話題・考察セキュリティ 2026年10月29日読了目安約4分

パスワードはなくなるのか｜パスキーの仕組みと、今できること

銀行、ショッピング、SNS。最近、さまざまなサービスでパスキーへの切り替えを勧められます。便利そうだけれど、仕組みがよく分からないまま使うのは不安。そんな人のために、パスキーの考え方をできるだけ平易に説明します。

パスワードの何が問題だったのか

パスワードは長いあいだ、ログインの基本でした。しかし、その弱点もよく知られています。

覚えられない：安全なパスワードは長く複雑で、サービスごとに変える必要がある。でも、そんなに覚えられない。
使い回される：覚えられないので同じパスワードを使い回し、1つのサービスから漏れると、他のサービスにも不正にログインされる。
だまし取られる：本物そっくりの偽サイト（フィッシングサイト）に誘導され、自分でパスワードを入力してしまう。

二段階認証（SMSのコードや認証アプリ）で守りは固くなりましたが、偽サイトにコードまで入力させる手口もあり、完全ではありません。こうした問題をまとめて解決しようとしているのが「パスキー」です。

パスキーの仕組みをたとえると

パスキーは、「秘密鍵」と「公開鍵」という2つで1組の鍵を使います。

秘密鍵：自分のスマホやパソコンの中だけに保管される。外に出ることはない。
公開鍵：サービス（Webサイトやアプリ）側に登録される。

たとえるなら、サービス側には「あなた専用の南京錠」を預け、自分は「その南京錠を開けられる唯一の鍵」を持っているようなものです。ログインのたびに、サービスは「この南京錠で閉じた箱を開けてみてください」と問題を出し、自分の端末が手元の鍵で開けて見せることで、本人だと証明します。

ポイントは、鍵そのもの（秘密鍵）は一度も端末の外に送られないことです。サービス側に保存されているのは南京錠（公開鍵）だけなので、もしサービスから情報が漏れても、それだけではログインできません。

そして、その秘密鍵を使うための確認が、顔認証や指紋認証、端末のロック解除の暗証番号です。顔や指紋のデータがサービスに送られるわけではなく、あくまで「手元の端末の鍵を使ってよいか」を、端末の中で確認しているだけです。

パスキーが強い理由

偽サイトでは使えない

パスキーは、作成したときのサイトのドメイン（たとえば example.com）と結び付いています。そっくりな偽サイト（examp1e.com など）でログインしようとしても、端末は「このサイト用の鍵はない」と判断します。人間の目ではだまされても、仕組みとしてだまされない。これがパスワードとの大きな違いです。

使い回しが起きない

パスキーはサービスごとに自動で別の鍵が作られます。自分で考える必要がないので、使い回しの心配がありません。

覚えなくていい

ログインは、顔認証や指紋認証で一瞬です。長いパスワードを入力したり、SMSのコードを待ったりする手間もなくなります。

スマホを失くしたらどうなるのか

パスキーについて、いちばんよく聞かれる不安がこれです。「鍵が端末の中にあるなら、端末を失くしたら全部ログインできなくなるのでは？」

現在の多くのパスキーは、iPhoneならiCloudキーチェーン、AndroidならGoogleパスワードマネージャーといった仕組みで、同じアカウントの端末どうしで暗号化して同期されています。そのため、スマホを失くしても、新しいスマホで同じアカウントにサインインすれば、パスキーも戻ってきます。

逆に言えば、パスキーの安全は、そのアカウント（Apple IDやGoogleアカウント）の安全に支えられているということです。これらのアカウントには、強いパスワードと二段階認証を設定し、復旧用の連絡先を最新にしておくことが大切です。

また、多くのサービスでは、パスキーを登録してもパスワードやメールでの復旧手段が残っています。パスキーがすべてを置き換えるというより、まずは「普段のログインを安全で楽にするもの」として広がっている段階です。

パソコンでログインするときは

パスキーが保存されていないパソコンでログインする場合は、画面に表示されるQRコードを、パスキーが入ったスマホで読み取る方法があります。スマホで顔認証をすると、パソコンのログインが完了します。このとき、スマホとパソコンが近くにあるかをBluetoothで確認するため、遠く離れた場所からのなりすましを防げます。

導入するときの注意点

どの端末・どのアカウントに保存したかを意識する：iPhoneで作ったパスキーはiCloudに、AndroidならGoogleアカウントに保存されます。普段使う端末の組み合わせによっては、パスワード管理アプリに保存する方法もあります。
端末のロックをしっかりかける：パスキーは端末のロック解除で使えるため、端末の暗証番号が推測しやすいと意味が薄れます。
共有の端末では作らない：家族で共用しているタブレットなどで作ると、他の人もログインできてしまいます。
すべてのサービスが対応しているわけではない：対応状況はサービスによってまちまちです。対応していないサービスでは、引き続き強いパスワードと二段階認証が基本になります。

パスワードを使い続けるサービスでは、サービスごとに別の、長くランダムなパスワードを使うことが大切です。作るときはパスワード生成ツールも使えます。