パスキーの安全性 ― しくみ・強み・注意点
2026年11月に実施したTazunaのセキュリティ研修「パスキーの安全性」のスライド内容を、記事として読みやすくまとめました。パスキーは「パスワードに代わるログイン方法」です。なぜ安全と言われるのか、そして2026年に見えてきた限界と正しい使い方まで、一通り押さえます。
1. なぜ今パスキーか
盗まれたIDとパスワードが、そのまま使われる
2025年1〜9月の累計で、証券口座の不正取引は約9,000件、不正売買額は約6,900億円にのぼりました。フィッシングサイトで入力させたログイン情報が悪用されたものです。
原因はパスワードそのものの弱さ。人が入力する秘密は、偽サイトに入力させれば盗めてしまいます。SMSで届く確認コードやワンタイムコードも同じ構造です。
出典：日本総研 リサーチ・アイ No.2025-099（2025年10月16日）
パスキーは「使われる」段階に入った
世界で使われているパスキーの数（推計）：約70億
成功したサインインのうち、パスキーによるもの：3分の1超
パスキーが使える口座（全体の90%）のうち、実際に登録済み：42%
FIDOアライアンスは2026年10月末、世界のパスキーが約70億個に達したと発表しました。5月時点の推計は50億個だったので、半年で大きく増えています。一方で、使える口座の半分以上はまだ登録していない、というのが今の姿です。
出典：FIDO Alliance（2026年10月30日発表／Passkey Index 2026）
「パスキーが前提」の時代へ
2025年10月 金融庁・日本証券業協会：証券会社にフィッシング耐性のある多要素認証を必須化
2026年2月 金融庁：銀行向けの監督指針も同様に改正
2026年4月 英国NCSC：使えるサービスではパスキーを「第一選択」に
2026年4月 LINEヤフー：Yahoo! JAPAN IDのログインをパスキーに一本化
2026年9月〜 Microsoft：Entra IDでパスキー登録を促進、SMS・音声認証は2027年2月1日に終了
証券会社は原則2026年6月末までの対応が求められ、ログイン・出金・出金先変更でパスキー等が必須になりました。行政も大手ITも「パスワードからパスキーへ」で足並みがそろっています。
出典：NTTデータ（2026年7月）、金融庁、NCSC報道、ITmedia（2026年4月・7月）
2. パスキーのしくみ
パスキーは「鍵のペア」でログインする
秘密鍵：あなたの端末（または同期先）だけが持つ。人が入力することも、サイトに送ることもない。
公開鍵：登録したサイトに預ける。盗まれても、それだけではログインできない。
ログインのときは、端末のロック解除（指紋・顔・PIN）で本人確認をして、秘密鍵で「署名」するだけ。覚える文字列はありません。
家の鍵にたとえると、サイトには「鍵穴」だけを渡し、「鍵」は自分のスマホやPCから出さない、というイメージです。
ログインは3ステップ
① サイトが問題を出す：毎回ちがう「チャレンジ」を端末に送る
② 端末が署名する：ロック解除で本人確認し、秘密鍵で署名
③ サイトが確かめる：公開鍵で署名を検証して、ログイン完了
ポイント：鍵は登録したサイトのドメインに結びつく。偽サイトに対しては、そもそも反応しない。
指紋や顔の情報は②の本人確認で端末の中だけで使われ、サイトには送られません。届くのは署名の結果だけです。そして鍵がドメインに結びついていることが、フィッシングに強い一番の理由です。
3. 何が安全か
パスワードの弱点を、仕組みでふさぐ
フィッシングに強い：鍵は本物のドメインにしか反応しない。偽サイトに渡せる情報がない。
漏えいしても使えない：サイトにあるのは公開鍵だけ。データが流出してもログインには使えない。
使い回しが起きない：サイトごとに別の鍵を自動で作る。1か所の漏えいが連鎖しない。
推測・総当たりが効かない：覚える文字列がないので、推測やリスト型攻撃の対象にならない。
パスワードの代表的な被害——フィッシング、サーバーからの流出、使い回し、総当たり——の4つを、パスキーは仕組みとして防ぎます。利用者の注意力に頼らない点が大きな違いです。
ログイン方法を比べると
パスワードのみ：フィッシングに弱い／サーバー流出に弱い／覚えて入力
パスワード＋SMSコード：フィッシングに弱い（コードも盗める）／サーバー流出は中／毎回コード入力
パスワード＋認証アプリ：フィッシングに弱い（同上）／サーバー流出は中／アプリを開いて入力
パスキー：フィッシングに強い／サーバー流出に強い／ロック解除だけ
英国NCSCは、パスキーを「最も強いパスワード＋2段階認証と同等以上」と評価しています。SMSコード・認証アプリのコード・プッシュ承認といった一般的な2段階認証は、どれも本質的にフィッシング可能だと整理しました。偽サイトに中継されればコードも使われてしまうためです。
