はじめに
証券会社のサイトやYahoo! JAPAN ID、会社のMicrosoft 365などで、「パスキーを設定してください」という案内を見かけることが増えました。
2026年に入り、パスキーを必須にしたり、標準のログイン方法にしたりするサービスが続いています。
パスキーは、個人の買い物や投資のアカウントだけの話ではありません。
会社のGoogleアカウントや、ホームページの管理画面のログインにも関わります。
この記事では、パスキーとは何か、仕組みとパスワードとの違い、メリットとデメリットを順に解説します。
あわせて、会社のアカウントで使うときの注意点と、ホームページの管理画面との関係もご紹介します。
パスキーとは｜パスワードの代わりに使う、端末の中の「鍵」
パスキーとは、パスワードの代わりに、スマートフォンやパソコンの画面ロック（指紋・顔・PINなど）でログインできる仕組みです。
パスワードを覚えたり入力したりせずに、アプリやWebサイトにログインできます。
パスキーは、FIDOアライアンス（パスワードに頼らない認証の標準を作る業界団体）が定める標準に基づいています。
FIDOアライアンスは、端末のロック解除と同じ操作でアプリやWebサイトにログインできる認証情報として、パスキーを説明しています（2026年11月10日時点・FIDOアライアンスの公式サイト）。
「パスキー認証」「パスワードレス認証」と呼ばれることもあります。
また、パスキーは特定の会社の機能の名前ではなく、パスワードと同じような一般的な呼び方です。
Apple・Google・Microsoftの端末やブラウザ、パスワード管理アプリなどが、同じ標準に沿って対応しています。
パスキーの仕組み｜偽サイトで使えない理由
パスキーとは何かを理解するには、仕組みを知るのが近道です。
安全だといわれる理由も、仕組みにあります。
ここでは、登録するとき、ログインするときの流れと、偽サイトで使えない理由を順に見ていきます。
【登録するとき】鍵を2つ作り、1つだけをサービスに渡す
パスキーを登録すると、端末がそのサービス専用の「鍵のペア」を作ります。
鍵のペアは、アカウントごとに別々に作られます。
片方は「公開鍵」で、サービスのサーバーに保存されます。
公開鍵は、他人に知られても困らない鍵です。
もう片方は「秘密鍵」で、端末の中（または後述の同期先）に保管され、サービスには渡されません。
Appleも、秘密鍵が何かをサーバー側が知ることはないと説明しています（2026年11月10日時点・Appleのサポートページ）。
【ログインするとき】端末で本人確認をして、合図を返す
ログインするときは、サービスから端末に「本人なら署名を返してください」という合図が届きます。
利用者は、指紋・顔・PINなどで端末のロックを解除するのと同じ操作をします。
すると端末が秘密鍵で署名を作り、サービスに返します。
サービスは、保存してある公開鍵で、その署名が正しいかを確かめます。
パスワードのような「両者が同じものを知っている秘密」をやり取りしないのが、パスワードとの大きな違いです。
偽サイトでは使えず、指紋や顔の情報も送られない
パスキーは、作ったときのサイト（ドメイン）と結びついています。
見た目がそっくりの偽サイトに誘導されても、ドメインが違えばパスキーは使われません。
また、サーバーにあるのは公開鍵だけです。
万一サービスから情報が漏れても、パスワードのように、そのまま悪用できる情報が残りにくい仕組みです。
指紋や顔の情報は、端末の中で本人確認に使われるだけで、サービスには送られません。
Googleも、生体認証のデータは端末に保存され、Googleと共有されることはないと案内しています（2026年11月10日時点・Googleのヘルプ）。
パスワード・二段階認証・生体認証との違い
パスキーは、パスワードや二段階認証（パスワードに加えて、別の方法でも本人を確かめる仕組み）と混同されやすい言葉です。
ここでは、それぞれとの違いを整理します。
大阪府警察本部サイバーセキュリティ対策課は、多要素認証の種類ごとに、防げる攻撃を次のように整理しています。
| 脅威名 | SMS/メール | 認証アプリ | パスキー |
|---|---|---|---|
| フィッシング詐欺 | ○ | ○ | ○ |
| パスワードリスト攻撃 | ○ | ○ | ○ |
| 総当たり攻撃 | ○ | ○ | ○ |
| SIMスワップ | × | ○ | ○ |
| マルウェア | × | △ | ○ |
| リアルタイム型フィッシング | × | × | ○ |
※出典: 大阪府警察本部サイバーセキュリティ対策課「サイバーセキュリティ対策通信」（多要素認証を設定しよう）。2026年11月10日確認。
SIMスワップは、携帯電話の番号を乗っ取り、本人あてのSMSを受け取る手口です。
SMSやメールの認証より認証アプリ、認証アプリよりパスキーのほうが、防げる攻撃が多いことが分かります。
