フィッシング被害が増加中。
対策としてパスキーは有効なのか？

偽のWebサイトにユーザーを誘導し、ID・パスワードなどの認証情報を盗み出す「フィッシング詐欺」が増加しています。

フィッシング対策協議会が2026年6月に発表した「フィッシングレポート2026」によると、2025年に同組織が報告を受けたフィッシングの件数は245万4,297件でした。これは過去最多の数値であり、2024年比で約1.43倍に増えています。

フィッシングによって盗み出された認証情報は、インターネットバンキングにおける不正送金や、クレジットカードの不正利用に悪用されることがあります。警察庁の調べによると、2025年におけるインターネットバンキングに係る不正送金事犯は4,677件も発生しており、その被害額は約102.4億円で、過去最多の数値でした。

このようにフィッシング詐欺の被害が広がる中で、対策に有効な認証方法が普及しつつあります。それが「パスキー」です。

パスキーは、パスワードではなく「公開鍵暗号方式」という暗号技術を使用することで、安全にサービスにログインできる技術です。パスワードを使用しないため、パスワードが盗まれる恐れがありません。

なぜパスキーは、パスワード無しで認証できるのでしょうか？ そして、パスキーは本当にフィッシング対策として有効なのでしょうか？

こうした疑問について、パスワードレス認証を推進する国際標準化団体である「FIDO（ファイド）アライアンス」の執行評議会・ボードメンバー（理事）であり、現在、慶應義塾大学 環境情報学部 教授としても教鞭を執る、森山光一氏に話を聞きました。

「パスワードを覚えて、サイトに入力する」は
限界を迎えている

――まずはパスキーがどのようなものなのか、簡単に説明していただけますか

パスキーとは、パスワードを用いることなく、スマホの画面ロック解除に使うような生体認証（指紋・顔）やPINだけで安全にサービスにログインできる新しい標準技術です。

この方式は以前から「FIDO認証」として推進していましたが、2022年からより親しみやすい呼称として「パスキー」とご案内しています。

パスキーの導入は年々増加しており、ほぼ倍増のペースで進んでいます。パスキーを導入した提供者・サービスは、2025年12月の時点で55件にのぼり、その後提供を開始した企業、これから提供開始予定の企業も多くあります。

――ここまでパスキーが使われるようになってきた背景には、「パスワードがフィッシングに弱い」ということがあると思われます。やはりパスワード認証は、安全面の観点では厳しいのでしょうか

はい、厳しいと考えています。パスワード認証は、私たちが直面している「被害の現実」と「仕組み」の双方から、限界が浮き彫りになったといえます。

パスワードは長年「サービスごとに異なる複雑なパスワードを設定しなさい」と呼びかけられてきました。とはいえ、人間が記憶できる文字列の複雑さには限界があります。結果としてパスワードの使い回しが増え、そこを突いた「リスト型攻撃」（流出したID・パスワードの組み合わせをリスト化し、不正ログインを狙うサイバー攻撃）が横行してしまいました。

決定打となったのが、コロナ禍で急増したフィッシング攻撃です。パスワードはどれだけ長く複雑にしても、本物そっくりの偽サイトに一度入力してしまえば、一瞬にして盗まれてしまいます。

言い換えると、「パスワードをサイトに入力する」という仕組みそのものが、限界を迎えているといえます。

――サービスによっては、ワンタイムパスワードのような多要素認証が推奨されることもありますが、それでもまだフィッシング対策には不十分なのでしょうか

「多要素認証なら大丈夫」という意見も聞かれますが、対策としては不十分です。

たとえば、攻撃者が本物そっくりの偽サイトに利用者を誘導し、IDとパスワードを入力させたとします。攻撃者がその情報を本物のサイトに入力すると、利用者のもとにワンタイムパスワードが送られます。利用者は「ワンタイムパスワードが届いたから正しいサイトだ」と錯覚し、その番号まで偽サイトに入力してしまうことがあります。