出典：英国NCSC 技術レポート（2026年4月、各種報道より）
よくある疑問
Q. 指紋や顔のデータがサイトに送られる？
送られません。照合は端末の中だけ。サイトに届くのは署名の結果です。
Q. スマホをなくしたら終わり？
同期パスキーなら同じアカウントの別端末で使えます。予備の端末やセキュリティキーも登録しておくと安心です。
Q. パスキーを作れば、パスワードは関係ない？
いいえ。パスワードでもログインできる状態なら、そこが弱点のまま残ります。パスキーを登録しても、パスワードやSMSでのログインが残っていれば、攻撃者はそちらを狙います。
4. 限界と注意点
パスキーは「万能」ではない
暗号が破られたわけではありません。狙われるのは、端末・同期・復旧、そして残った古いログイン方法です。「パスキーなら絶対安全」という思い込みが、新しいすき間になります。
2026年に報告された攻撃研究
攻撃者のパスキーを「追加」する（2026年6月 報道）：フィッシング成功の直後に、攻撃者のパスキーを被害者のアカウントへ登録。パスワードを変えても残り、後から気付かれずに入り直せる。
Google同期パスキーの実装を悪用（2026年8月3日 公表）：Palo Alto Networksが3手法を公表。マルウェア感染済みのWindows端末で、同期・復旧の仕組みを突いて認証できる可能性。
共通点：前提は「フィッシング成功」や「端末の感染」。パスキーの周りの運用が狙われる。
8月の研究は「Pass-ta-key」など3つの手法で、通常のユーザー権限で動く攻撃コードが前提です。6月の報道では、攻撃者のパスキーが追加された際に「新しいパスキーが追加された」という通知メールが届いたとされています。通知に気付けるかが分かれ目になります。
出典：@IT（2026年6月8日、8月6日）
残る4つのリスク
1. 端末の乗っ取り：マルウェアに感染した端末では、パスキーも守りきれない
2. 同期アカウントの乗っ取り：パスキーを保管するGoogle・Apple・Microsoftアカウントが本丸
3. 弱いログイン方法の併存：パスワードやSMSが残っていれば、攻撃者はそちらを使う
4. 復旧・追加登録の悪用：知らない間のパスキー追加や、サポート窓口へのなりすまし
3について：FIDOアライアンスの2026年の調査では、パスキーを導入済みの組織でも57%が、日常のサインインにまだフィッシング可能な方式を使っていると報じられています。パスキーを「足す」だけでなく、弱い方法を「減らす」ことが重要です。
5. 安全に使うために
個人でできる6つのこと
親アカウントから：Google・Apple・Microsoftをまずパスキーで守る
端末を守る：画面ロックとOS・ブラウザの更新。怪しいアプリは入れない
通知を見逃さない：「パスキーが追加されました」に心当たりがなければすぐ確認
登録一覧を点検：設定画面で、身に覚えのないパスキーを削除する
古い方法を閉じる：できるサービスでは、パスワードやSMSのログインをオフに
入口は公式から：メールのリンクではなく、ブックマークや公式アプリから開く
パスキーは同期先のアカウントに保管されるので、Google・Apple・Microsoftのアカウントがすべての土台です。そこから守りましょう。「入口は公式から」は金融庁・警察庁の広報でも呼びかけられています。
導入する側のチェックポイント
弱い代替手段を減らす：パスワード・SMSは段階的に廃止する計画を立てる
重要操作でも再認証：出金・送金先や設定の変更時にもパスキーを求める
登録を監視する：ユーザー確認（UV）フラグを検証し、新規登録は通知・記録
高権限は端末固定型に：管理者アカウントはセキュリティキーなどを検討
復旧手続きを固める：サポート窓口での本人確認を、なりすまし前提で設計する
自社サービスにパスキーを入れる場合や、社内システムで使う場合のポイントです。証券業界のガイドラインでも、ログインだけでなく出金・出金先変更などの重要操作での必須化が求められています。導入は「入れて終わり」ではなく、登録・復旧・監視までが設計範囲です。
まとめ
パスキーは、いま使える最も強いログイン方法。
ただし守るべきは鍵だけではありません。端末・同期アカウント・復旧手段まで守って、はじめて安全です。
今日の一歩：Google・Apple・Microsoftのアカウントにパスキーを登録する
結論は「迷わずパスキーへ」。そのうえで、端末と親アカウントを守り、古いログイン方法を閉じていく。この3点を持ち帰ってください。
出典
内容は2026年11月9日時点の情報です。パスキー周辺は動きが速い分野のため、最新の発表もあわせてご確認ください。
コメント