パスキー＝万能じゃない？仕組み・メリットと知っておくべきデメリット【2026年最新版】

基礎知識
公開日: 2025年6月26日｜最終更新日: 2026年7月17日
パスキー＝万能じゃない？仕組み・メリットと知っておくべきデメリット【2026年最新版】

「パスキーは本当に安全で便利なの？」「パスワードと何が違うの？」そんな疑問をお持ちではありませんか？

本記事では、パスワードに代わる認証技術として急速に普及が進むパスキーについて、基本的な仕組みからパスワード認証との決定的な違い、2026年時点の普及状況までを徹底解説します。

さらに、フィッシング詐欺に強いといったメリットだけでなく、「デバイスに依存する」「共有や復旧に注意が必要」といった見落とされがちなデメリットも深掘りします。パスキーを取り巻く環境はこの1〜2年で大きく変化しており、「かつては課題だったが、いまは改善されつつあるもの」と「いまも残る本質的な注意点」を切り分けて整理しました。パスキーが「万能ではない」理由を正しく理解することは、個人ユーザーはもちろん、ECや金融など自社サービスの認証方式を検討する事業者にとっても、より安全な認証手段を選ぶための第一歩となります。

1. パスキーとは？パスワードとの違いまで徹底解説

近年、パスワードに代わる次世代の認証技術として広く使われるようになった「パスキー」。その基本的な仕組みから、これまで主流だったパスワード認証との違いまで、詳しく解説します。

1.1 パスキー認証の基本的な仕組み

パスキー（Passkey）は、パスワードを使わずにウェブサイトやアプリケーションにログインできる認証方式です。FIDO Allianceが提唱する「FIDO2」という技術標準に基づき、WebAuthn（ウェブオースン）というWeb標準技術によって実現されています。

パスキー認証の最大の特長は、公開鍵暗号方式を利用している点にあります。

ユーザーがサービスに登録する際、利用しているデバイス（スマートフォン、PCなど）上で秘密鍵と公開鍵のペアが生成されます。このうち、公開鍵のみがサービス提供側のサーバーに登録され、秘密鍵はユーザーのデバイス内に安全に保管されます。

ログイン時には、ユーザーはパスワードを入力する代わりに、デバイスの生体認証（指紋、顔認証など）やPINコードを使って認証を行います。

これにより、デバイス内の秘密鍵が利用され、サービス側が要求する「チャレンジ」（ランダムなデータ）に対して署名が行われます。サービス側は、事前に登録された公開鍵を使ってこの署名を検証することで、本人であることを確認します。

この仕組みにより、ユーザーは複雑なパスワードを覚える必要がなく、また、サービス提供側のサーバーには秘密鍵が保存されないため、サーバーからの情報漏洩によってアカウントを乗っ取られるリスクを大幅に低減できます。

1.2 パスワード認証の仕組みと課題

これまでインターネット上の認証の主流であったパスワード認証は、ユーザーが設定した文字列（パスワード）と、サービス提供側のサーバーに保存されたパスワード（多くはハッシュ化されたもの）を照合することで本人確認を行う仕組みです。

しかし、このパスワード認証には多くの課題が指摘されています。

  • 覚えにくさと使い回し：セキュリティを強化するためには複雑で長いパスワードが必要ですが、これはユーザーにとって覚えにくく、結果として複数のサービスでの「パスワード使い回し」の温床となります。
  • フィッシング詐欺のリスク：偽サイトに誘導され、パスワードをだまし取られるフィッシング詐欺の被害が後を絶ちません。ユーザーがフィッシングサイトと正規サイトを見分けるのは非常に困難です。
  • サーバーからの漏洩リスク：サービス提供側のサーバーがサイバー攻撃を受け、保存されているパスワード情報が漏洩するリスクがあります。ハッシュ化されていても、辞書攻撃やブルートフォース攻撃によって解読される可能性があります。
  • 入力の手間：サービスを利用するたびにパスワードを入力する手間がかかります。

これらの課題を解決するため、二段階認証や多要素認証（MFA）が普及しましたが、これらはパスワード認証の根本的な脆弱性を補うものであり、ユーザーの利便性を損なう側面もありました。

