2026年に入り、私がプライベートで利用しているECサイト、フリマサイトでは、
パスワードからパスキー認証への切り替えの案内が積極的に表示されるようになり、
パスキーは本当に普及したと感じています。
国内ネット証券でも業界ガイドラインによる「フィッシング耐性のある多要素認証」
への対応としてパスキー認証が広く採用されました。
本記事では、パスキーについて利用者目線で私が感じた疑問をもとに、
今後の組織利用への見解をお伝えします。
- ライター：松浦 申多
- 自社クラウドサービスの運営および、セキュリティ基準PCI DSSに関するコンサルティングを担当
PCI DSS QSA (206-309)
CISSP、CCSP (568999)
CISA (221733386)
目次
1. パスワードとの違いは
大きな違いは、利用者と接続先の間で「認証情報本体を送らない」ことです。
旧来からある公開鍵暗号をうまく使い、他人に盗まれては困る認証情報本体をネットワークを通じて送らない仕組みにして、安全性を高めています。
2. 急速に普及した理由は？
- 標準規格への合意
2022年、Microsoft、Apple、Googleによる標準規格(FIDO2)への共同対応表明をきっかけとして、プラットフォームが違っても相互利用できる便利さから普及が始まりました。 - クラウド同期の実現
以前の物理キー方式(FIDO1.x)では、暗号化の肝となる秘密鍵が物理キー内に完全固定されており、物理キーを紛失した時にシステムへログインする手段を失うリスクがありました。
そこでパスキーでは、各プラットフォーマーのパスワードマネージャーを使ったクラウド同期により、パスキーを保持したデバイスの紛失/交換対応を便利にしました。 - リアルタイムフィッシング攻撃による被害
各サイトが元々パスワードのみの認証から追加認証で対策した流れに、攻撃者側も追従して手口を変えており、依然としてフィッシング被害件数は前年比増の傾向です。
追加認証の弱さを突く攻撃手口としては、リアルタイムフィッシング(中間者攻撃)があります。利用者を誘導した偽サイト上で、ID・パスワード入力の後のSMSやメールによる追加入力情報も攻撃者が間に入って中継し、ログインを完了させ、セッションを横取りするというものです。
その点、パスキーではアクセス先のURL文字列をもとにデジタル署名を作る仕組みがあり、中間者攻撃の偽サイトでは偽URLを元にした署名となるため、中継された本物サイト側でエラーを検知し、不正ログインを防ぎます。
3. 同じ公開鍵暗号であるクライアント証明書認証との違いは？
フィッシング攻撃への耐性という点では、証明書とパスキーのいずれも高いです。
証明書認証も秘密鍵がクライアントの外には送られないため、リアルタイムフィッシング攻撃でも、本物サイトへ不正に中継できません。
ただし、認証で確認する対象自体に違いがあります。証明書はデバイスにインストールされていることを確認しますが、パスキーは今デバイスを操作しているのが本人であることまで確認します。
4. スマホを変えたらパスキーどうなる？
同じエコシステム内の機種交換であれば、プラットフォーマーが提供するパスワードマネージャーを使ったクラウド同期によって、ログインし直すだけでパスキーが同期されます。
クラウド上ではパスキーを安全に保存するために、利用者のデバイス間だけでデータを暗号化および復号できるエンドツーエンド暗号化(E2EE)を利用し、プラットフォーマー自身が利用者の秘密鍵を悪用することはできません。
問題は、iPhone→Androidのように別エコシステムへの機種交換です。単一のパスワードマネージャーでは、別エコシステムへの同期ができません。
このパスキー同期の問題を解決するために、FIDO標準化団体により標準フォーマット策定が進められ、2026年にCXF1.0として承認されました。
一部プラットフォームのパスワードマネージャーと、サードパーティーのパスワード管理サービスとの間で、パスキー移行の機能提供が始まっています。
今後、より安全かつ便利にパスキーを移行できる環境が整っていくと考えます。
5. パスキーでフィッシング攻撃は完全に無効になった？
- パスワード情報を盗み取る旧来のフィッシング攻撃
- 追加認証をも中継するリアルタイムフィッシング攻撃
いずれの手口もパスキーによって、平時はフィッシング攻撃が通用しなくなりました。
とはいえ、パスキーの紛失/再発行という人間が扱う限り無くならない運用面では隙間が生じる可能性があります。
例えば、パスキー再発行の手段が、SMS追加認証や秘密の質問入力ではフィッシング攻撃の余地が残ります。
これら運用イベントに対しては、平時と同様にフィッシング耐性の高い本人確認を実装することが重要と考えます。
（例：フィッシング耐性の高い紛失時運用）
・パスキー復旧用に1回限りのコードを発行しておく
・予備デバイスの事前登録 (スマホ & PCなど)
・一定時間の再発行保留や追加の本人確認を設ける
6. この先、ビジネス環境でパスキーはどう使われる？
急速に普及したBtoCサービスだけでなく、フィッシング耐性の高さと利便性からビジネス環境内の認証方式としても普及が進むと考えます。
その反面、組織におけるIT管理としてパスキー運用という新しいアイテムが増えますので、なるべく運用負担を増やさず上手に使っていきたいところです。
7. まとめ
パスキーの仕組みと普及理由から、パスワード認証や、SMS・メールによる追加認証よりも、フィッシング攻撃に強い仕組みであることがわかりました。ただし、パスキー紛失・再発行など運用方法は、フィッシング攻撃の隙が残らないよう十分な考慮が必要です。
BtoCサービスでは、まだパスキー運用が世間に定着しきっていないこの時期から、十分考慮された運用を利用者に提供することで、サービス全体の信頼感を高められるのではないでしょうか。そして、 今後ビジネス環境内でパスキーを扱う上でのポイントは、IT運用負担を増やさないことです。これまでのシングルサインオン用途でビジネス組織に浸透しているIDaaSを使って、パスキーも包括的に管理していくことが合理的だと考えます。（IDaaSの例:Microsoft Entra IDやOktaなど）
IDaaSの導入、運用最適化については、ぜひネットワンシステムズにご相談ください。
※本記事の内容は執筆者個人の見解であり、所属する組織の見解を代表するものではありません。
組織・製品等の名称は執筆時点のものです。
