0263-88-1183
パスワードはもう古い？Googleが「最強」と断言するパスキーの仕組みと安全性を徹底解説！
日経クロステックにとてもためになる記事があったので調べてみました。
近年、私たちの身の回りでは巧妙なフィッシング詐欺が急増しています。特に2025年は、証券会社を狙った被害が相次ぎ、これまでの「ID・パスワード＋ワンタイムパスワード（OTP）」という対策すら、リアルタイムフィッシングという手口で突破される事態となりました。
そんな中、Googleが「最も簡単で最も安全」と断言し、多くの金融機関やIT大手が導入を進めているのが「パスキー（Passkey）」です。「名前は聞いたことがあるけれど、仕組みはよくわからない」「スマホを失くしたらどうなるの？」と不安を感じている方も多いはず。
そこで今回は、なぜパスキーが「最強の盾」と呼ばれるのか、その仕組みと私たちが押さえるべきポイントを、ITセキュリティ初心者の方にもわかりやすく整理してお届けします！
📋 目次
１．なぜこれまでの対策ではダメなのか？2025年の被害事例
２．パスキーの正体は「鍵の分業」にあり！
３．フィッシング詐欺が100%通用しない「納得の理由」
４．導入事例：メルカリや楽天証券がパスキーを推す背景
５．まとめ：私たちが今すぐやるべきこと
1. なぜこれまでの対策ではダメなのか？2025年の被害事例
これまで、セキュリティの鉄則は「多要素認証（2段階認証）」でした。しかし、2025年に発生した大規模なフィッシング詐欺は、その常識を覆しました。
・リアルタイムフィッシングの脅威： 攻撃者が用意した偽のログイン画面にユーザーがOTPを入力した瞬間、裏で待機していた攻撃者がその情報を正規サイトに即座に入力してログインを完了させる手法です。
・パスワードの限界： そもそも人間が覚え、入力する「文字列」である以上、盗まれたり使い回されたりするリスクをゼロにすることはできません。
こうした背景から、「入力そのものをなくす」パスキーへの移行が加速しています。
2. パスキーの正体は「鍵の分業」にあり！
パスキーが従来のパスワードと決定的に違うのは、「公開鍵暗号」という仕組みを使っている点です。
| 比較項目 | 従来のパスワード | パスキー (Passkey) |
|---|---|---|
| 認証情報 | ユーザーが覚えて入力する「文字列」 | 端末内で自動生成される「デジタル鍵」 |
| 情報の保管先 | サービス側のサーバー ※漏洩のリスクあり |
秘密鍵：自分の端末（スマホ等） 公開鍵：サービス側のサーバー |
| ログイン方法 | IDとパスワードを手入力 | 指紋・顔認証、または端末のPINコード入力 |
| 通信内容 | パスワードそのものがネット上を流れる | 「デジタル署名」のみが流れる ※鍵そのものは送られない |
あなたの「秘密鍵」は端末の外には一歩も出ません。サーバー側にあるのは「公開鍵」だけなので、万が一サービス側からデータが漏洩しても、第三者があなたになりすますことは不可能なのです。
3. フィッシング詐欺が100%通用しない「納得の理由」
パスキーには、技術的にフィッシングを防ぐ2つの大きな壁があります。
① サイトごとの識別子（RPID）の照合
パスキーによる認証時、端末（認証器）はアクセスしているサイトのドメインを厳格にチェックします。偽サイト（例：rakuten-shoken.fake.com）が「署名して！」と求めてきても、端末は「本物の楽天証券のIDじゃないから拒否します」と自動で判断します。人間がどれだけ騙されても、機械が署名を拒否するためログインできません。
② チャレンジコードとデジタル署名
ログインのたびに、サーバーからは「チャレンジコード」という使い捨ての乱数が送られてきます。端末はこの乱数に対して署名を行うため、過去に盗んだ署名を再利用することは絶対にできない設計になっています。
4. 導入事例：メルカリや楽天証券がパスキーを推す背景
実際に、セキュリティ意識の高いサービスでは導入が驚異的なスピードで進んでいます。
・楽天証券： 2025年10月にパスキーを導入。「1件でも不正ログインが出るなら導入すべき」という強い意志のもと、資産を守るためのスタンダードとして位置づけています。
・メルカリ： 2024年にアプリの全ログインへパスキーを導入。現在、利用者2,300万人のうち約半数が既にパスキーを登録しています。
「難しい設定は抜きにして、いつものスマホロック解除で安全になれる」という体験が、ユーザーに支持されている大きな理由です。
5. まとめ
パスキーは、単なる「便利なログイン方法」ではなく、フィッシング詐欺という社会課題に対する最終回答の一つです。
・簡単： パスワードを覚える必要なし。スマホの顔認証・指紋認証だけで完了。
・安全： 秘密鍵が端末に守られ、偽サイトには反応しない。
「セキュリティは面倒なもの」という時代は終わりました。お使いのGoogleアカウントやSNS、金融機関でパスキーの設定が可能であれば、今すぐ切り替えることを強くおすすめします！
情熱電力からのお知らせ
情熱電力のこのお知らせページでは、
情熱電力が注目した様々な事柄をピックアップして掲載させていただいております。
随時、このページを更新して参りますので
ご興味を持たれた方はまたこのサイトにお越しいただければ幸いです。
この記事に関連するページリンク
・FIDO Alliance（パスキーの標準化団体）：公式Webサイト
・Google 安全確認：パスキーでパスワードレスを実現する方法
・総務省：安心してインターネットを使うために（国民のためのサイバーセキュリティサイト）