ネット

パスキーとは？パスワードより安全と言われる理由と、使い始める前の注意点

※この記事にはアフィリエイト広告（PR）を含みます。リンク先のショップで購入・申し込みをされると、紹介料が入ることがあります。

パスワードの弱点は「秘密を共有すること」

パスワードは、自分とサービスが同じ秘密を知っている状態で成り立ちます。入力した文字がサービス側の記録と一致すれば、本人とみなす仕組みです。

IPA（情報処理推進機構）は、パスワードの弱点を次のように整理しています。

• 覚えやすい単純なものになりがち
• 使い回すと、1か所で漏れたときの被害が大きい
• 一度漏れたパスワードは、ネット上に残って悪用され続けるおそれがある
• 偽サイト（フィッシング）で入力させられ、盗まれる
• サービス側の管理が甘いと、そこから漏れる

それでも、パスワードだけに頼る人はまだ多数派です。フィッシング対策協議会が2023年に公開したアンケートでは、ネットの買い物のログインを「ID／パスワードのみ」と答えた人が80.9%でした。偽サイトも増え続けています。同協議会に寄せられたフィッシングの報告は、2025年に2,454,297件で過去最多になりました。

パスキーのしくみは「南京錠と鍵」

パスキーは、公開鍵暗号という技術を使います。言葉は難しくても、たとえると単純です。

登録のとき、スマホは「南京錠」と「その南京錠を開ける鍵」を1組作ります。サービスに預けるのは南京錠（公開鍵）だけです。鍵（秘密鍵）はスマホの中から出しません。

ログインのたびに、サービスは毎回ちがう問題を出します。スマホは手元の鍵でその問題に署名し、サービスは預かった南京錠で「この鍵で署名したものか」を確かめます。南京錠をいくら調べても、鍵は作れません。

指紋や顔、PINは、スマホの中の鍵を使う前の本人確認です。Microsoftの説明では、指紋や顔のデータは端末の中にとどまり、サービスには送られません。IPAは、「持っている端末」と「本人の指紋や顔」を同時に確かめるので、パスキーそのものが二要素認証になっていると説明しています。

偽サイトに強い2つの理由

1つ目は、パスキーが作ったサイトの住所（ドメイン）と結びついていることです。Microsoftは、パスキーは作られたときのドメインに関連づけられ、見た目が似た偽サイトには使われないと説明しています。Appleも、鍵の組はアカウントごとに別々に作られるとしています。本物そっくりの画面でも、住所が違えばスマホは鍵を出しません。

2つ目は、盗まれて困る秘密がサービス側にないことです。サービスが持つのは南京錠だけで、Appleの説明では、サーバーは秘密鍵が何かを知りません。IPAは、仮に検証用の鍵が漏れても、それだけでは悪用が難しいとしています。

偽サイトでPINを入力してしまった場合はどうか。IPAによると、PINはスマホの画面ロックを解くためのもので、サービスの認証情報ではありません。ただし、名前や住所など別の個人情報も一緒に入れれば、そちらが悪用されるおそれはあります。IPAは、SIMカードを不正に再発行させてSMSの認証番号を奪う手口（SIMスワップ）にも、パスキーは強いと説明しています。

始める前に知っておきたい4つの注意

しくみが安全でも、使い方を誤ると困る場面があります。

1. 対応したサービスでしか使えない。パスキーは、サービス側が対応して初めて選べます。ログイン設定の画面に「パスキー」の項目があるかで確かめます。
2. 端末をすべてなくすと、ログインできなくなる。Microsoftは、1台の端末だけに保存されるパスキーは、端末を失うと一緒に失われると説明しています。別の端末にもパスキーを作るか、パスワードや予備の連絡先などの復旧手段を残しておきます。
3. 共有の端末では作らない。Googleの公式ヘルプは、パスキーを作ると、その端末のロックを解除できる人なら誰でもGoogleアカウントに入れると注意しています。家族で使うタブレットや、家族がPINを知っているスマホでは作りません。
4. 同期先のアカウントが本当の金庫になる。パスキーは、AppleのiCloudキーチェーンのようなクラウドの保管場所を通じて、同じアカウントの端末どうしで共有できます。Appleは、iCloudキーチェーンを使うApple Accountに2ファクタ認証を必須にしています。同期先のアカウント自体を強く守ることが、パスキーの安全につながります。

Googleアカウントで始める手順

多くの人が持っているGoogleアカウントを例にします（2026年11月時点のGoogleアカウントヘルプによる）。

1. スマホかパソコンのブラウザで「myaccount.google.com/signinoptions/passkeys」を開きます。
2. 「パスキーを作成する」→「パスキーを作成」を選びます。
3. 指紋・顔・PINなどで、端末のロックを解除します。
4. ほかの端末でも使うなら、端末ごとに同じ手順を繰り返します。

