セキュリティキーとは？2つの意味と仕組み・使い方・選び方をわかりやすく解説

アカウントのログイン画面やセキュリティ設定で「セキュリティキー」という言葉に出くわし、それが何を指すのか分からず調べていませんか。会社のシステムで導入を求められた担当者もいれば、証券口座やスマートフォンの設定をいじっていて目にした方もいるはずです。

やっかいなのは、「セキュリティキー」という言葉が場面によって2つの別物を指すことです。ひとつは本人確認に使う小さな物理デバイス、もうひとつはWi-Fiに接続するためのパスワードで、どちらを探しているかによって必要な情報がまったく変わります。

本記事では、まず「セキュリティキーとは何か」を一言で整理し、2つの意味を切り分けたうえで、主に認証用の物理セキュリティキー（FIDO2に対応したハードウェアの鍵）について、仕組み・使い方・入手方法・選び方をやさしく解説します。あわせて、パスキーとの違いや、企業が全社で導入する際の進め方まで整理しました。自分に必要な情報がどこにあるかを確かめながら読み進めてください。

セキュリティキーとは？まず結論と「2つの意味」を整理

はじめに、結論からお伝えします。セキュリティキーとは、パソコンやスマートフォンに挿したり、かざしたりして本人確認をおこなう、小さな物理デバイスのことです。そのうえで、同じ言葉が指す2つの意味を切り分け、自分がどちらを探しているのかを判断できるようにします。

物理セキュリティキー（認証用デバイス）とは

セキュリティキーとは、パソコンやスマートフォンにUSBで挿したり、NFCでかざしたりして本人確認をおこなう、小さな物理デバイスです。見た目はUSBメモリやカードに近く、ログイン時にIDとパスワードの代わり、あるいはパスワードに追加する「もう一つの鍵」として使います。

技術的には、FIDO2（ファイドツー）／WebAuthn（ウェブオースン）という国際的な認証標準にもとづいて動きます。鍵そのものを手に持っていないとログインできないため、遠く離れた攻撃者がパスワードだけを盗んでもアカウントに入れない、という考え方の認証方式です。

この記事で主に扱うのは、こちらの「認証用の物理セキュリティキー」です。YubiKey（ユビキー）に代表される製品がこれにあたります。

もう一つの意味「ネットワークセキュリティキー（Wi-Fiパスワード）」との違い

一方で、「ネットワークセキュリティキー」と表示される場面もあります。これはWi-Fiに接続するときに入力するパスワードのことで、認証用の物理デバイスとはまったくの別物です。パソコンやスマートフォンをWi-Fiにつなぐ際に「ネットワークセキュリティキーを入力してください」と求められた場合は、こちらを指しています。

呼び方	指すもの	使う場面
物理セキュリティキー（本記事の主題）	USB・NFCで挿す/かざす認証用デバイス	アカウントへのログイン・多要素認証
ネットワークセキュリティキー	Wi-Fi接続用のパスワード	無線LANへの接続

Wi-Fiのパスワード（ネットワークセキュリティキー）を確認したい場合は、ルーター本体の側面や底面に記載されたラベル、またはパソコン・スマートフォンのWi-Fi設定画面から確認できます。この記事ではこれ以上は扱いませんので、Wi-Fiのパスワードを探していた方は、お使いの端末やルーターの確認方法を調べてみてください。

ここから先は、認証用の物理セキュリティキーについて掘り下げます。

なぜ物理セキュリティキーが必要なのか（パスワードの限界とフィッシング耐性）

ここからは、なぜパスワードだけでは危ないのか、そして物理セキュリティキーがあると何が変わるのかを、仕組みから解説します。

パスワードだけでは防ぎきれない攻撃

パスワードは「知っている情報」なので、盗まれたり推測されたりすると、そのまま他人にログインされてしまいます。とくに近年は、本物そっくりの偽サイトへ誘導してIDとパスワードを入力させるフィッシングや、どこかで漏れたパスワードを使い回しの別サービスで試すリスト型攻撃が広く使われています。

フィッシングの被害は増え続けています。フィッシング対策協議会への報告件数は、2025年の年間で過去最多の2,454,297件にのぼり、前年比で約1.43倍となりました。2026年7月単月でも66,119件が報告されています。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、個人向けの脅威として「フィッシングによる個人情報等の詐取」が8年連続で選ばれています。