表では、SMSやメールの認証も「フィッシング詐欺」には○ですが、「リアルタイム型フィッシング」には×とされています。
リアルタイム型の手口は、このあとの「SMSや認証アプリの二段階認証との違い」で説明します。
パスワードとの違い
パスワードは、利用者が覚えて入力する文字列です。
同じ文字列をサービス側も確かめられる形で持っているため、偽サイトに入力したり、使い回したパスワードが漏れたりすると、そのまま使われてしまいます。
パスキーでは、サービスごとのパスワードを覚えて入力する必要はありません。
本人確認には、指紋・顔や端末のPINなどを使います。
秘密鍵は端末の中にあり、偽サイトでは使われないため、「うっかり入力して盗まれる」という事故が起きにくくなります。
SMSや認証アプリの二段階認証との違い
二段階認証では、パスワードに加えて、SMSやメール、認証アプリに届く数字（ワンタイムパスワード）を入力する方法がよく使われます。
パスワードだけより安全ですが、数字を入力する以上、偽サイトに入力させられるおそれは残ります。
金融庁は、メールやSMSに届くワンタイムパスワードによる多要素認証について、リアルタイムフィッシングに弱いと注意を呼びかけています。
リアルタイムフィッシングとは、偽サイトに入力された認証情報をその場で盗み、すぐに本物のサイトへ不正にログインする手口です（2026年11月10日時点・金融庁の広報資料）。
FIDOアライアンスも、パスキーは単独で、パスワードとワンタイムパスワードを組み合わせるよりも安全だと説明しています。
「生体認証でログイン」との違い
パスキーを使うときの指紋や顔の確認は、端末の中の秘密鍵を使うための本人確認です。
指紋や顔そのものが、パスワードの代わりにサービスへ送られるわけではありません。
アプリによっては、「生体認証でログイン」という名前でも、仕組みがパスキーと異なる場合があります。
パスキーに対応しているかは、各サービスの案内で確かめるのが確実です。
パスキーは2種類｜同期パスキーと、端末から出ないパスキー
パスキーには、複数の端末で使えるものと、1つの端末から出ないものがあります。
FIDOアライアンスは、前者を「同期パスキー」、後者を「デバイスバインドパスキー」と呼んでいます。
どちらを使うかで、端末をなくしたときの困り方が変わります。
同期パスキー
同期パスキーは、クラウドのサービスを通じて、同じ人の複数の端末で使えるパスキーです。
iPhoneやMacのiCloudキーチェーン、Google パスワード マネージャー、パスワード管理アプリなどが、パスキーを保存して同期します。
1台をなくしても、同じアカウントでログインしたほかの端末から使えるのが利点です。
Appleは、iCloudキーチェーンをエンドツーエンドで暗号化していると説明しています。
その一方で、同期パスキーは、同期先のアカウント（Apple AccountやGoogleアカウントなど）に守られています。
同期先のアカウントの保護が、すべてのパスキーの土台になります。
デバイスバインドパスキー
デバイスバインドパスキーは、1つの端末から出ないパスキーです。
USBやNFCで使うセキュリティキー（認証専用の小さな機器）などに保存され、コピーできません。
FIDOアライアンスは、最新のセキュリティキーに保存するデバイスバインドパスキーが、最も高いセキュリティの保証を提供すると説明しています（英語版の公式サイト）。
会社の管理者のアカウントなど、特に守りたいアカウントに向いています。
ただし、その端末をなくすと使えなくなります。
紛失に備えて、セキュリティキーを2本登録しておくなど、複数の手段を用意しておくのが基本です。
なぜ今パスキーなのか｜2026年の主な動き
2026年は、パスキーが「使えると便利なもの」から「使うことが前提のもの」に変わり始めた年といえます。
ここでは、日本で影響の大きい動きを3つ紹介します。
いずれも2026年11月10日時点の情報で、今後も変わる可能性があります。
証券会社などで必須化が進んでいる
証券口座への不正アクセス・不正取引への対応として、金融庁は2025年10月15日に証券会社向けの監督指針を改正しました。
あわせて、フィッシングに耐性のある多要素認証の必須化を、原則として2026年6月末までに実施するよう求めました（金融庁、2025年11月18日の業界団体との意見交換会の資料）。
これを受けて、各社でパスキーの必須化が進んでいます。
たとえば三菱UFJ eスマート証券は、2026年10月22日以降、ログイン時のパスキーの利用を必須にすると案内しています。
GMOクリック証券は、2026年9月8日から順次パスキーを必須にしています。
11月28日からは、パスキーを設定した顧客のIDとパスワードによるログインを終えると案内しています（いずれも2026年11月10日確認）。
