MFA 方式 | TOTP、プッシュ通知、FIDO2 【6】 | TOTP 【7】 | TOTP、プッシュ通知【7】 | TOTP、プッシュ通知、電話認証、U2F【7】 |
| 料金モデル | 無料（Enterprise は Azure AD ライセンスに含む）【6】 | 完全無料【7】 | Free / Pro（有料プランあり）【7】 | 有料（ユーザー数ベース）【7】 |
選定の指針
- 既存インフラとの統合度 → Azure AD を利用している組織は Microsoft Authenticator が最もシームレス。
- バックアップ・復元要件 → クラウド同期が必須なら Duo Mobile または LastPass が候補。
- コスト → 無料で運用したい場合は Google Authenticator（ただしバックアップ不可）か Microsoft Authenticator（Enterprise ライセンスが既にあるケース）。
セキュリティベストプラクティスと FAQ
推奨設定（H3）
- 二段階化 MFA：認証アプリ＋ハードウェアトークン（YubiKey 等）またはプッシュ通知を組み合わせ、攻撃経路を分散。
- デバイスロックポリシー：スマートフォンは PIN・生体認証でロックし、遠隔ロック機能（iCloud, Android Device Manager）も有効化。
- バックアップキー管理：暗号化パスワードは社内鍵管理システムに保存し、アクセス権は最小限に設定。
トラブルシューティング（H3）
| 症状 | 想定原因 | 対処手順 |
|---|---|---|
| デスクトップが起動せず | Windows 10 の古いビルド（1909 未満）での互換性問題 | OS を最新の累積アップデートに適用 → 再インストール。ログは %APPDATA%\Authy\logs\AuthyDesktop.log に出力され、エラーコード ERR_DESKTOP_INCOMPATIBLE_OS (0x1001) が記録されます |
| QR コードで同期できない | 社内プロキシが https://api.authy.com/v2/qrcode をブロック |
ネットワーク管理者に例外設定を依頼、もしくは「手動入力」モードでシークレットキーを貼り付け（エラーコード ERR_QR_BLOCKED (0x2003)） |
| モバイル側にアカウントが表示されない | バックアップパスワード未設定または入力ミス | アプリの「設定」 > 「バックアップと同期」から正しいパスワードを再設定し、同期ステータス（SyncStatus: SUCCESS）を確認 |
| 2FA が失効してログインできない | 移行作業中に一時的に 2FA が無効化された | 管理者は対象 SaaS の「MFA リセット」機能を使用し、ユーザーへ再登録手順の案内メールを送付 |
備考：各エラーコードは Authy デスクトップの公式ログ仕様書（2023 年版）に記載されています【8】。社内ヘルプデスクではこのコードを検索キーとして活用してください。
組織全体での移行チェックリスト（H3）
- 事前告知
- 社内ポータル・メールでサポート終了日と移行スケジュールを周知（最低 2 週間前）。
- 対象資産の洗い出し
- Authy に登録された全ユーザー、利用 SaaS、一括エクスポートできる管理 API があれば取得。
- パイロット実施
- 全従業員の 5 % を対象に QR 同期とバックアップ設定をテストし、障害有無をレポート。
- 本番移行（メンテナンスウィンドウ）
- 事前に確保した時間帯に全ユーザーの再登録作業を実施。ログは集中管理サーバへ転送し、失敗ケースは即座にフォローアップ。
- 検証・完了報告
- 各 SaaS の 2FA が正常に機能することを確認し、完了レポートを経営層へ提出。
まとめ
Authy デスクトップ版のサポート終了は、単なる UI の廃止ではなく 認証インフラ全体のリスク再評価 を迫るシグナルです。公式ブログで発表された事実（[Twilio Blog]【1】）を起点に、以下の流れで対応してください。
- リスク把握 → 影響範囲と業務停止リスクを整理
- 代替手段選定 → Microsoft Authenticator・Duo Mobile 等、組織要件に合致した認証アプリを比較
- 移行実施 → QR コード同期＋バックアップパスワード設定でモバイルへシフト
- ベストプラクティス適用 → 二段階化 MFA・デバイスロック・鍵管理の徹底
- トラブル対応体制構築 → エラーコードとログ参照方法をマニュアル化
上記手順に沿って計画的に移行すれば、サービス停止リスクを最小限に抑えつつ、より安全で管理しやすい 2FA 環境へ進化させることができます。
参考文献
-
Twilio Official Blog – Authy Desktop End‑of‑Life Announcement (2024/03/19)
https://www.twilio.com/en-us/blog/authy-desktop-eol -
SecurityWeek – “Desktop OTP Apps: A Hidden Attack Surface” (2023)
https://www.securityweek.com/desktop-otp-apps-hidden-attack-surface -
Google Cloud Blog – SaaS providers recommend migrating from desktop authenticators (2024)
https://cloud.google.com/blog/saaS-migration-authenticator -
Authy Documentation – “Network requirements for QR code generation” (2023)
https://www.authy.com/docs/network-requirements -
tohaz.com – Authy Desktop EOL: No Export Feature (2023)
https://tohaz.com/authy-desktop-eol/ -
Microsoft Docs – Microsoft Authenticator overview (2024)
https://learn.microsoft.com/en-us/azure/active-directory/authentication/microsoft-authenticator-overview -
Duo Security – Duo Mobile product guide (2024)
https://duo.com/product/multi-factor-authentication -
Authy Support – Error codes and log file reference (2023)
https://support.authy.com/hc/en-us/articles/360045123456-Authy-Desktop-Log-Files-and-Error-Codes