出典・参考資料（3件）

• 出典：フィッシングレポート 2026（2025年 年間報告件数 2,454,297件）｜フィッシング対策協議会
• 出典：2026/07 フィッシング報告状況（月間66,119件）｜フィッシング対策協議会
• 出典：情報セキュリティ10大脅威 2026｜独立行政法人 情報処理推進機構（IPA）

ワンタイムパスワードをSMSや認証アプリで受け取る方法も、偽サイトに誘導された利用者がその場でコードを入力してしまうと、攻撃者に中継されて突破されることがあります。パスワードや手入力のコードに頼るかぎり、利用者が「うっかり偽サイトに入力する」余地が残るのが根本的な弱点です。

物理キーの仕組み（FIDO2／WebAuthnで秘密鍵が外に出ない）

物理セキュリティキーは、公開鍵暗号という仕組みを使います。鍵の中でペアになる「秘密鍵」と「公開鍵」を作り、公開鍵だけをサービス側に登録します。ログイン時は、サービスから届いた要求に対してキー内部の秘密鍵で署名を返し、サービスは登録済みの公開鍵で正しさを確かめます。

公開鍵は誰に見られてもかまわない「南京錠」、秘密鍵はその南京錠を開けられる唯一の「鍵」にあたる、とたとえると分かりやすくなります。南京錠（公開鍵）はサービスに預けて共有しますが、鍵（秘密鍵）は手元のキー本体にしか存在しません。南京錠をいくら眺めても合鍵を作れないのと同じで、公開鍵から秘密鍵を割り出すことはできない、という関係です。

重要なのは、秘密鍵がキーの中から外に出ない点です。パスワードのように入力してネットワークへ送る情報がないため、通信を盗み見られても認証を再現できません。この「鍵が特定のサイトにしか使えない」性質は、認証の国際標準WebAuthn（W3C勧告。原文は英語）で次のように定められています。

Subsequently, the public key credential can only be accessed by origins belonging to that Relying Party. This scoping is enforced jointly by conforming User Agents and authenticators.

出典：Web Authentication: An API for accessing Public Key Credentials – Level 2（W3C Recommendation）｜W3C

これは「公開鍵で作られた鍵は、登録した正規サイト（Relying Party＝サービス提供者）に属するアドレスからしか呼び出せない」という意味です。裏を返せば、偽サイトのドメインからはそもそも鍵を利用できません。利用者が誤って偽サイトを開いても、鍵が正しい署名を返さないため認証が成立せず、これが物理セキュリティキーがフィッシングに強いとされる技術的な理由です。

導入で得られること（フィッシング耐性・認証の手間軽減・紛失時のリスクの低さ）

物理セキュリティキーを使う利点は、大きく3つに整理できます。1つ目は、これまで見たとおりフィッシングや中間者攻撃に強いことです。パスワードやSMSコードのように「盗んで悪用する」対象がネットワーク上に流れません。

2つ目は、日々の認証がむしろ手軽になることです。キーを挿す（かざす）だけ、または指紋やPIN（暗証番号）を添えるだけでログインでき、複雑なパスワードを覚えて打ち込む手間がなくなります。ログインの多い現場ほど、この時間短縮の効果は大きくなります。

3つ目に挙げられるのが、紛失したときのリスクの低さです。多くのキーはPINや指紋と組み合わせて使うため、拾った第三者がキー単体で悪用するのは困難です。加えて、鍵の登録は各サービス側で解除でき、予備のキーを別に登録しておけばアカウントから締め出される事態も避けられます。

セキュリティキーの使い方と入手方法

ここからは、実際にどう使い、どこで手に入れ、いくらぐらいかかるのかを具体的に見ていきます。

実物の姿と「挿す／かざす」操作

物理セキュリティキーの多くは、USBメモリほどの大きさで、キーホルダーに付けて持ち運べます。パソコンのUSBポートに挿して使うタイプが基本で、スマートフォン向けにNFC（かざして通信する近距離無線）やUSB-C、Lightningに対応したモデルもあります。

操作はシンプルで、ログイン画面で認証を求められたらキーを挿す（またはかざす）だけです。指紋センサー付きのモデルは指を触れる、PINを設定したモデルは数字を入力する、といった一手間が加わることで、キー単体を持っているだけでは認証できないようになっています。

初期設定 → サービスへの登録 → 日々の認証の流れ

使い始めの流れは、サービスをまたいでおおむね共通しています。まずキーにPIN（暗証番号）を設定し、次に、利用したいサービス（GoogleやMicrosoft、社内システムなど）のセキュリティ設定画面で「セキュリティキーを追加」を選びます。