1.3 パスキーとパスワード 何が違う？

パスキーとパスワードは、どちらもユーザー認証に使われる手段ですが、仕組みやセキュリティ、使いやすさに明確な違いがあります。以下に主なポイントを簡潔に整理します。

  • 認証方式：パスキーは、デバイスに保存された秘密鍵とサーバーの公開鍵を使う「公開鍵暗号方式」を採用しています。一方パスワードは、ユーザーが記憶した文字列をサーバーに送って照合する「共有秘密方式」です。
  • 記憶の負担：パスキーは、ユーザーが秘密鍵を覚える必要がなく、生体認証やPINで端末を解錠するだけで利用可能です。パスワードは複雑な文字列を覚えて入力する必要があり、記憶・入力の手間が大きくなります。
  • フィッシング耐性：パスキーは正規のサイトでしか認証が成立しない設計のため、フィッシングに非常に強い方式です。パスワードは偽サイトにも入力できてしまうため、なりすまし被害のリスクがあります。
  • サーバー漏洩リスク：パスキーは秘密鍵をサーバーに保存しないため、万が一サーバーが攻撃されて公開鍵が漏れても、それだけで不正ログインに悪用することはできません。ただし、サーバーに登録されたメールアドレスなどの付随情報が漏洩する可能性までなくなるわけではない点には注意が必要です。パスワードはサーバー上に照合用の情報があるため、漏洩・解読のリスクが残ります。
  • 利便性：パスキーは、生体認証などで素早くログインでき、操作も簡単です。パスワードは入力ミスや再入力が多く、操作性に難があります。
  • 複数デバイスでの利用：パスキーはクラウド同期に対応した「同期パスキー」が主流となっており、複数の端末間でも利用しやすくなっています。パスワードは個別管理が必要で、都度の入力や管理が煩雑になりがちです。

このように、パスキーはパスワードが抱えていたセキュリティと利便性の両面における課題を大きく改善する認証技術です。ユーザーはパスワードを記憶する負担から解放され、より安全でスムーズなオンライン体験が可能になります。

2. パスキーはどこまで普及した？【2026年時点】

パスキーは、もはや「これから来る技術」ではありません。FIDO Allianceが2026年5月に発表した「World Passkey Day 2026」の調査（2026年4月実施、日本を含む10カ国・消費者11,000人が対象）では、パスキーの認知度は90%に達し、75%の人が少なくとも1つのアカウントでパスキーを有効化していると報告されました。同アライアンスは、世界で利用されているパスキーの総数を約50億と推定しています。認知度は2022年時点の39%から大きく伸びており、Amazon、Google、Microsoftをはじめとする主要サービスがパスキー対応を進めています。導入企業の成果をまとめたFIDO Allianceの「Passkey Index」（2025年10月版）でも、ログイン成功率の向上やサポートコスト削減といった効果が報告されています。

国内でも導入は急速に進んでいます。代表例がフリマアプリのメルカリです。メルカリは2024年9月からログイン時のパスキー認証を原則必須とする取り組みを進め、2025年5月にはパスキー登録者数が1,000万人を突破したと発表しました。同社によれば、2025年5月の発表時点で、パスキーで認証したアカウントについてフィッシングに起因する不正利用の報告はゼロとのことです。パスキーのフィッシング耐性が大規模な実運用で裏付けられた事例と言えるでしょう。

一方で、普及が進んだからこそ、「導入すればすべて解決」ではないことも明確になってきました。後述するように、運用面の注意点や、パスキーだけではカバーできない領域は依然として存在します。

3. パスキーのメリット 便利な認証の仕組み

3.1 フィッシング詐欺に強いセキュリティ

パスキーの最大のメリットの一つは、従来のパスワード認証に比べてフィッシング詐欺に対する耐性が格段に高い点にあります。

パスワード認証では、ユーザーが偽のサイトに誘導され、誤ってパスワードを入力してしまうと、その情報が攻撃者に盗まれるリスクがありました。しかし、パスキー認証では、公開鍵暗号方式と「オリジン検証」という仕組みが用いられています。

認証の際に、アクセスしようとしているウェブサイトの「オリジン」（ドメイン名）が、パスキー作成時のものと一致しているかを厳密に確認します。つまり、正規のサイト以外では認証が成立しないため、ユーザーが偽サイトにアクセスしてしまっても、そこでパスキーによる認証情報をだまし取られることは基本的にありません。前述のメルカリの事例（2025年5月時点で、パスキー認証アカウントにおけるフィッシング由来の不正利用報告ゼロ）は、この設計上の強みを実証するものです。

