セキュリティー研修「セキュリティーキー」：パスワードが盗まれても会社を守る物理的な鍵

11 時間前

読了時間: 7分

中小企業の経営者・ご担当者さま向けのセキュリティー研修「セキュリティーキー」の内容を、記事として読みやすくまとめました。難しい技術の話ではなく、「パスワードが盗まれても会社のアカウントを守れる物理的な鍵」の仕組みを、費用感と導入手順まで含めて解説します。

この記事で分かること

1. なぜ今、パスワードでは足りないのか：偽メール・偽サイトの手口と被害の大きさ
2. セキュリティーキーは何がすごいのか：偽サイトでは「鍵が開かない」仕組み
3. 自社でどう始めるか：費用の目安、導入ステップ、使い方

1. なぜパスワードとSMSコードでは守れないのか

偽メール・偽サイトの被害は過去最大級

24.9万件：1か月に寄せられたフィッシング報告件数（2025年3月・当時の過去最高）— 出典：フィッシング対策協議会
7,393億円：2025年の証券口座の乗っ取りによる不正取引額（9,752件）— 出典：金融庁発表（2025年1〜12月）

文面も偽サイトも精巧になり、見た目で見分けるのはもう困難です。会社のメールやネットバンキングも同じ手口で狙われます。

SMSのコードも「中継」されて突破される

STEP 1 偽メールが届く：「認証の再設定が必要です」など、本物そっくりの文面
STEP 2 偽サイトに入力：ID・パスワード、届いたSMSのコードまで入れてしまう
STEP 3 犯人が即ログイン：盗んだ情報をその場で本物のサイトへ。数十秒で乗っ取り

「二段階認証をしているから大丈夫」と思われがちですが、SMSや認証アプリの6桁コードも、偽サイトに入力してしまえば犯人がそのまま本物のサイトに転送できます。人の注意力だけに頼らず、「仕組み」で防ぐことが必要です。

2. セキュリティーキーとは何か

ログイン用の、小さな「物理的な鍵」

挿して、タッチするだけ：USBに挿す、またはスマホにかざす（NFC）。指で金色の部分に触れれば完了
本物のサイトにだけ反応する：登録したサイトのアドレスを鍵が自分で確かめます
盗まれるものがない：秘密の情報は鍵の中から出ないので、入力して盗まれることがありません

USBメモリほどの大きさの「ログイン専用の鍵」です。FIDO2という国際規格に対応した製品が主流で、Google、Microsoftなど多くのサービスで使えます。人がコードを入力するのではなく、鍵とサイトが直接やり取りするのがポイントです。

比べてみると：偽サイトでは「鍵が開かない」

パスワードだけ：入力した時点で盗まれる → 守る力は弱い
パスワード＋SMS・アプリのコード：コードも入力すれば中継されて突破される → 中くらい
セキュリティーキー：アドレスが違うので鍵が応答しない → とても強い

社員がうっかり偽サイトを開いても、鍵の方が「ここは違う」と判断してくれます。これを「フィッシング耐性がある」と言います。

3. Googleの実績と国内の動き

Google社員のアカウント乗っ取り：0件

Googleは2017年初めから、約8万5千人の全社員にセキュリティーキーを必須化しました。以降、業務アカウントの乗っ取りは報告・確認ともにゼロと発表しています（出典：KrebsOnSecurity、2018年7月）。それ以前は認証アプリのコードを使っていました。

「フィッシングに強い認証」が標準になりつつある

2025年春：証券口座の乗っ取りが多発。各社が多要素認証の導入を急ぐ
2025年 10月：日本証券業協会がガイドラインを改正。ログイン・出金などでフィッシング耐性のある多要素認証（パスキー等）を必須に
2026年：大手ネット証券でパスキーの必須化が順次スタート

お金を扱う業界が先に動いていますが、会社のメールや経理システムも同じ考え方で守る時代です（出典：日本総研、Impress Watch）。

よく聞く「パスキー」との関係：同じ仕組みの「内蔵型」と「持ち歩き型」

スマホ・PCのパスキー：指紋や顔認証でログイン。端末の中に鍵がある。追加費用なしで手軽だが、個人のスマホに依存しやすい
物理セキュリティーキー：小さな鍵を持ち歩く。どの端末でも同じ鍵で使える。会社が配布・回収でき、管理者アカウントや共用PCに最適

