ガジェット2026年10月4日

「パスキー」って何?パスワードの代わりに、顔・指紋・画面ロックでログイン。偽サイトではログインできないので、フィッシングに強い【IPA・警察庁】

パスキーは、パスワードの代わりに、スマホの顔認証・指紋認証や画面ロックのPINでログインするしくみです。IPA(情報処理推進機構)は不正ログイン対策としてパスキーの利用をすすめ、警察庁も2026年9月に「パスワードだけの認証はもう限界です」としてパスキーを取り上げました。ログインに使う「秘密鍵」はスマホの中にあり、サービス側には渡らず、偽サイトでは認証できません。設定のしかたと、「自分のスマホだけで作る」「画面ロックを人に教えない」などの注意をまとめました。

パスキーとは
パスワードだけでは、なぜ危ないの?
しくみは「印鑑」と「印影」
なぜフィッシングに強いの?
使うには
注意したいこと
それでも「あやしいSMS・メール」は開かない
まとめ

プレ男ログインしようとしたら「パスキーを作成しますか?」って出てきた。なにこれ、押して大丈夫?

メル美私は顔認証だけでログインできるようになったよ。パスワードを入れなくていいから楽!

こんにちは、Dr. Taro です。今回は、最近いろいろなサービスで見かけるようになった「パスキー」の話です。IPA(情報処理推進機構)、警察庁、Apple・Googleの公式情報をもとにまとめました。

パスキーとは

IPA によると、パスキーは、

パスワードの代わりに、生体認証(指紋認証・顔認証など)やデバイスのロック解除(PIN コードなど)を使って、サービスのアカウントにログインする新しい認証方式
パスワードの漏えいリスクがなく、より安全にログインできる

ものです。

パスワードだけでは、なぜ危ないの?

IPA は、ID とパスワードがもれる主な原因として、次の3つをあげています。

単純なパスワードを推測される(総当たり攻撃、辞書攻撃)
ほかのサービスからもれたパスワードを使われる(リスト型攻撃)
フィッシングサイトにだまされて、パスワードを入力してしまう

国家公安委員会・総務大臣・経済産業大臣の公表(令和8年3月12日)によると、

令和7年(2025年)の不正アクセス行為の認知件数は7,190件で、前年より1,832件(約34.2%)増えました
他人の ID・パスワードを使った不正アクセスで検挙された399件の手口は、「パスワードの設定・管理の甘さにつけこんで入手」が84件でいちばん多く、次が「フィッシングサイトから入手」の77件(前年より36件増加)でした

IPA の安心相談窓口には、不正ログインの相談が2025年7月にこれまででいちばん多い144件寄せられ、Instagram や Facebook のアカウントに不正ログインされた、という相談が多かったそうです(インスタの乗っ取り)。

プレ男長いパスワードにしても、偽サイトに自分で入れちゃったら意味ないもんな…。

しくみは「印鑑」と「印影」

警察庁の「サイバー警察局便り」(2026年9月、R8 Vol.12「パスワードだけの認証はもう限界です」)は、パスキーのしくみを手紙のやりとりにたとえています。

たとえ	パスキーでは
印鑑を作って、金庫にしまう	秘密鍵を作って、スマホの中に保管
印影をサービスに届けておく	公開鍵をサービスに登録
サービスから届いた手紙に、顔や指紋で本人確認してから押印	サービスから送られた文字列に、秘密鍵で電子署名
サービスが、届けてある印影と照らし合わせる	サービスが、公開鍵で署名を確かめる

Apple によると、パスキーはアカウントごとに、デバイスが鍵のペアを作ります。公開鍵はサーバーに保管されますが、秘密ではありません。秘密鍵は、サーバー側が知ることはありません
Google によると、指紋や顔の生体認証のデータはデバイスに保存され、Google と共有されることはありません

なぜフィッシングに強いの?