このセキュリティの高さは、国際的な標準規格であるWebAuthnによって担保されており、FIDO Allianceが推進する次世代の認証技術として世界的に採用が進んでいます。

3.2 複雑なパスワードを覚える必要がない利便性

現代において、私たちは数多くのオンラインサービスを利用しており、それぞれのサービスで異なる、かつ複雑なパスワードを設定することが推奨されています。しかし、これをすべて記憶し、管理することは非常に困難であり、多くのユーザーにとって大きな負担となっていました。

パスキーは、このパスワード管理の煩わしさから私たちを解放してくれます。パスキーによる認証では、ユーザーはパスワードを覚える必要がありません。代わりに、スマートフォンやPCなどのデバイスに搭載された生体認証（指紋認証や顔認証）やPINコードを使って、手軽にログインできます。

  • 記憶の必要性：パスキーであれば、ユーザーは文字列を記憶する必要がなく、生体認証やPINで簡単にログインできます。
  • 入力の手間：パスキーは端末の認証機能を使ってワンタップで認証が完了します。
  • 使い回しリスク：パスキーはサービスごとに固有の鍵ペアが生成されるため、使い回しの心配がありません。
  • ユーザー体験：パスワード忘れによるアカウントロックや再設定の手間がなくなり、シンプルで直感的な認証体験を実現します。

3.3 複数デバイスでのスムーズな利用

パスキーはデバイスに紐づく認証情報ですが、現在主流となっている「同期パスキー」では、主要なOSベンダー（Apple、Google、Microsoftなど）が提供するクラウドサービスを通じて、複数のデバイス間で同期できる仕組みが整っています。

例えば、iPhoneで作成したパスキーはiCloudキーチェーンを通じてiPadやMacでも利用できますし、Androidスマートフォンで作成したパスキーはGoogleパスワードマネージャーを通じてPCのChromeブラウザでも利用可能です。新しいデバイスを購入した場合でも、同じプラットフォームのアカウントにサインインすれば、クラウド経由でパスキーを引き継げます。

また、手元にパスキーが登録されたデバイスがない場合でも、QRコードとBluetoothを用いたクロスデバイス認証機能により、他のデバイスにあるパスキーを使ってログインすることも可能です。例えば、PCの画面に表示されたQRコードをスマートフォンでスキャンして認証する、といった使い方ができます。

4. パスキーのデメリット 「万能」ではない理由

パスキーは優れた認証技術ですが、すべての課題を解決する「万能」な仕組みではありません。ここでは、2026年時点の状況を踏まえて、「改善されつつある課題」と「いまも残る注意点」を切り分けて解説します。

4.1 デバイス・プラットフォームへの依存

パスキーの秘密鍵はデバイス（またはそれに紐づくクラウドアカウント）に保管されるため、「鍵を持つデバイス・アカウントがなければログインできない」という構造的な特徴があります。

  • デバイスの紛失・故障時のリスク：クラウド同期を設定していない端末（同期非対応のセキュリティキーや、同期をオフにした環境など）にだけパスキーを保存していた場合、その端末を失うとパスキーも失われます。同期パスキーが主流になったことでこのリスクは以前より小さくなりましたが、同期設定が有効になっているかどうかはユーザー自身が確認する必要があります。
  • エコシステムをまたぐ利用の煩雑さ：Apple、Google、Microsoftといった異なるプラットフォームを併用している場合（例：iPhoneとWindows PC）、パスキーが自動的には行き来しない場面が残っています。クロスデバイス認証（QRコード）で補えますが、毎回スマートフォンを取り出す手間はかかります。
  • 職場・家庭での端末環境の差：会社支給のPCではクラウド同期が制限されているなど、環境によっては同期パスキーの恩恵を受けられないケースもあります。

パスキーは「デバイス（とクラウドアカウント）に鍵がある」状態であるため、その管理が重要になる点は現在も変わりません。

4.2 共有・移行・復旧の難しさ——大きく改善しつつある課題

本記事の公開当初（2025年6月）、パスキーの大きなデメリットとして「他人と共有できない」「別の管理ツールへ移行できない」「失ったときの復旧が難しい」という点を挙げていました。これらは2025〜2026年にかけての標準化とOS実装の進展により、大きく状況が変わっています。

