パスキーとは？パスワードとの違い・生体認証の仕組みと安全性【2026年11月12日確認】

情報確認：2026年11月12日10時58分、日本標準時（JST、UTC+09:00／同日01時58分UTC）。金融庁は11月6日、金融機関を利用する人に対し、不審なメールのリンクを安易に開かないこと、パスワードを使い回さないこと、フィッシング耐性のある多要素認証を使うことを呼びかけた。ネットサービスを守る方法として注目したいのが、指紋・顔認証や端末のPINでログインできる「パスキー」だ。

パスキーは「生体情報をサイトに登録する仕組み」ではない。端末内の暗号鍵を使って本人のログインを証明する技術で、通常のパスワードと違い、偽サイトへ入力して盗まれる共通の秘密を利用しない。金融庁の注意喚起は特定の証券会社が一斉にパスキーへ切り替えたという発表ではなく、利用できる認証方式は各社・各サービスで異なる。

Destaques

• パスキーはFIDO2／WebAuthnに基づく公開鍵暗号方式。サービス側は公開鍵を保持し、秘密鍵は利用者側で管理する。
• 指紋や顔の情報は原則として端末内で処理され、ログイン先の事業者へ画像や生体データが送られるわけではない。
• 偽サイトでパスワードを盗まれるタイプのフィッシングに強い一方、端末紛失・復旧方法・別のログイン手段の管理は必要。
• 金融庁は2026年11月6日にフィッシング耐性のある多要素認証の利用を呼びかけ、IPAもパスキーの活用を勧めている。

パスキーとは何か？「パスワードなし」でログインできる理由

パスキー（passkey）は、Webサイトやアプリのアカウントに結び付いた暗号化された認証情報で、従来のパスワードを入力する代わりに端末のロック解除を利用する。スマートフォンなら指紋・顔認証、あるいは画面ロック用のPINなどで操作を承認する。パスキーという言葉は生体認証機能の別名ではなく、FIDO標準を利用した認証方式全体を指す。

従来方式では、利用者が覚えた文字列をサービスへ渡し、サービス側は保存された認証情報と照合する。一方、パスキーでは登録時に「公開鍵」と「秘密鍵」のペアを生成する。公開鍵をサービス側に登録し、秘密鍵はスマートフォン、パソコン、セキュリティキーなどの利用者側で管理する。対応するパスキープロバイダーを使えば、秘密鍵を暗号化して本人の複数端末で同期する方式もある。

認証するとき、端末とサーバーでは何が起きる？

1. 利用者が正規のサイト・アプリでログインを開始すると、サービスはその都度異なる認証用データを提示する。
2. 端末は指紋・顔認証やPINなどで本人の操作を確認し、対応する秘密鍵の使用を許可する。
3. 端末が秘密鍵で認証用データに電子署名を行い、サービス側が登録済みの公開鍵で検証する。
4. 照合が成功するとログインできる。秘密鍵自体や指紋・顔の画像は、通常のパスキー認証の仕組みではサービスへ渡らない。

この手順はWebAuthnなどの仕組みで接続先の正規ドメインと結び付いている。そのため、そっくりな偽サイトに誘導されても、正規サイト用のパスキーが偽サイトで通常どおり使えるわけではない。詳しくはFIDO Allianceのパスキー解説で確認できる。

パスキーと従来のパスワードは何が違う？

パスワードとSMSのワンタイムコードを組み合わせる方法は、パスワード単独より安全性を高められるが、巧妙な偽サイトでコードまで入力させられるリスクが残る。パスキーは、この「入力して渡す認証情報」を減らせる点が強みだ。なお、利用者確認が必須となる構成では所持する端末とPIN・生体認証が組み合わさり、多要素認証として機能する。サービス側の実装条件によって評価は異なる。

指紋認証や顔認証のデータは事業者に送信される？

通常、送信されない。顔や指紋は、秘密鍵の使用を本人に許可するための端末内の確認方法だ。ログイン先が受け取るのは、鍵を使った認証結果であり、生体情報の生データではない。FIDO Allianceも生体情報とその処理が端末側にとどまると説明している。

また、指紋センサーを搭載していない端末でも、対応サービス・端末の構成によっては画面ロック用のPINやパターンを使える。つまり「パスキー＝必ず顔写真を登録する」という理解は正しくない。ただし、端末のロック解除に使うPINが第三者に知られたり、端末を物理的に操作されたりするリスクは別途対策が必要だ。

パスキーは絶対安全？防げる攻撃と残るリスク

パスキーが特に有効なのは、偽のログインページでパスワードを盗むフィッシング、パスワードの使い回しを狙う攻撃、流出したパスワードを大量に試す不正ログインだ。一方で、すべてのサイバー犯罪を防ぐ万能な機能ではない。