その結果、攻撃者はID・パスワード・ワンタイムパスワードを使って、本物のサイトに侵入できてしまいます。

つまり、いくつ要素を重ねても、それが「知識情報をサイトに入力する」方式である限り、フィッシング攻撃には対抗できません。近年は攻撃者も生成AIを活用して、本物そっくりの自然な日本語のメールを作るため、見分けはいっそう困難になっています。

だからこそ、パスワードとは原理から根本的に認証方式が異なるパスキーが必要なのです。

フィッシングを根本から無効化。
パスキーの核心「秘密鍵」とは

――パスキーとパスワードとの決定的な違いはどこにあるのでしょうか

パスワードとパスキーの最大の違いは、「秘密を外に出すかどうか」です。

パスワードは、利用者（または端末）とサーバーが同じ “秘密” を共有し、それをネットワーク越しに送り合う方式です。なので、パスワードはどれだけ長く複雑にしても、フィッシングサイトに入力してしまえば、悪用されます。

一方パスキーは、利用者の端末の中に「秘密鍵」、サービス側に「公開鍵」を持ち、認証のとき、秘密（秘密鍵と生体情報など端末に入力した資格情報）そのものはネットワークに流れません。本人確認はあくまで手元の端末で行い、その「検証結果（署名）」だけをやり取りします。攻撃者の立場で見れば、盗んで再利用できる文字列が存在しないことが大きな壁になるわけです。

パスキーの認証の “本体” は、端末の中に保管された秘密鍵にあります。秘密鍵による署名では、パスワードのようにサーバーに送信する文字列を入力する機会はまったくないので、攻撃者のサイトで行われるフィッシングの恐れも根本的にありません。

――パスキーの “本体” である秘密鍵は、どのように認証を行うのでしょうか？

秘密鍵は、パスキーの登録時に、正規サービスのドメインに紐づけられます。そしてサービスのログイン時には、利用者のクライアントが、「いま開いているサイトのドメインが、秘密鍵に登録されたドメインと一致するか」を確認します。

一方、正規ではない偽サイトの場合は、秘密鍵に登録されているドメインと異なるため、ブラウザはそもそもパスキーを使おうとせず、認証が成立しません。これをオリジンチェックとか検証者名バインディングといいます。たとえ利用者がだまされてフィッシングサイトを開いてしまっても、パスキーは正規ドメイン以外では動かないので、攻撃者が認証に成功することがないのです。

秘密鍵が特定のドメイン（サイト）に結びついていることこそが、パスキーがフィッシング攻撃に強い核心といえます。

4桁のPINで、本当に安全!?
パスキーはなぜ悪用されにくいのか

――パスキーがフィッシングに強い理由は分かりましたが、パスキーは指紋認証や、最小で4桁しかないPINを用いて認証します。それらの情報が盗まれた場合、第三者に悪用される恐れもあるのではないでしょうか

お手持ちのスマートフォンに設定している画面ロックのためのPINやパスコードは、やはり第三者に知られたり推察されたりしないよう、大切に管理していただく必要があります。端末ごと奪われれば悪用されかねません。そのため、PINは他人に見られないよう、大切に扱う必要があります。

ただ、誤解されやすいのですが、PINや指紋は、それ自体がパスキーの鍵になっているわけではありません。パスキー認証の中核は端末内の「秘密鍵」であり、PINや指紋はそれを使うための “解錠” の役割です。仮にPINを見られても、端末そのものがなければ悪用されることはありません。その観点から、ここでは桁数は関係ありません。

――ほかにもパスキーを利用する時のリスクや、過信してはいけない点があれば教えてください

パスキーを「設定するとき」や「再設定するとき」の本人確認には注意が必要です。

パスキーを登録する際の本人確認が、SMSのワンタイムパスワードのままという場合、攻撃者がSMS認証をフィッシングで突破して本人になりすまし、攻撃者の端末で使えるパスキーを勝手に登録してしまう恐れがあります。せっかくフィッシング攻撃に耐性のある認証を用意しても、その入口が弱ければ意味がありません。

