パスキーとは何か、なぜ広まったか｜仕組み・種類・よくある疑問をやさしく解説
パスキーとは、パスワードの代わりに指紋・顔・PINなど端末での本人確認でログインする方法です。秘密鍵は利用者の端末側に置かれ、パスキーはサイトのドメインに結びつくため、そっくりな偽サイトでは使えません。一方で、証券口座では乗っ取りの被害も報じられており、パスキーだけに頼らず、Googleなどのアカウント管理も大切だと指摘されています。
目次
パスキーとは：パスワードの代わりに使うログイン方法
パスキーは、パスワードを入力する代わりに、端末での本人確認でログインする方法です。本人確認には、指紋・顔・PINなどを使います。
パスキーは、公開鍵と秘密鍵の2つで1組になっています。秘密鍵は利用者の端末側に置かれます。
仕組み：2つで1組の鍵
パスキーの鍵は、公開鍵と秘密鍵の2つで1組です。
サイト側が持つのは公開鍵だけで、それだけではログインできません。顔や指紋のデータはサイトに送られず、端末の中で確認が済みます。
| 持つ側 | 持つ鍵 | ひとこと |
|---|---|---|
| サイト（サービス） | 公開鍵 | これだけではログインできない |
| 利用者の端末 | 秘密鍵 | 顔や指紋の確認が端末の中で済む |
なぜフィッシングに強いのか
フィッシングとは、偽のサイトに情報を入力させて盗む手口です。パスワードは、一度フィッシングで知られると、くり返し悪用される恐れがあります。
パスキーの秘密鍵はネットワーク上を流れないため、通信を盗まれても再利用されにくいとされています。パスキーは作ったサイトのドメインに結びつくので、そっくりな偽サイトでは使えません。
広まった背景：Apple・Google・Microsoftが対応
AppleやGoogle、Microsoftが対応を進めたため、別売りの認証機器がなくても使えるようになり、普及が進みました。パスキーは、標準団体のFIDOアライアンスやW3Cが作った規格に基づいています。
国内では2026年4月に、LINEヤフーがYahoo! JAPAN IDのパスキー一本化を発表しました。金融分野の監督指針にもパスキーが例示されました。
2026年の状況は、パスキーが主役になりつつあるが、パスワードはまだ消えない段階だと解説されています。
種類：同期パスキーとデバイス固定パスキー
パスキーには、大きく分けて2つの種類があります。
同期パスキーは、端末をなくしたり買い替えたりしても、同期すればすぐ使えます。一方で、同期先のアカウントが乗っ取られると影響が出る、と注意されています。
- デバイス固定パスキー：1台の端末だけで使えるもの
- 同期パスキー：Apple・Google・Microsoftのアカウントに結びつき、他の端末にも同期されるもの
| 種類 | 使える場所 | 特徴 |
|---|---|---|
| 同期パスキー | 同期先の複数の端末 | 買い替えても同期すればすぐ使える |
| デバイス固定パスキー | 1台の端末だけ | その端末でしか使えない |
よくある疑問：端末をなくしたら？消したいときは？
端末をなくしたときは、同期パスキーなら同期後に別の端末ですぐ使えます。ただし、回復手段がメールやSMSだけだと、そこが狙われるという注意があります。
パスキーは変更できず、新しく作って古いものを削除する形になる、という解説があります。Googleでは、新しいパスキーが使えるようになるまで7日ほどかかる場合があると案内しています。
- Googleでは、パスキーを作っても、これまでの認証設定や復元設定は変わりません。
- Googleでは、不審なパスキーが見つかると無効にして知らせ、通知から30日以内に確認がなければ削除します。
- Googleパスワードマネージャーでは、パスキーの自動作成や保存の確認表示を設定でオン・オフできます。
- パスワードでもログインできる状態が残っていると、攻撃者はそちらを使えるという注意があります。
これから：パスワードはまだ消えない
日経は、証券口座の不正取引リスクが再び高まっていると伝えています。共同通信の記事では、生体認証の証券口座で被害があり、乗っ取りへの注意が呼びかけられたとあります。
日経は、パスキーに頼るだけでなく、Googleなどのアカウント管理が重要だと指摘しています。サイト側と利用者側に2つの記録があり、片方だけ消しても、もう片方が残る問題もあります。
今後の対応は、まだ分かっていません。
- 証券口座の被害が何件あったのか、まだ分かっていません。
- どの証券会社でいつ起きたのか、まだ分かっていません。
- 乗っ取りの手口の細かい中身は、公開されている情報からは分かりません。
- 被害がどこまで広がるのか、まだ分かっていません。
| 時期 | できごと |
|---|---|
| 2026年4月 | LINEヤフーがYahoo! JAPAN IDのパスキー一本化を発表 |
| 2026年5月7日 | FIDOアライアンスがパスキーの総数の推定値を公表 |
| 2026年10月29日 | 消費者庁が不正アクセスによる個人情報流出への注意喚起を公表 |
よくある疑問
パスキーはパスワードより安全ですか？
パスキーは、秘密鍵がネットワーク上を流れず、偽サイトでは使えないため、フィッシングに強いとされています。ただし、パスワードでもログインできる状態が残っていると、攻撃者はそちらを使えるので注意が必要です。
パスキーを作ったら、すぐ使えますか？
Googleでは、新しいパスキーが使えるようになるまで7日ほどかかる場合があると案内しています。
端末をなくしたら、どうなりますか？
同期パスキーなら、同期していれば別の端末や買い替え後の端末ですぐ使えます。回復手段がメールやSMSだけだと、そこが狙われるという注意もあります。
共有のパソコンやスマホでパスキーを作ってもいいですか？
Googleでは、端末のロックを解除できる人は誰でもアカウントに入れるため、自分の端末だけで作り、共有端末では作らないよう案内しています。
パスキーを消したいときは、どうすればいいですか？
パスキーは変更できず、新しく作って古いものを削除する形になる、という解説があります。具体的な手順はサービスごとに違うため、各サービスの案内を確認してください。
マネーフォワードで「パスキー認証には対応しておりません。」と表示されるのはなぜですか？
原因と今後の対応は、公開されている情報からは分かりません。表示される場合は、マネーフォワードの案内ページを確認してください。
証券口座の被害は、どのくらい広がっていますか？
被害の件数や、どの証券会社でいつ起きたのかは、まだ分かっていません。日経は、不正取引のリスクが再び高まっていると伝えています。
あわせて読みたい
同じ分野の新しい記事