まず「共有」について。Appleのデバイスでは、iOS 17以降、AirDropを使って信頼できる相手にパスキーを安全に受け渡したり、「共有パスワードグループ」で家族やチームとパスキーを共有したりできるようになっています。動画配信サービスの家族アカウントのような用途でも、以前ほどの不便はなくなりつつあります。

次に「移行」について。かつては「iCloudキーチェーンに保存したパスキーはAppleのエコシステムから出せない」というベンダーロックインが課題でしたが、FIDO Allianceが標準化を進める「Credential Exchange」仕様（CXP/CXF）により、パスワードマネージャー間でパスキーを安全にエクスポート・インポートする道が開かれました。2025年発表のiOS 26/macOS 26では、この仕様に基づくパスキーのエクスポート（対応するパスワードマネージャーへの移行）がOSレベルで実装されています。

最後に「復旧」について。同期パスキーであれば、端末を紛失しても同じプラットフォームのアカウント（Apple Account、Googleアカウントなど）にサインインし直すことで復旧できます。「パスキーを失う＝アカウントを失う」という初期の懸念は、多くのケースで当てはまらなくなりました。

ただし、以下の条件付きの注意点は残ります。

  • 共有・エクスポート機能は、対応するOSバージョン・パスワードマネージャーの組み合わせでのみ利用できます。古い端末や非対応の管理ツールでは、従来どおり「作り直し」が現実的な選択肢です。
  • クラウド同期に依存する分、プラットフォームのアカウント自体を失った場合（アカウントロック、アクセス手段の喪失など）の影響は大きくなります。
  • サービス側の設計によっては、パスキーを失った際の再登録・復旧の導線が分かりにくい場合があります。この「復旧・再登録の導線」こそが、パスキー運用の実質的な弱点になり得ます（詳しくは関連記事で解説しています）。

「共有・移行・復旧が一切できない」という理解はすでに古く、「対応環境なら可能。ただし条件と復旧導線の設計に注意」というのが2026年時点の正確な姿です。

4.3 サービス側の対応格差とフォールバックの問題

パスキーの安全性は、それを導入するサービス側の実装品質にも左右されます。

  • 対応状況の差：パスキーに対応していても、ログインの一部でしか使えない、復旧手段が整備されていない、といったサービスはまだ存在します。
  • フォールバック経路の存在：多くのサービスは、パスキーを使えないユーザーのためにパスワードやSMS認証などの代替手段（フォールバック）を残しています。攻撃者はパスキーそのものではなく、この弱い代替経路や、パスキーの「登録・再登録」の工程を狙います。パスキーを導入していても、入口と出口（登録と復旧）が弱ければ、そこが攻撃対象になるのです。

つまり「パスキー対応＝そのサービスが安全」とは限らない、という視点が重要です。

4.4 パスキーが盗まれた・悪用された場合のセキュリティリスク

パスキーはフィッシング詐欺に強い方式ですが、「リスクフリー」ではありません。

  • デバイスの物理的な盗難・ロック突破：パスキーが保存されているデバイスが盗難に遭い、生体認証やPINコードによるロックが突破された場合、デバイス内のパスキーが不正に利用される可能性があります。肩越しにPINを盗み見てからスマートフォンを奪う、といった手口では、生体認証の代替としてPINが使われてしまう点に注意が必要です。
  • クラウドアカウントの乗っ取り：パスキーをクラウドで同期している場合、そのプラットフォームのアカウント自体が乗っ取られると、同期されているパスキーがまとめて危険にさらされる可能性があります。同期の起点となるApple Account・Googleアカウントなどには、最も強固な保護（強力な多要素認証など）を設定しておくことが重要です。
  • マルウェア感染時のリスク：デバイスがマルウェアに感染した場合のリスクも指摘されています。同期パスキーの秘密鍵はOSのセキュアな領域で保護されており、パスワードのようにファイルとして直接盗み出すことは困難とされていますが、感染した端末上では認証後のセッション（ログイン状態）を乗っ取られるなど、パスキーの保護をすり抜ける形の攻撃は成立し得ます。

パスキーは「パスワードレス」を実現しますが、デバイス自体のセキュリティ対策（最新のOSアップデート、強力なデバイスロック設定、不審なアプリを入れないこと）と、同期に使うクラウドアカウントの保護を怠らないことが極めて重要です。