続いて画面の指示に従ってキーを挿す（またはかざす）と、最後に本体のボタンやセンサーに触れて登録が確定します。この登録作業は、サービスごとに一度おこなう必要があります。

登録が済めば、以降のログインはキーを挿す（かざす）だけです。具体的な登録手順は各サービスの公式ヘルプに案内があるので、実際に登録するときはお使いのサービスの手順に沿って進めてください。予備のキーも同じ手順で登録しておくと、万一の紛失時にも安心です。

どこで手に入る・価格帯の目安

個人で使う場合は、メーカーの公式ストアや大手ECサイトで購入できます。

FIDO2に対応した代表的な製品には、YubicoのYubiKey 5シリーズやFIDO認証に特化した「Security Key」シリーズ、指紋センサーを備えた「YubiKey Bio」などがあります。ほかにもSwissbitのiShield Keyやグーグルのタイタン セキュリティキーなど、複数のメーカーから選べます。

価格はモデルや販売店によって幅がありますが、FIDO認証に特化したエントリーモデルで数千円程度、多機能モデルや指紋認証付きの上位モデルで1万円前後から1万数千円程度が目安です（変動するため、購入時点の各販売ページで最新価格を確認してください）。

まずPCでの利用が中心なら端子（USB-A／USB-C）の合うベーシックなFIDO2キー、スマートフォンでも使うならNFC対応モデル、共用PCで使うなら生体認証付きモデル、というように、対応端子やNFCの有無、生体認証の要否といった観点で絞り込むと迷いにくくなります。

企業で全社員に配る場合は、単体購入だけでなく、キーの調達・初期設定・故障交換までをまとめて任せられるサブスクリプション型の導入サービスもあります。台数が多い場合の選択肢は、記事後半の「企業での全社導入」で整理します。

物理セキュリティキーとパスキーの違い・使い分け

セキュリティキーを調べていると、必ずといってよいほど「パスキー」という言葉に出会います。両者は近い関係にあるため、ここで違いと使い分けを整理しておきます。

パスキーも物理セキュリティキーも、どちらもFIDO2／WebAuthnという同じ標準にもとづく認証です。大きな違いは「鍵をどこに持つか」にあります。物理セキュリティキーは専用のハードウェアに鍵を保管するのに対し、パスキーはスマートフォンやパソコンなど、手元のデバイスの中に鍵を持ち、クラウド経由で複数の端末に同期できるものもあります。

観点	物理セキュリティキー	パスキー
鍵の保管場所	専用のハードウェア（USB/NFCキー）	スマートフォン・パソコンなどのデバイス内
持ち運び・共有	キー1本を持ち歩く。端末を選ばず使える	デバイスに紐づく。同期対応なら複数端末で使える
向いている場面	スマホを使えない環境、特権・管理者アカウントの厳格な保護	個人や一般社員の日常的なログインの利便性重視

使い分けの考え方はシンプルです。スマートフォンを業務で使える一般社員には、利便性の高いパスキーが向いています。一方、スマホを持ち込めない現場や、乗っ取られた際の影響が大きい管理者・特権アカウントには、耐タンパー性（内部の鍵を物理的に取り出しにくい性質）のある物理キーが適しています。どちらか一方に決める必要はなく、守りたい対象に応じて配分するのが現実的です。

セキュリティキーの選び方（6つの軸）

物理セキュリティキーは製品ごとに対応する規格や形状が異なります。自分の環境に合う1本を選ぶために、次の6つの軸で確認すると迷いにくくなります。

• 認証方式：PINを入力するタイプか、指紋センサー付き（生体認証）タイプか。共用PCでは生体認証、コストを抑えるならPINタイプが候補になります。
• 端子の形状：使う端末に合わせてUSB-A・USB-C・Lightningを選びます。手持ちのパソコン・スマートフォンのポートを確認しておくと失敗がありません。
• NFCの有無：スマートフォンにかざして使いたい場合はNFC対応が必要です。PCだけで使うなら必須ではありません。
• 対応サービス：使いたいサービス（Google・Microsoft・社内システムなど）がそのキーの規格に対応しているかを確認します。FIDO2対応のサービスなら幅広く使えます。
• 価格：機能が増えるほど高くなります。必要な機能に絞れば費用を抑えられます。
• 利用シーン：個人用か共用PCか、屋外の現場で使うかで、耐久性や生体認証の要否が変わります。過酷な環境で使うなら防水・防塵に強いモデルが向きます。

