パスキー解説：パスワードを置き換え、フィッシングに強い仕組み

パスワードは、あなたとウェブサイトの両方が知っている必要があります。だからこそ、盗まれる可能性があるのです。パスキーは、それを避けるために作られています。入力したり、覚えたりする必要はなく、偽サイトが収集して再利用できるものもありません。

ここでは、パスキーとは何か、パスキーを使ったサインインの仕組み、フィッシングに強い理由、そして利用時に注意が必要な点を解説します。

パスキーとは

この規格を支える業界団体であるFIDOアライアンスによると、パスキーとは、指紋認証、顔認証、PIN、パターンなど、デバイスのロック解除に使うのと同じ方法でアプリやウェブサイトにサインインできる認証情報です。特定のサイトのアカウントに紐付けられており、パスワードに加えて、多くの場合は追加コードも置き換えます。

仕組みとしては、パスキーは暗号鍵のペアです。ウェブサイトには、それ単体では役に立たない公開鍵が保存され、秘密鍵はあなたのデバイスに残ります。サイトごとに新しい鍵のペアが作成されるため、パスワードのように複数のサービスでパスキーを使い回すことはできません。

パスキーを使ったサインインの仕組み

サインインすると、ウェブサイトはデバイスに一度限りのチャレンジを送ります。デバイスで生体認証またはPINを使ってロックを解除すると、秘密鍵でチャレンジに署名し、その署名付き応答を送り返します。ウェブサイトは、保存している公開鍵と照合して署名を確認し、アクセスを許可します。英国の国家サイバーセキュリティ機関であるNCSCも同じ手順を説明しており、秘密鍵がウェブサイトやブラウザーに共有されることはありません。

FIDOによると、サインイン中に個人データや生体認証データが送信されることはありません。指紋認証や顔認証は、デバイス上で鍵のロックを解除するためだけに使われます。

パスキーがフィッシングに強い理由

重要な違いは、パスキーが実際のサイトのドメインに紐付けられていることです。NCSCは、FIDO認証器が、実際にアクセスしているサイトと一致する認証情報だけを提示すると説明しています。また、この照合は信頼できるブラウザーやアプリによって行われるため、偽ページが照合に影響を与えることはできません。見た目が似た偽サイトが盗み取れるパスワードやコードもありません。

NCSCは、従来の第二要素と比較し、認証アプリのコードを含め、すべての第二要素が、偽ページを使ってログインをリアルタイムで中継する攻撃者に対して脆弱である一方、FIDO2認証情報はその影響を受けないとしています。また、執筆時点ではFIDO2認証自体への攻撃は実際には確認されていないものの、攻撃者がアカウントをより弱い代替手段に誘導しようとすることは報告しています。そのため、アカウントで有効になっているサインイン方法のうち、最も弱いものにも注意が必要です。

同期型パスキーとデバイス固定型パスキー

パスキーには2種類あります。同期型パスキーは同期サービスを通じてバックアップされ、ほかのデバイスにも表示されるため、1台のデバイスを失ってもアクセスを失いません。物理的なセキュリティキーなどに保存されるデバイス固定型パスキーは、その1台のデバイスに保存され、コピーできません。

それぞれにトレードオフがあります。NCSCは、同期サービスのアカウントをフィッシングから保護し、安全な復旧方法を確保するよう勧めています。また、2025年に主要な自社提供の同期サービスを調査したところ、パスキーの保存には二要素認証が必要だった一方、サードパーティーのサービスでは対応にばらつきがあったと指摘しています。デバイス固定型パスキーについては、キーを紛失すると復旧できないため、バックアップを登録するよう利用者に勧めています。

パスキーでできないこと

パスキーが保護するのはサインインの手順であり、その周辺のすべてではありません。誰かにデバイスを持たれ、PINが弱ければ、パスキーでは防げません。またNCSCは、アカウント復旧の手順はサインイン自体より脆弱なことが多く、攻撃者に狙われると指摘しています。パスキーは暗号資産ウォレットの鍵でもありません。パスキーはアカウントへのサインインに使いますが、自己管理型ウォレットの資産を管理するのはシードフレーズまたは秘密鍵であり、パスキーでそれらを保護したり置き換えたりすることはできません。

WEEXからのお知らせ：パスキーはシードフレーズではありません

WEEXは、パスキーはアカウントへのサインインに使うものであり、自己管理型ウォレットを管理するのはシードフレーズまたは秘密鍵であることを利用者にお知らせします。パスキーの「確認」や「復元」を求めるページにシードフレーズを入力しないでください。また、サポート担当者を名乗る人を含め、誰にもシードフレーズを共有しないでください。デバイスには強固なPINを設定し、アカウントの復旧方法を最新の状態に保ち、サインインする前にサイトのアドレスを確認してください。ここに記載した内容は、いずれも金融アドバイスではありません。

まとめ

パスキーは共有秘密情報を鍵のペアに置き換えるため、ウェブサイトに盗まれて再利用されるものが保存されず、偽サイトにも収集できる情報がありません。そのため、個人アカウントで利用できる最も強力なサインイン方法の1つです。ただし、安全なデバイス、保護された同期アカウント、適切な復旧方法が必要であり、ウォレットのシードフレーズには何の効果もありません。

よくある質問

1. パスキーとは何ですか？
パスキーはFIDOの認証情報です。パスワードの代わりに、デバイスのロック解除に使う生体認証、PIN、パターンを使って、アプリやウェブサイトにサインインできます。

2. パスキーとパスワードの違いは何ですか？
パスワードは、入力してウェブサイトに保存する共有秘密情報です。パスキーは鍵のペアで、サイトに保存されるのは公開鍵だけです。アカウントごとに個別に作成され、デバイス上でロックを解除して使います。

3. パスキーは二要素認証ですか？
サインイン時に生体認証またはPINが求められる場合、デバイス上の鍵という「持っているもの」と、「本人であること」または「知っていること」を組み合わせます。FIDOは、パスキーで個別のコードを置き換えられるとしており、NCSCは二要素認証と同等のものと評価しています。

4. パスキーはフィッシングで盗まれることがありますか？
パスキーは実際のサイトのドメインに紐付けられているため、フィッシングに強い設計です。ただし、攻撃者がアカウントをより弱い代替手段に誘導しようとする可能性はあります。そのため、アカウントで利用できるほかのサインイン方法も重要です。

5. パスキーを保存したデバイスを紛失したらどうなりますか？
同期型パスキーは同じ同期アカウントにあるほかのデバイスで利用できるほか、新しいデバイスでそのアカウントを復旧すれば戻せる場合があります。デバイス固定型パスキーはコピーできないため、バックアップキーや別の復旧方法が必要です。