そこで有力な手段が、マイナンバーカードのスマートフォン搭載です。厳格な本人確認ができる仕組みをスマホで便利に使えれば、なりすましによる不正な登録を防げます。

パスキーは認証を守るものなので、端末そのものの安全管理は別の対策が必要です。例えばパソコンやスマートフォン自体が乗っ取られ、ログイン後の状態を悪用されるようなケースは、パスキーの仕組みでは防げません。この切り分けは大切です。

――確認なのですが、パスキーでは生体認証を使わなければいけないのでしょうか

そんなことはありません。パスキーに対するよくある誤解の1つです。

パスキーの原型がバイオメトリクス、生体認証をより便利に使うことを念頭に考案されたのは確かです。しかし、パスキーは生体認証「も」使える仕組みであり、画面ロック解除のPINやパターンでも構いません。職業上、指紋が削れるなどして指紋認証がうまく動作しない場合がある方や、そもそも生体認証を使いたくない方もいらっしゃいますので、いろいろな選択肢が用意されています。

パスキーは利便性とセキュリティ対策を両立する

――森山さんは2014年よりFIDO認証の開発に携わっていますが、それから10年以上経った今、日本企業におけるパスキーの普及・導入の状況をどう見ていますか

パスキーに対するよくある意見として「シニア層には使ってもらえないのでは」という声を聞きますが、データから読み取れる事実として、それも誤解です。

スマートフォンでのパスキー利用が50%を超えるドコモ・LINEヤフー・メルカリの3社の統計データをまとめた「Passkey Index Japan」によると、2025年9月時点で、これら3社における全認証の50.4%がパスキー経由でした。年齢では10代未満から80代以上まで幅広く使われており、男女差もほとんどありません。

制度面でも、後押しが進んでいます。警察庁の検討会報告書で「次世代認証技術（パスキー）の普及促進」が提言され、2024年6月には政府の犯罪対策閣僚会議「国民を詐欺から守るための総合対策」にも盛り込まれました。そして2025年10月15日には、金融庁の監督指針と日本証券業協会のガイドラインが改正され、ログインや出金などの重要操作時に、フィッシングに耐性のある多要素認証（パスキーなど）の実装・必須化が明記されています。

――どのような企業・サービスに、優先的にパスキーが導入されるべきだと思いますか？

優先度が高いのは、金銭や個人情報、業務継続に直結するIDを扱うサービスです。具体的にいえば、金融、証券、決済、EC、通信などです。行政サービスではマイナンバーカードが積極的に活用されていますが、パスキーが有効なサービスもあるかもしれません。これらは不正ログインやアカウント乗っ取りが、そのまま顧客への重大な被害や事業リスクにつながります。

加えて、従業員が利用する業務システムへの導入も、後回しにはできません。企業ではランサムウェアによる攻撃が大きな問題になっていますが、その入口となる従業員や管理者へのなりすまし対策にも、パスキーは有効です。マイクロソフトも企業のパスキー利用を推進しており、今後は業務システムでの利用も増えるはずです。北米ではパスキーを必須化する企業が増えているというデータもあります。

それと比べると、日本企業はまだ遅れているように感じます。企業向けサービスを提供する事業者の立場では、パスキーの必要性を認識し、サービスを構成するパートナー・ベンダーとともに取り組む必要があります。

――最後に、パスワード認証に課題を感じながらも、まだ対策に踏み出せていない方に向けて、メッセージをお願いします

繰り返しになりますが、パスキーは一度設定すれば指紋や顔、画面ロック解除のための操作だけでログインでき、しかもフィッシング攻撃に強いのが特長です。これまでセキュリティ対策というと「利便性とトレードオフ」というものが少なくありませんでした。しかしパスキーは、それらを高いレベルで両立させた仕組みです。利便性を損なうものではなく、むしろ向上するものといえます。

フィッシング攻撃でこれだけ大きな被害が出ている以上、多くの企業・団体にとってもはや対岸の火事ではありません。サービス提供者の方には、パスキー導入は必須といっても過言ではない状況を認識していただきたいと思います。いま、パスキーを必須とすることに加えて、利用者にパスキーを選択できることを必須とするという考え方も出てきています。わたしは、パスワードのいらない世界、パスキーが世の中のあたりまえになることを目指して、引き続き活動していきます。

プロフィール