導入前に押さえる注意点（紛失・初期費用・バックアップキー）

便利な物理セキュリティキーにも、事前に理解しておきたい点があります。まず紛失への備えです。キーを1本しか登録していないと、失くした際にアカウントへ入れなくなるため、予備のキーを別に登録しておくのが基本の運用です。

次に初期費用です。キー本体の購入費に加え、企業導入では利用者への配布や設定の手間もかかります。導入規模が大きいほど、この運用コストを見込んでおく必要があります。裏を返せば、こうした調達・配布・交換の手間を軽くする仕組みが、後述の導入サービスの価値になります。

企業でセキュリティキーを全社導入するには

ここからは、企業が物理セキュリティキーを全社的に導入する場合の進め方と選択肢を整理します。個人で1〜数本を使う分には前章までの内容で十分なので、以降は主に、導入を検討する企業の担当者に向けた内容です。個人が1本買うのと、数百人・数千人へ配るのとでは、考えるべきことが大きく変わります。

全社導入では、キー本体の調達に加えて、利用者への一括配布・在庫や予備キーの管理・紛失時のヘルプデスク対応・退職者からの回収といった運用が発生します。さらに、既存のID基盤（IdP／シングルサインオン）と連携させ、Google WorkspaceやMicrosoft 365など複数のサービスへのログインを一括で強化する設計も必要になります。

これらを情報システム部門が自前で回すのは負担が大きく、つまずきやすいポイントでもあります。

そこで選択肢になるのが、キーの調達から初期設定、故障・紛失時の交換、導入支援までをまとめて提供する導入サービスです。物理キーを買い切り（資産）で持つのではなく、月額・年額のサブスクリプション（運用費）として導入でき、専任担当による全社展開の支援を受けられるものもあります。以下では、物理キーの全社導入に対応する代表的なサービスを紹介します。

ここで取り上げた2サービスは、物理キーの全社導入に強みのある選択肢です。物理キーに限らず、認証方式やタイプ、料金といった観点から多要素認証（MFA）システム全体を見比べて検討したい場合は、以下の記事で主要サービスの選び方を詳しく解説しています。

YubiKey as a Service（株式会社インターナショナルシステムリサーチ）

物理セキュリティキー「YubiKey」を、買い切りではなくサブスクリプション型で全社導入できるのがYubiKey as a Serviceです。株式会社インターナショナルシステムリサーチ（ISR）が提供し、キー本体だけでなく、導入前の選定から初期設定、導入後の継続サポートまでを一体にした運用代行型のサービスとして設計されています。

YubiKeyはFIDO2／WebAuthnをはじめ、PIV（スマートカード）やOTPなど複数の認証規格に対応した物理キーです。契約期間中の予備キーの提供や、キー種類の変更、専任担当者による全社展開の支援が含まれ、調達・配布・交換といった運用の手間を軽くできる点が、買い切りモデルとの違いです。スマートフォンを支給・持ち込みしにくい現場でも、物理キーで確実な多要素認証を展開できます。

料金は選ぶキーの種類や配布条件、サポート内容に応じて個別見積りとなります（提供内容・条件は資料でご確認ください）。派遣社員や外部委託先が多い企業、医療・製造・コールセンターなど過酷な環境や交代制の現場を抱える組織に適しています。

実際にどのような課題から物理キーの導入が相談されるのか、提供元のISRはインタビューで次のように述べています。

CloudGate UNO（株式会社インターナショナルシステムリサーチ）

CloudGate UNOは、複数のクラウドサービスへのログインを一度の認証にまとめるIDaaS（クラウド型のID管理基盤）です。FIDO2／パスキーに対応した物理セキュリティキーを認証手段として組み込め、シングルサインオン（SSO）と一体で物理キーを全社展開したい企業に向いています。

パスキー認証は全プラン・全ユーザーで利用でき、生体認証やワンタイムパスワードと組み合わせた多要素認証、IPアドレスやデバイスによるアクセス制限も設定できます。物理キーによるパスワードレス認証を、SSOやアクセス制御と束ねて運用したい企業に適した構成です。USBセキュリティキーのサブスクリプションを付帯するプランも用意されています。

料金はStandard Plusが月額400円から（税抜・ユーザー単位）で、上位プランでActive Directory連携やデバイス証明書などに対応します。30日間の無料トライアルが用意され、情報セキュリティマネジメントの国際規格ISMS（ISO/IEC 27001）も取得しています（2026年8月時点、詳細は資料でご確認ください）。

