「パスキーは知っている。でも、自分の仕事のログインは今もパスワード」――。そんな実態が、守る側の専門家への調査で明らかになりました。
米Yubico（物理セキュリティキー「YubiKey」を手がける会社）と米Okta（ID管理サービスの会社）は、2026年10月7日（米国時間）に「グローバル認証状況調査2026」を公表しました。対象は、世界の企業でセキュリティやITに携わる1,800人超の専門家です。
Forbes JAPANの報道（2026年10月25日配信）によれば、回答者の8割超がパスキーを知っている一方で、半数近くが仕事用のアカウントにユーザー名とパスワードでログインしています。
守りのプロでさえ、「知っている」と「やっている」の間に溝がある。この記事では、調査が示すフィッシングの変化を整理したうえで、自社の会員サイトやECサイトのお客様をどう守るかを考えます。
1. AIがフィッシングの「見分け方」を消した
増えているうえに、一人ひとりに作り込まれている
同じ調査では、回答者の70%が「過去1年で自組織を狙ったフィッシングが増えた」と答えています。55%は、個人を狙って作り込まれた攻撃を直接受けていました。
さらに44%が、過去12カ月にAIを使った攻撃を受けたと回答しています。フィッシングは「数が増えた」だけでなく、「質が変わった」と見るべきでしょう。
「誤字で見抜く」時代の終わり
これまでの対策研修では、「誤字や不自然な日本語に気をつけましょう」と教えるのが定番でした。ところが調査では、39%が「AIが書いた文章と人が書いた文章を見分けられなかった」と答えています。
Oktaの副CSO（最高セキュリティ責任者の補佐役）であるシャーロット・ワイリー氏は、生成AIによって完璧な文章の攻撃を個別に、しかも大量に作れるようになったと指摘します。そのうえで「もはや『人間のファイアウォール』には頼れません」と述べ、研修だけに頼る対策は不十分だとしています。
攻撃者のほうが有利な戦い
YubicoのCEOであるジェロッド・チョン氏は、かつて高度とされた攻撃の能力が、技術力の低い攻撃者にも使えるようになっていると語ります。今は攻撃者のほうが優位に立つ、非対称な戦いだという見立てです。
見分けるための手がかりが消え、攻撃する側の敷居は下がった。この2つが同時に起きているのが、今のフィッシングです。
2. パスワードが残るのは「安全だから」ではない
残る理由は、どこでも使えて、深く根付いているから
それでも、なぜパスワードはなくならないのでしょうか。調査会社フォレスターのジェフ・ケアンズ氏は、その理由を「幅広いシステムで使えること」「企業の仕組みに深く組み込まれていること」「入社時の手続きに含まれることが多いこと」と説明します。
つまり、パスワードが残っているのは、最も安全だからではありません。変える手間と慣れ――ケアンズ氏の言葉でいえば、文化や運用の「惰性」――が残しているのです。
盗まれた認証情報は、そのまま入口になる
記事では、米ベライゾンの「2026年度データ漏洩/侵害調査報告書（DBIR）」も紹介されています。データ侵害の28%に、認証情報（IDやパスワードなど）が関わっていたというものです。
攻撃者は、侵入したシステムから認証情報を抜き取る道具を使い、次の侵入に役立てています。一度漏れたパスワードは、別の扉を開ける合鍵になってしまいます。
「コードを入れる二段階認証」も、偽サイトには中継される
では、SMSで届くコードを入れる二段階認証なら安心でしょうか。ワイリー氏は、人のミスが入り込む余地のある従来型の多要素認証にも頼らないよう求めています。
理由は、「偽の窓口」を思い浮かべると分かりやすくなります。お客様が偽の窓口に暗証番号とコードを出すと、偽の店員はそれを持って、同じ瞬間に本物の窓口で手続きをしてしまう。お客様が「入力する」方式である限り、入力した物ごと中継される危険が残ります。
そこでワイリー氏が勧めるのが、偽サイトに誘導されても破られない「フィッシング耐性のある認証」を、仕組みのレベルで必ず使わせる方針です。ケアンズ氏も、パスキーのように秘密の情報を相手に渡さずに本人だと示せる方式を挙げています。さらに認証は、ログインの時に1度だけ行う手続きから、暗号による確認・利用者の行動の兆し・リスクの分析を組み合わせて続けていくものに変わるべきだと述べています。
3. 社員のログインの話は、お客様のログインの話でもある
会員サイトに置き換えて考える
ここまでの調査は、企業で働く人のログインの話です。しかし、同じことはECサイトや会員サイトのお客様にも起きます。
専門家の4割近くが見分けられない文章を、一般のお客様が見抜くのは簡単ではありません。しかも、フィッシングに反応しやすいのは、そのサービスを実際に使っている人です。使っていないサービスから「不正なログインがありました」と届いても、多くの人は気に留めません。普段使っているサービスからのように見えるからこそ、つい開いてしまうのです。
つまり、会員を多く抱えるサービスほど、「お客様の注意」に守りを預けている状態だと言えます。
パスキーは強い。ただ、お客様が登録するまでは守れない
パスキーは、フィッシングに強い優れた方式です。一方で、お客様が自分で登録する手間があり、登録した人しか守れません。会員登録のその場で使うことも難しい方式です。
調査が示したように、仕組みを「知っている」ことと「使っている」ことの間には溝があります。専門家ですらそうなのですから、お客様全員にパスキーを登録してもらうまでには、時間がかかると考えるのが現実的でしょう。
守りを「お客様の注意」から「仕組み」へ移す
INFRONT Securityの電話番号認証は、お客様がコードを入力する代わりに、スマートフォンから指定の番号へワンタップで発信する方式です。1コールの自動発信（通話料は無料）で、発信者番号と端末の情報をサーバー側で照合します。会員登録の時から使え、同じ端末からの2回目以降は、ワンタップすら要りません。
この「2回目からは手間がない」という性質が、フィッシング対策にも効いてきます。偽サイトを使う犯人の端末は登録されていないため、手間なしでは通れません。そして、いつもは何もせず通れる既存のお客様に「電話をかけてください」と求める画面が出たら、それ自体が「いつもと違う」という合図になります。
もちろん、これで被害がゼロになるわけではありません。大切なのは、合図が出た時の扱いを先に決めておくことです。既存のお客様に発信が求められた時点で、御社のシステム側で手続きを止める、あるいは別の確認に回す。そう決めておけば、お客様の注意力に頼らずに塞げます。
パスキーと競う方式ではなく、併用もできます。パスキーを登録した方はパスキーで、まだの方は電話番号認証で――という受け皿にもなります。API連携によって、今のシステムを大きく作り替えずに、最短8週間で試験導入（PoC）を始められます。
まとめ：「見抜いてください」と頼む守りから卒業する
今回の調査が突きつけたのは、守りのプロですら、パスワードからの移行が進んでいないという現実でした。そしてAIによって、「怪しい文面を見抜く」という最後の砦も揺らいでいます。
お客様に「気をつけてください」と呼びかけることは、これからも大切です。ただ、それだけを頼りにする時期は過ぎつつあります。お客様が気づかなくても、仕組みが「いつもと違う」を拾って止める。会員を抱えるサービスにとって、次の一手はそこにあります。
御社の今のログインと会員登録の守り方について、「どこが偽サイトに中継されやすいか」を一緒に点検しませんか。お気軽にお問い合わせください。
