パスキーはパスワードを終わらせるのか：仕組み・弱点・日本での広がり

2025年4月、証券会社のインターネット取引サービスで確認された不正アクセスは、1か月で5,490件にのぼりました。金融庁の集計（暫定値）では、同じ年の1月は144件です。わずか3か月で40倍近くに膨らんだことになります。

被害は、ワンタイムパスワードによる追加の認証があっても起きていました。そこで証券業界が切り替えを進めているのが「パスキー」です。パスキーは何が違い、本当にパスワードを終わらせるのでしょうか。

ワンタイムパスワードは、なぜ破られたのか

日本証券業協会は、被害が広がった手口を「リアルタイムフィッシング」と説明しています。証券会社を装ったメールやSMSで偽サイトに誘導し、IDとパスワードを入力させる。続けて偽のワンタイムパスワード入力画面を出し、入力された瞬間にそれを使って、本物のサイトから口座を乗っ取る手口です。

ここで起きているのは「中継」です。ワンタイムパスワードは、利用者がスマートフォンを持っていることは示せても、その数字をどのサイトに入力したかまでは示せません。米国立標準技術研究所（NIST）の認証ガイドライン SP 800-63B-4は、利用者が手で入力する方式は入力した値が特定のログインに結びつかず、偽の相手が本物へ中継できるため、「フィッシング耐性がある」とはみなさないと定めています。最後の防御は、本物そっくりの画面を見抜けるかという、人間の注意力でした。

パスキーは「相手がだれか」を確かめてから署名する

パスキーは、FIDO Alliance（認証技術の業界団体）とW3C（Web標準の策定団体）の規格にもとづくログインの仕組みです。W3Cの規格「Web Authentication」は2026年8月にLevel 3が勧告になりました。

登録のとき、端末は、そのサービスのそのアカウント専用に、対になった二つの鍵を作ります。公開鍵はサービスに預け、秘密鍵は手元に残します。ログインのたびにサービスは違う問題（チャレンジ）を送り、端末は利用者が指紋や顔、PINでロックを解除したのを確かめてから、秘密鍵で署名を返します。サービスは預かった公開鍵で署名を確かめます。指紋や顔の情報は端末の外に出ません。

フィッシングに強い理由は、この鍵が特定のサイトに縛られている点にあります。W3Cの規格では、パスキーは登録したサービスのオリジン（ドメイン）でしか使えません。この縛りを守るのは、ブラウザと認証器の両方です。偽サイトのドメインは本物と違うので、ブラウザはパスキーを差し出さず、署名も作られません。中継しようにも、渡すものがないのです。さらに、サービスが持つのは公開鍵だけなので、漏れても秘密鍵は計算上割り出せないとされています。

守りの重心は、パスキーの外側へ移る

最初に問われるのは、端末のロックです。Googleは、パスキーを作ると、デバイスのロックを解除できる人ならだれでもGoogleアカウントにアクセスできると注意し、パスキーは自分の端末でだけ作るよう案内しています。

パスキーを同期するクラウドのアカウントも、新しい急所になります。Appleのパスキーはエンドツーエンドで暗号化されたiCloudキーチェーンで同期され、Apple Accountには2ファクタ認証が必須です。日本証券業協会も、パスキーをクラウドにバックアップするならAppleやGoogleのアカウントにも多要素認証を設定するよう呼びかけています。AppleやGoogleのアカウントが、すべての合鍵をしまった金庫の役目を負うわけです。

古い入り口も残ります。Googleは、パスキーを追加しても既存の認証や復元の手段は変更も削除もされないと書いています。パスワードとSMSの道が残っていれば、攻撃者はそちらを狙えます。アカウントの強さは、いちばん弱い入り口で決まります。

そして、登録の瞬間と端末そのものです。日本証券業協会は、パスキー登録時を狙ったフィッシングが懸念されるとして、登録は公式サイトや公式アプリから行うよう求めています。端末に入り込んだ不正なプログラムは、パスキーとは別の脅威としてNISTも扱っており、金融庁はOSの更新とマルウェア対策ソフトの利用を呼びかけています。

同期するか、1台に閉じ込めるか

パスキーには、複数の端末で同期されるものと、1台の端末やセキュリティキー（USBなどの小型認証器）に閉じたものがあります。同期すれば機種変更や紛失に強くなる一方、秘密鍵を（暗号化したうえで）端末の外へ持ち出せることが前提になります。NISTのガイドラインは、それを理由に同期型を米政府システムの最高の保証レベル（AAL3）では使えないとし、同期の基盤には多要素認証で守られたアクセスを求めています。

どれを選んでも、復旧の道そのものが守るべき新しい入り口になります。

日本では、証券口座が転機になった

日本でもパスキーは新しい話ではなく、NTTドコモは2023年4月5日にdアカウントで「パスキー認証」の提供を始めています。それが切実な話題になったのは、2025年の証券口座の乗っ取りでした。金融庁の集計では、2025年1月から2026年9月までの不正アクセスは合計19,252件、うち不正取引まで行われたのは10,642件、不正な売却の金額は約4,372億円です。ただし金融庁は、この金額は不正な売買の合計で、顧客の損失額とは一致しないと注記しています。

日本証券業協会は2025年10月15日にガイドラインを改正・施行し、ログイン時、出金時、出金先の銀行口座の変更時など重要な操作で、「フィッシングに耐性のある多要素認証（例：パスキーによる認証、PKI（公開鍵基盤）をベースとした認証）」をデフォルトで必須にするよう求めました。スマートフォンを持たないなどの理由で設定を外す顧客には代わりの多要素認証を用意し、解除率を追って見直す、という条件つきです。

金融庁の暫定値では、2026年7月から9月の不正アクセスは月に18件、43件、37件まで下がりました。必須化と時期は重なりますが、ガイドラインは振る舞い検知やログイン通知も求めており、この数字だけで減少をパスキーの功績とは言えません。

パスワードは終わらず、裏口へ移る

パスキーは、パスワードを明日なくすものではありません。既存のログイン手段が残るサービスがあり、パスキーを使えない人のための道もガイドライン自体が認めています。パスワードは表玄関から裏口へ移る、と考えるのが実態に近いでしょう。

それでも価値ははっきりしています。2025年に被害を広げたリアルタイムフィッシングに対し、パスキーは利用者の注意力ではなく、規格の仕組みそのもので答えを出しました。その代わり、守るべき場所は端末のロック、クラウドのアカウント、復旧の手段へ移ります。公式資料が利用者に求めるのは、提供されたら切り替える、登録は公式サイトのブックマークか公式アプリから行う、AppleやGoogleのアカウントにも多要素認証をかける、OSを最新に保つ、という地味な四つです。