5. もう一つの選択肢──電話番号認証×端末認証「Infront Security」とは？

ここまで見てきたように、パスキーは大きく進化した一方で、プラットフォーム依存や復旧導線の設計、フォールバック経路の弱さといった運用面の課題は残っています。こうした課題を補完し、パスキーではカバーしきれないユーザー・環境にも対応できる認証方式として、多くの企業やサービスで導入が進んでいるのが「Infront Security」です。

5.1 「電話番号＋端末認証」の二要素認証による安全性

パスキーが「デバイスと生体認証」を軸にした認証方式であるのに対し、Infront Securityは「電話番号」と「端末情報」を用いた二要素認証を採用しています。

この仕組みでは、ユーザーが発信した電話番号と、発信時に使われた端末情報の一致によって本人確認が行われます。

端末情報は偽造が非常に難しく、登録された端末以外からはログインできない設計となっています。さらに、認証に専用の電話網を利用するという特性上、インターネット経由での攻撃が極めて困難である点も大きな特徴です。

これらの認証方法は、Infront Securityの特許技術に基づくものであり、独自性の高い認証ソリューションです。

5.2 パスワードもSMSも使わない、直感的な認証フロー

Infront Securityの認証手順は、非常にシンプルかつ直感的です。

初回は画面に表示される専用のフリーダイヤルに電話をかけるだけで認証が完了し、自動で通話は切断されます。通話料は発生せず、会話も不要なため、ストレスなく利用できるのが特長です。2回目以降は電話番号の入力だけでログインが可能となります。端末情報が記録・照合されることで、再認証の際に手間をかけずに済む仕組みです。

特に注目すべきは、高齢者やITに不慣れなユーザーにも優しい設計である点です。パスワードのように記憶や入力を求められることがなく、SMS認証のようにコードを転記する必要もないため、スマートフォンの操作に不慣れな方にも使いやすいUI/UXを実現しています。パスキーの利用が難しい端末環境のユーザーへのフォールバック手段としても、SMS認証より安全な選択肢となります。

5.3 不正アクセスのリスクを構造的に抑える仕組み

Infront Securityは、SIMスワップ詐欺やフィッシング詐欺といった現代的な脅威に対しても強い耐性を持っています。

これは、通信キャリアが管理する電話網という、インターネットとは別経路のネットワークを認証に利用していることが大きな理由です。また、認証には実際の音声通話による発信記録が残るため、不正なログインが行われた際の追跡が容易です。

SMS認証のように「なりすまし」が可能な手段とは異なり、物理的に発信できる端末と、端末情報が一致していなければ認証されないため、不正アクセスのリスクは極めて低く抑えられます。

6. まとめ

パスキーは、パスワード認証が抱える多くの課題を解決する認証方式として、世界の認知度が9割に達し、国内でもメルカリのように1,000万人規模で運用される段階に入りました。かつて指摘された「共有・移行・復旧の難しさ」も、共有グループやCredential Exchange（CXP/CXF）対応の進展により、着実に改善が進んでいます。

一方で、プラットフォームへの依存、サービス側の実装・復旧導線の格差、デバイスやクラウドアカウントが侵害された場合のリスクなど、パスキーだけでは埋めきれない領域は残っています。

こうした課題を補完する認証手段として注目されているのが、電話番号と端末情報を組み合わせた「Infront Security」です。直感的な操作性と高いセキュリティ性を両立したこの仕組みは、パスキーと並ぶ“もう一つの選択肢”として、多様なユーザーにとって有効な手段となり得るでしょう。

それぞれの認証方式の特性を理解し、自分の利用環境に合った方法を選ぶことが、安全かつ快適なオンライン利用への第一歩です。

不正は劇的に、ユーザーは快適に。Infront Security。

更新履歴

  • 2026年7月17日: パスキーの普及状況（FIDO Alliance「World Passkey Day 2026」調査、メルカリのパスキー登録1,000万人突破〈2025年5月発表〉）を追記しました。iOS 26/macOS 26で実装されたCredential Exchange（CXP/CXF）によるパスキーの移行対応や、AirDrop・共有グループによる共有機能を踏まえ、「共有・移行・復旧の難しさ」に関する記述を最新の状況に更新しました。あわせて一部の表現を見直しました。
  • 2025年6月26日: 記事を公開しました。

参考資料

記事一覧へ戻る

認証のお悩みを
オンラインで無料相談

まずは相談する