Yahoo! JAPAN IDと、会社のMicrosoft 365
LINEヤフーは、Yahoo! JAPAN IDのログイン方法をパスキーに一本化すると発表しました。
第一段階として、2027年春頃までに「パスワードのみでのログイン」を終える予定です。
SMS認証を使ったパスワードなしのログインや、パスワードとワンタイムパスワードを組み合わせたログインは当面使えますが、その後は段階的にパスキーに一本化するとしています（2026年4月14日発表）。
会社で使うMicrosoft 365のアカウント（Microsoft Entra ID）でも、2026年9月1日から、SMSや音声の認証が有効な人を対象に、既定でパスキーが有効になり、サインインのときに登録を促されるようになりました。
Microsoftが提供するSMSと音声の認証は、2027年2月1日に終わります。
ただし、グローバル管理者（Microsoft 365全体を管理する役割）と外部ユーザーは、2027年7月1日です。
それぞれの日以降、多要素認証の手段がSMSか音声だけの人は、パスキーを登録しないとサインインを続けられなくなります。
認証アプリなど、ほかの多要素認証も使える人は、この登録を求められる対象には入りません。
会社として引き続きSMSや音声を使う場合は、管理者がMicrosoft Security Storeで別の通信の提供元を設定する必要があります（2026年11月10日時点・Microsoft Learnの英語版）。
利用の広がり（FIDOアライアンスの調査）
FIDOアライアンスが、参加企業のデータをまとめて2026年10月15日に公表した調査では、成功したサインインの36%がパスキーによるものでした（2025年は26%）。
ログインの成功率も、パスキーは93%で、従来の多要素認証の78%を上回っています（FIDOアライアンス「Passkey Index 2026」）。
パスキーのメリットとデメリット
パスキーには大きなメリットがある一方で、使い方を誤ると困る場面もあります。
ここでは、メリットとデメリットを分けて整理します。
「パスキーにすれば何もしなくてよい」わけではない点を押さえておきましょう。
メリット
パスキーの主なメリットは、次の4つです。
- フィッシングに強い: 偽サイトではパスキーが使われないため、だまされて入力する事故が起きにくい
- 漏えいに強い: サーバーにあるのは公開鍵だけで、漏れてもそのまま悪用されにくい
- 使い回しが起きない: サービスごとに別の鍵が作られるため、1か所の漏えいがほかに広がらない
- ログインが速い: 画面ロックの解除と同じ操作で済み、長い文字列を入力しなくてよい
デメリット・注意点
一方で、次のような注意点があります。
- 端末をなくす・壊すと使えないことがある: 同期パスキーを使うか、複数の端末に登録して備える
- 対応していないサービスや端末がある: 古いOSやブラウザでは使えない場合があり、パスワードとの併用がしばらく続く
- 同期先のアカウントが要になる: Appleは、iCloudキーチェーンを使うApple Accountで2ファクタ認証を必須にしている。Googleアカウントなども二段階認証で守る
- ほかのログイン方法が残ると、その弱さも残る: パスキーを登録しても、パスワードやSMSでログインできる状態が続けば、攻撃者はそちらを狙える
- 1つのIDを複数人で使う運用に向かない: パスキーは使う人の端末や同期先のアカウントに保存される
4つ目の点は見落とされがちです。
パスキーを設定した人について、パスワードでのログインを終えるサービスも出てきています。
また、パスキーは「ログインの仕組み」を強くするものです。
端末そのもののウイルス対策や、OSのアップデートといった基本の対策は、これまでどおり必要です。
会社のアカウントでパスキーを使うときの注意点
仕事で使うアカウントは、担当者が替わったり、複数の人で使ったりする点が、個人のアカウントと違います。
仕組みを知らずに設定すると、「設定した人しかログインできない」状態になりかねません。
ここでは、中小企業の経営者様・ご担当者様に押さえていただきたい点を4つにまとめます。
共有のID・パスワードをやめ、1人1アカウントにする
1つのIDとパスワードを、社内の何人かで使い回している場合は注意が必要です。
パスキーは、設定した人の端末や同期先のアカウントに保存されます。
共有のIDでパスキーを作ると、誰の端末に鍵があるのかが分かりにくくなります。
パスキーを使うなら、まず1人1アカウントに分けるのが近道です。
複数の管理者を登録できるサービスでは、共有のIDではなく、管理者の追加で対応します。
会社のGoogle Workspaceでは、管理者が管理コンソールで「パスワードのスキップ」を許可したうえで、各ユーザーが自分のパスキーを追加します。