どちらも偽サイトに強い（FIDO2という同じ国際規格）。大事なアカウントほど物理キーがおすすめです。

4. 費用感と導入手順

費用の目安：1本あたり数千円〜1万円程度

価格の例：YubiKey 5 NFC（USB＋NFC対応）税込 10,175円（NTT-X Store 掲載価格）。機能を絞った廉価モデルはさらに安価です。価格は販売店・時期で変わります。

社員10名の会社なら、10名 × 2本（予備込み）× 約1万円＝ 約20万円。一度買えば何年も使える「保険」です。メールが乗っ取られて取引先に偽の請求書が送られた場合の損失や信用の低下と比べてみてください。

中小企業は4ステップで始められる

① 守るアカウントを決める：メール（Google Workspace・Microsoft 365）の管理者、ネットバンキング、会計、ドメイン管理など
② 1人2本を用意する：普段使い用＋予備用。予備は金庫など安全な場所に保管
③ 管理者から登録する：まず社長・管理者のアカウント。慣れたら全社員へ広げる
④ 紛失時のルールを決める：連絡先、予備キーでのログイン、なくした鍵の登録解除までの手順

いきなり全社展開しなくて大丈夫です。対応状況はサービスごとに異なるので、使っているサービスの設定画面で「セキュリティーキー」「パスキー」の項目を確認してください。

使い方①：はじめての登録（Googleアカウントの例）— 1本あたり5分ほど

1. Googleアカウントの管理画面で「セキュリティ」を開く
2. 「パスキーとセキュリティキー」から、キーの追加（パスキーの作成）を選ぶ
3. キーをUSBに挿す（スマホなら背面にかざす）
4. キー用のPINを決めて入力し、キーの金色部分にタッチ
5. 予備のキーも同じ手順で登録して、保管場所へ

PINは4桁以上の、覚えやすく推測されにくい番号にします。画面の名称はサービスや時期によって変わります。Microsoft 365 などでも「サインイン方法」からほぼ同じ流れで登録できます。

使い方②：毎日のログインは「挿して、PIN、タッチ」で完了

STEP 1 IDを入力：いつものメールアドレスを入れる
STEP 2 キーを挿す：画面の案内が出たら挿す・かざす
STEP 3 PIN＋タッチ：PINを入れて触れればログイン
新しいPCでも：同じキーをそのまま使えます
反応しないときは：挿し直す・別の差し込み口を試す
使い終わったら：抜いて持ち歩く。挿しっぱなしにしない

一度ログインした端末では、毎回求められないことも多いです。キーはキーホルダーなどに付けて持ち歩きましょう。

導入前によく聞かれる3つの不安

Q. なくしたら？

予備キーでログインし、なくした鍵を登録から削除。拾った人もパスワードやPINがなければ使えません。なくしたら速やかに報告、が鉄則です。

Q. 対応していないサービスは？

パスキー、次に認証アプリを設定。SMSは最後の手段です。

Q. 社員が面倒がらない？

操作は「挿してタッチ」だけ。コードを打ち込むより速いことも多いです。

まとめ：「盗まれても入れない」会社にする

1. 管理者アカウントにキーを登録する
2. 予備キーを決めて安全に保管する
3. 怪しいメールのリンクは開かず報告する

人は必ず間違える。だから、間違えても大丈夫な仕組みを用意しましょう。まずは管理者アカウント1つから、今日始めてみてください。

出典

フィッシング対策協議会「2025/03 フィッシング報告状況」（ScanNetSecurity、2025年4月21日）
金融庁発表の証券口座不正取引件数・金額（マネーフォワードメディア掲載）
日本総研リサーチ・アイ No.2025-099「証券口座の不正利用増加を受けたガイドラインの見直し」（2025年10月16日）
Impress Watch「証券口座の不正アクセス対策、パスキーなどの多要素認証を必須化へ」（2025年7月15日）
KrebsOnSecurity “Google: Security Keys Neutralized Employee Phishing”（2018年7月）
Google アカウントヘルプ「2 段階認証プロセスにセキュリティキーを使用する」
NTT-X Store「YubiKey 5 NFC」商品ページ（価格は参照時点）

数字はすべて公開情報から引用しています。価格は変動するため、導入時に最新の価格をご確認ください。