• 別のログイン経路：パスキー登録後もパスワードやSMSによるログイン・アカウント復旧が残るサービスでは、弱い経路が狙われる可能性がある。
• 端末やクラウドアカウントの乗っ取り：画面ロック、OS更新、パスキープロバイダーの保護が不十分なら、別の攻撃経路が生じる。
• ログイン後の被害：セッションの盗難、端末上の不正ソフト、偽サポートへの遠隔操作許可、利用者自身が承認してしまう不正操作まで自動的に防げるわけではない。
• 紛失や機種変更：パスキーが一つの端末だけに保存されている場合、その端末を失うと復旧作業が必要になる。

「同期パスキー」は対応するパスキープロバイダーを通じて暗号化された認証情報を端末間で利用でき、機種変更時の負担を軽くできる。「デバイスに結び付いたパスキー」は指定端末から移せない構成で、運用や復旧の手順が異なる。どちらが適しているかは、サービスの要件と端末の管理方法による。

証券口座の保護にも使える？金融庁の注意喚起との関係

金融庁は2026年11月6日の金融機関利用者向け注意喚起で、情報漏えいを悪用した巧妙なメールに警戒し、パスワードの使い回しを避け、フィッシング耐性のある多要素認証を利用するよう求めた。これは金融サービス全般に関する注意喚起であり、すべての証券口座でパスキーが必須になったという意味ではない。

証券口座では、実在の証券会社を装うサイトにログイン情報を入力させ、不正取引につながる事例が金融庁から継続的に注意喚起されている。利用中の証券会社がパスキーやFIDO2認証に対応している場合は、正規のアプリ・公式サイトの案内を確認する価値がある。対応していない場合も、多要素認証、取引通知、口座の利用履歴確認といった対策が重要だ。利用可能な方式と有効化の手順は金融機関ごとに異なる。

パスキーを使い始める前に確認すべきことは？

サービスの正規アプリまたは自分で開いた公式サイトから、アカウントの「セキュリティ」「ログイン方法」などの項目を確認し、「パスキーを作成」といった案内があれば画面に従う。一般的には対応端末の画面ロックを有効にし、本人確認を完了すれば登録できる。メールやSMSで突然届いた「認証方式の緊急変更」リンクから操作を始めるのは避けたい。

設定後は、ログインできる端末が何台あるか、同期の有無、端末をなくしたときの復旧方法、予備の認証手段を確認する。共有のパソコンや他人のスマートフォンに自分用のパスキーを作成しないことも基本だ。Googleの公式ヘルプでは、パスキー追加後も既存の認証・復旧手段が自動的には削除されない点が案内されている。これはサービスごとに条件を確認すべき理由の一つだ。

IPAは2026年10月26日の情報漏えい対策の案内で、対応サービスではパスキーや多要素認証を積極的に利用するよう推奨している。まず重要度の高いメール、金融、クラウドなどのアカウントで対応状況を調べ、復旧方法も含めて安全に移行するのが現実的だ。

今後、パスワードはなくなる？

パスキー対応サービスは増えているが、現時点であらゆるサイトからパスワードが消えたわけではない。古い端末への対応、アカウント復旧、既存のログイン経路などが残るため、当面はパスワードとパスキーが併用される場面もあるだろう。これは普及に関する見通しであり、特定企業の全面移行日を示すものではない。

読者にとって大切なのは「生体認証だから絶対に安全」と思い込まないこと。パスキーの仕組みを理解し、使える場所では有効にする一方、端末・復旧手段・取引通知まで一緒に管理することが、不正ログイン被害を減らす実践的な道筋になる。

よくある質問（FAQ）

パスキーを使うには指紋認証が必須ですか？

いいえ。対応する端末やサービスなら、顔認証や端末のPINなどでも使用できます。生体認証は秘密鍵の使用を許可する方法の一つです。

スマートフォンをなくしたらログインできなくなりますか？

必ずしもそうではありません。同期済みの別端末、予備のセキュリティキー、サービスの公式復旧方法などで対応できる場合があります。紛失前に確認しておくことが重要です。

パスキーを登録すればパスワードを削除しても大丈夫ですか？

サービス次第です。登録だけでは従来のログイン方法が残ることがあり、復旧に必要な場合もあります。削除や無効化はサービスの公式案内と予備のログイン手段を確認してから判断してください。

参考にした一次情報

• 金融庁：現下の情勢を踏まえた金融機関利用者へのお願い（2026年11月6日）
• 金融庁：インターネット取引サービスへの不正アクセス・不正取引にご注意ください
• IPA：自分の個人情報等が漏えいした際の対処と日頃の対策（2026年10月26日）
• FIDO Alliance：パスキーの概要と技術的な説明
• Google アカウント ヘルプ：パスキーでログインする方法（英語）