許可しても、既存のパスワードが無効になったり削除されたりはしません（2026年11月10日時点・Google Workspace 管理者ヘルプ）。
管理者を2人以上にし、ログインの手段を1台に寄せない
管理者が1人だけで、その人のスマートフォン1台にしかパスキーがない状態は避けましょう。
端末の故障や紛失、担当者の長期の不在で、誰も管理できなくなるおそれがあります。
管理者を2人以上にする、パスキーを複数の端末に登録する、サービスが発行するバックアップコードを安全な場所に保管する、といった備えが有効です。
担当者の交代・退職のときに、登録した端末を見直す
担当者が替わるときは、アカウントの引き継ぎとあわせて、登録されているパスキーも見直します。
Googleアカウントのように、登録済みのパスキーを一覧で確かめ、削除できるサービスもあります。
退職した方の私物のスマートフォンに、会社のアカウントのパスキーが残っていないかも確かめましょう。
弊社では、どのアカウントを、誰の名義で、誰の端末で使っているかを一覧にしておくことをおすすめしています。
業種別の例
パスキーの見直しが必要になる場面は、業種によって少しずつ違います。
- 税理士事務所などの士業: 所員のMicrosoft 365のアカウントで、SMSや音声の認証しか設定していない方がいないかを確かめる。所長など、グローバル管理者のアカウントも忘れずに確かめる。事務所で別のSMSの提供元を設定していなければ、2027年2月1日（グローバル管理者は7月1日）以降は、サインインのときにパスキーの登録を求められる
- 飲食店: 店のGoogleアカウントに、店長個人のスマートフォンからしかログインできない状態になっていないかを確かめ、2人目の管理者を決める
- 整骨院・クリニック: 予約システムや問診のサービスの管理画面が、パスキーや二段階認証に対応しているかを確かめる
- 工務店: 現場で共有しているタブレットやIDを洗い出し、1人1アカウントに分けられるかを検討する
- マンション管理組合: 役員が交代するたびに、ホームページやメールのアカウントに登録された端末を見直す
ホームページの管理画面とパスキー
ホームページの管理画面は、ログインを奪われると、ページの改ざんなどにつながります。
管理画面の守り方は、使っているCMS（ホームページを更新するためのシステム）やサーバーによって違います。
WordPressの管理画面が狙われるリスクは、WordPressを放置すると乗っ取られる?5つのリスクと対策で解説しています。
WordPressは、本体にパスキーの機能がない
2026年11月10日時点で、WordPressの本体には、パスキーでログインする標準の機能がありません。
本体への追加を求める要望は以前から出ていますが、取り入れる予定の版は決まっていません（2026年11月10日時点・WordPress Trac）。
WordPressでパスキーを使う場合は、プラグインで追加します。
パスキーに対応したプラグインは複数あり、どれを選ぶかはサイトの使い方によって変わります。
プラグインを入れると、その更新と管理も必要になる点に注意が必要です。
WordPressの日本語版の公式ドキュメント「WordPress の安全性を高める」は、強力なパスワードに加えて、二段階認証を有効にすることを勧めています（2026年11月10日確認）。
パスキーを入れない場合も、二段階認証と、使われていないアカウントの削除はしておきましょう。
管理画面まわりの作業は、WordPress保守とはの「ログインとアカウントの管理」でまとめています。
パスキーでのログインが標準のCMSもある
CMSの中には、パスキーでのログインを標準にしているものもあります。
たとえば、CloudflareのCMSであるEmDash（エムダッシュ）は、管理画面にパスキーでログインするのが標準です。
こうしたCMSでは、パスキーをなくしたときの備えが欠かせません。
管理者を2人以上にしておくなどの準備は、EmDash（エムダッシュ）サイトの保守管理とはで紹介しています。
サーバーやドメインの管理画面は、各社の対応を確かめる
レンタルサーバーやドメインの管理画面がパスキーに対応しているかは、会社ごとに違います。
対応していない場合は、二段階認証を設定しておくのが基本です。
管理画面のログイン情報や、契約の名義を整理しておくことも、ホームページの保守の大切な作業です。
保守の全体像は、ホームページの保守管理とはをご覧ください。
パスキーの設定方法（Googleアカウントの例）
パスキーの設定の手順は、サービスごとに異なります。
ここでは例として、Googleアカウントでの手順を紹介します。
ほかのサービスは、各社の公式ヘルプの手順に沿って進めてください。
手順は、2026年11月10日時点のGoogleのヘルプに沿っています。