警察庁は、パスキーは偽サイトでは認証できないと説明しています
Google によると、パスキーはパスワードとちがって、人に教えたり、コピーしたり、書き留めたりすることができないので、うっかり他人にわたしてしまう心配がありません
サービスごとにちがう鍵が作られるので、使い回しの問題もありません(Apple)

メル美そもそも「入力するもの」がないから、だまし取られようがないんだね。

使うには

パスキーは、サービス側が対応している必要があります。対応しているかは、各サービスのヘルプページで確かめましょう(IPA)
Google アカウントの場合、パスキーを使えるのは、Android 9 以降・iOS 16 以降のスマホ、Windows 10・macOS Ventura 以降などのパソコンです。作る前に、スマホの画面ロックをオンに。iPhone では iCloud キーチェーンをオンにします
Apple 製のデバイスでは、パスキーは iCloud キーチェーンで同じ Apple Account のデバイスどうしで同期されます。iCloud キーチェーンを使うには、Apple Account の2ファクタ認証が必須です
機種変更のときも、同期していればパスキーを引き継げます。古いスマホを手放すときの手順は、古いスマホを売る・ゆずる・捨てる前にへ

注意したいこと

Google は、パスキーは自分が持っていて使っているデバイスでだけ作るよう注意しています。いったん作ると、デバイスのロックを解除できる人なら誰でも、そのアカウントにログインできてしまうからです
つまり、スマホの画面ロックの PIN やパスコードを人に教えないことが、これまで以上に大事になります。家族や恋人と共用している端末・パソコンでは作らない、ということでもあります
Google アカウントでは、パスキーを追加しても、いまのパスワードや2段階認証などの設定は消えません
パスキーに対応していないサービスでは、これまでどおり長く、使い回さないパスワードと多要素認証を(アカウントの守り方)

パスキーは、偽サイトではログインできないので、フィッシングに強いしくみです。作るのは自分のスマホだけで。画面ロックの番号は、人に教えないようにしましょう。

それでも「あやしいSMS・メール」は開かない

パスキーにしても、ほかの手口がなくなるわけではありません。

宅配業者などを名のる SMS のリンクは開かない(不在通知のSMS)
SMS で届いた認証コードは、誰にも教えない(インスタの乗っ取り)
偽のウイルス警告の電話番号には、電話しない(サポート詐欺)

プレ男自分のスマホなら、パスキーを作ってみる。画面ロックの番号、誕生日はやめよう。

メル美よく使うサービスがパスキーに対応してるか、ヘルプを見てみるね。

まとめ

パスキーは、顔・指紋・画面ロックでログインする、パスワードの代わりのしくみ
秘密鍵はスマホの中。偽サイトでは認証できないので、フィッシングに強い
令和7年の不正アクセスの認知件数は7,190件。IPA も警察庁も、パスキーをすすめている
作るのは自分のデバイスだけ。画面ロックの番号を人に教えない
対応していないサービスは、長いパスワード+多要素認証で

参考文献

独立行政法人情報処理推進機構(IPA). インターネットサービスへの不正ログインによる被害が増加中 ‐パスキー認証や多要素認証の設定を行いましょう‐(安心相談窓口だより、2025年8月28日). https://www.ipa.go.jp/security/anshin/attention/2025/mgdayori20250828.html (閲覧日:2026年10月4日)
警察庁サイバー警察局. サイバー警察局便り 2026 Vol.12(R8.9)「パスワードだけの認証はもう限界です。」. https://www.npa.go.jp/bureau/cyber/pdf/R8_Vol.12cpal.pdf (閲覧日:2026年10月4日)
国家公安委員会・総務大臣・経済産業大臣. 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況(令和8年3月12日). https://www.npa.go.jp/bureau/cyber/pdf/R080312_access.pdf (閲覧日:2026年10月4日)
Apple. パスキーのセキュリティについて(公開日:2024年10月7日). https://support.apple.com/ja-jp/102195 (閲覧日:2026年10月4日)
Google. パスワードの代わりにパスキーでログインする(Google アカウントヘルプ). https://support.google.com/accounts/answer/13548313?hl=ja (閲覧日:2026年10月4日)

この記事は一般的な情報提供を目的としたもので、個別の診断・治療に代わるものではありません。気になる症状や不安がある場合は、医療機関にご相談ください。