対応しているのは、Windows 10・macOS Ventura・ChromeOS 109以降のパソコンと、Android 9・iOS 16以降のスマホです。作ったパスキーがログインで使えるまで、7日ほどかかる場合があります。

作成すると、ログインはパスキー優先（パスワードなし）の方法に切り替わります。ただし、今の2段階認証や復元用の電話番号などが消えるわけではありません。端末をなくしたときは、別の端末でログインし、「セキュリティとログイン」→「パスキーとセキュリティキー」からその端末のパスキーを削除します。

iPhoneやMacでは、パスキーはiCloudキーチェーンに保存され、同じApple Accountの端末に同期されます。Appleの説明では、近くにあればApple製以外の端末でも使えます。Windowsのパソコンでは、手元のスマホでQRコードを読み取ってログインする方法もあります。

パスキーと一緒にやりたい基本の守り

パスキーは強い方法ですが、それだけで全部が片づくわけではありません。IPAの「情報セキュリティ10大脅威 2026」の個人向けの資料は、パスキーが使える場合は極力使うよう勧めています。同じ資料は、パスワードを長く複雑にして使い回さないことや、パスワードマネージャーの利用の検討も挙げています。

• パスキーに対応していないサービスは、パスワードを使い回さず、二段階認証をオンにする
• スマホやパソコンのOS・ブラウザを最新にしておく
• メールやSMSのリンクからログイン画面を開かない

最後の点は、パスキーを使っていても変わりません。証券会社にパスキーなどを求める業界の指針の意見募集では、「フィッシング耐性さえあれば被害に遭わない」と誤解を招く恐れがある、という指摘も出ています。IPAも、パスキーは認証方式の1つで、利用は義務ではないとしています。

パスキーの管理や偽サイト対策を補うソフト

パスキーは、スマホやパソコンに標準で入っている機能で無料で使えます。Windowsには、ウイルス対策のMicrosoft Defenderも標準で入っています。次の2つは、困りごとに合わせて足す選択肢です。どちらも、入れれば被害を防げる道具ではありません。価格は台数・年数や時期で変わるので、リンク先の公式ストアで確かめてください。

1Password 3年版（ソースネクスト）　パスワード管理の専用サービスです。ソースネクストの商品ページでは、パスキーの保存に対応し、iPhoneで登録したパスキーをWindowsのブラウザから使える、と説明しています。Windows・macOS・iOS・Android・Linuxに対応し、台数の制限はありません。
向いている人：iPhoneとWindowsのように、メーカーの違う端末でパスキーやパスワードをまとめたい人。向かない人：同じメーカーの端末だけを使い、標準の機能で足りている人。
注意：3年の期間が終わったら、買い直す必要があります。

ウイルスバスター クラウド（トレンドマイクロ公式ストア）。公式の機能一覧に「詐欺/危険サイトをブロック」があり、個人情報やお金を狙うフィッシングサイトへのアクセスを止めます。この機能はWindows・Mac・Android・iPhone/iPad・Chromebookのすべてに対応します。3台まで使える版があります。
向いている人：パスキーに対応していないサービスが多く、偽サイトの警告を足したい人。向かない人：ブロックで確実に防げると期待する人。
注意：「あんしん自動更新」を選ぶと、更新時に登録したカードから自動で課金されます。止め方はメーカーの案内を確認してください。
公式ストア：ウイルスバスターのご購入はこちら

よくある疑問

指紋や顔のデータは、サービスに送られますか？

送られません。MicrosoftもGoogleも、生体認証のデータは端末の中に保存され、自社と共有されないと説明しています。指紋や顔は、スマホの中の鍵を使うための確認に使われるだけです。

パスキーを作ったら、パスワードは消していいですか？

すぐには消さないでください。端末を全部失ったときや、パスキーに対応していない端末でログインするときに、パスワードや復元用の連絡先が頼りになります。Googleでも、パスキーを追加しても今の認証手段は消えません。

機種変更の後も、パスキーは引き継げますか？

AppleとMicrosoftの説明では、クラウドで同期されるパスキーは、同じアカウントで使う別の端末でも使えます。1台だけに保存するパスキーは、その端末と一緒に失われます。機種変更の前に、新しい端末でもログインできるかを確かめておくと安心です。

まとめ

パスキーは、サービスに南京錠だけを預け、鍵をスマホから出さない方式です。偽サイトで盗まれるパスワードがなく、2025年に約245万件まで増えたフィッシングに強い方法と言えます。

まずは、よく使うGoogleアカウントの設定画面で「パスキー」の項目を開いてください。自分だけが使うスマホで1つ作り、パスワードと復元用の電話番号はそのまま残しておきます。

← 記事一覧へ戻る