- スマートフォンまたはパソコンで、Googleアカウントのパスキーの設定ページ（myaccount.google.com/signinoptions/passkeys）を開く
- 「パスキーを作成する」を選び、続けて「パスキーを作成」を選ぶ
- 指紋・顔・PINなど、端末のロック解除と同じ操作をする
- ほかの端末でも使う場合は、端末ごとに同じ手順をくり返す
事前に、スマートフォンの画面ロックをオンにしておく必要があります。
対応する端末は、Windows 10・macOS Ventura・ChromeOS 109以降のパソコンと、Android 9・iOS 16以降のスマートフォンなどです。
Googleによると、パスキーを追加しても、すでに設定している認証方法や復元方法は変わりません。
二段階認証を有効にしている場合は、パスキーでログインすると、2つ目の確認が省略されます。
パスキーのよくある質問
最後に、パスキーについてよく寄せられる疑問をまとめます。
サービスによって扱いが違う点も多いため、最終的には、お使いのサービスの案内をご確認ください。
Q: パスキーを設定しないと、どうなりますか？
サービスによって異なります。
多くのサービスでは、これまでどおりパスワードなどでログインできます。
ただし、必須化を進めているサービスでは、制限がかかることがあります。
たとえばGMOクリック証券は、パスキーを設定していない顧客も、IDとパスワードでログインはできると案内しています。
ただし、設定するまで取引や出金などに規制がかかります（2026年10月14日のお知らせ）。
Q: スマートフォンをなくしたり、機種変更したりしたら、どうなりますか？
同期パスキーなら、新しい端末で同じアカウントにログインし、必要な本人確認を済ませると、引き続き使えます。
たとえばGoogle パスワード マネージャーでは、保存したパスキーのロックを解除するために、Google パスワード マネージャーのPINか、Androidの画面ロックのPINが必要です。
iCloudキーチェーンでは、新しい端末を加えるときに、今までの端末での承認か、iCloudキーチェーンの復旧の手続きが必要です（2026年11月10日時点・Google Chrome ヘルプ、Appleのサポートページ）。
機種変更の前に、こうしたPINやApple Accountのパスワードを確かめておくと安心です。
紛失した場合は、ほかの端末からアカウントにログインし、なくした端末のパスキーを削除します。
iPhoneからAndroidなど、別のメーカーの端末に乗り換える場合の方法も、FIDOアライアンスが案内しています。
古い端末のパスキーで新しい端末からログインし、新しい端末でパスキーを作り直す方法です。
どのメーカーの端末でも使えるパスワード管理アプリに保存する方法もあります。
また、Androidでは2026年9月から、Google パスワード マネージャーと一部のパスワード管理アプリの間で、パスキーを移せるようになりました（Googleの公式ブログ、2026年9月10日）。
Q: パスキーを作ると、パスワードは使えなくなりますか？
これもサービスによって異なります。
Googleアカウントは、パスキーを追加してもパスワードは残ります。
一方、三菱UFJ eスマート証券やGMOクリック証券のように、パスキーを登録した人のパスワードでのログインを終える（または終える予定の）サービスもあります。
Q: 指紋や顔の情報は、サービスに渡りますか？
渡りません。
指紋や顔の情報とその処理は端末の中に残り、サービスのサーバーには送られません。
サービスが受け取るのは、本人確認ができたことを示す署名などです。
Q: パソコンで、スマートフォンのパスキーを使えますか？
使えます。
パソコンの画面に表示されたQRコードをスマートフォンで読み取り、スマートフォンで本人確認をする方法です。
このとき、スマートフォンとパソコンが近くにあるかを、Bluetoothで確かめます。
Googleアカウントの場合も、スマートフォンのBluetoothをオンにするよう案内されています。
まとめ
パスキーとは、パスワードの代わりに、端末の画面ロックと同じ操作でログインできる仕組みです。
偽サイトでは使われず、サーバーから漏れても悪用されにくいため、証券会社やMicrosoft 365などで必須化や標準化が進んでいます。
一方で、端末の紛失への備えや、同期先のアカウントの保護、パスワードなどほかのログイン方法の扱いには注意が必要です。
会社のアカウントでは、1人1アカウントにする、管理者を2人以上にする、担当者の交代のときに登録した端末を見直す、の3点を押さえておきましょう。
ホームページの管理画面のログインも、パスキーや二段階認証で守る対象です。
CMSやサーバーごとの対応を確かめ、できるところから設定を進めてください。
ホームページの管理画面やアカウントの管理にお困りでしたら、株式会社リヒトスまでお気軽にご相談ください。