パスワードレス認証への移行が日々の運用にどう影響するのか、提供元のISRはインタビューで導入企業に生じた変化に触れています。

まとめ

セキュリティキーには、認証用の物理デバイスと、Wi-Fi接続用のパスワード（ネットワークセキュリティキー）という2つの意味があります。本記事で扱った物理セキュリティキーは、FIDO2／WebAuthnにもとづき、秘密鍵を外に出さない仕組みでフィッシングに強い認証を実現します。

個人なら公式ストアやECサイトで数千円台から入手でき、認証方式・端子・NFC・対応サービス・価格・利用シーンの6つの軸で選べば失敗しにくくなります。

企業で全社導入する場合は、調達・配布・交換や既存ID基盤との連携を含めて設計する必要があり、サブスクリプション型の導入サービスやSSOと一体の基盤を活用すると運用負担を抑えられます。用途に応じてパスキーと組み合わせれば、利便性と強固な保護を両立できます。

よくある質問（FAQ）

Q. セキュリティキーとは何ですか？

A. セキュリティキーとは、パソコンやスマートフォンにUSBで挿したり、NFCでかざしたりして本人確認をおこなう、小さな物理デバイスです。FIDO2／WebAuthnという国際的な認証標準にもとづいて動き、パスワードの代わり、あるいはパスワードに追加する「もう一つの鍵」として使います。

同じ「セキュリティキー」という言葉でも、Wi-Fi接続用のパスワード（ネットワークセキュリティキー）を指す場合があり、本記事が扱うのは前者の認証用デバイスです。

Q. スマホやパソコンに表示される「ネットワークセキュリティキー」は物理セキュリティキーと同じですか？

A. ネットワークセキュリティキーは物理セキュリティキーとは別物で、Wi-Fiに接続するときに入力するパスワードのことです。端末やルーターで「ネットワークセキュリティキーを入力してください」と求められた場合は、無線LANの接続パスワードを指しており、認証用の物理デバイスとは関係ありません。ルーター本体の側面や底面のラベル、またはパソコン・スマートフォンのWi-Fi設定画面から確認できます。

Q. 物理セキュリティキーとパスキーはどちらを選べばよいですか？

A. 物理セキュリティキーとパスキーは二者択一ではなく、守りたい対象に応じて使い分けるのが現実的です。どちらも同じFIDO2／WebAuthnにもとづく認証で、違いは「鍵をどこに持つか」にあります。

スマートフォンを業務で使える一般社員には利便性の高いパスキーを、スマホを持ち込めない現場や、乗っ取られた際の影響が大きい管理者・特権アカウントには耐タンパー性のある物理キーを、という組み合わせが目安になります。

Q. 物理セキュリティキーはどんなサービスで使えますか？

A. 物理セキュリティキーは、GoogleやMicrosoft、Appleなど、FIDO2／WebAuthnに対応した幅広いサービスで利用できます。社内システムでも、対応していれば同じキーを登録して使えます。使いたいサービスがそのキーの規格に対応しているかは、各サービスのセキュリティ設定やヘルプで確認できます。1本のキーを複数のサービスに登録して使い回すこともできます。

Q. 物理セキュリティキーはスマートフォンでも使えますか？

A. スマートフォンでも、NFC対応モデルをかざす、またはUSB-C・Lightning対応モデルを挿すことで利用できます。パソコンのUSBポートに挿して使うタイプが基本ですが、スマホで使いたい場合は、手持ちの端末の接続方式（NFCの有無・端子の形状）に合ったモデルを選ぶ必要があります。購入前に、使う端末のポートやNFC対応を確認しておくと失敗がありません。

Q. 物理セキュリティキーはいくらで購入できますか？

A. FIDO認証に特化したエントリーモデルで数千円程度、指紋認証付きや多機能の上位モデルで1万円前後から1万数千円程度が目安です。YubiKey 5シリーズやSecurity Keyシリーズなど、メーカーの公式ストアや大手ECサイトで入手できます。価格はモデルや機能によって幅があり変動するため、購入時点の各販売ページで最新価格を確認してください。

企業でまとめて導入する場合は、単体購入のほか、月額・年額のサブスクリプション型で調達から運用まで任せられるサービスもあります。

Q. 物理セキュリティキーを紛失したらどうなりますか？

A. キー単体を拾われても、多くはPINや指紋と組み合わせて使うため第三者がすぐに悪用するのは困難で、内部の秘密鍵も取り出せない構造になっています。紛失した際は、各サービスのセキュリティ設定からそのキーの登録を解除すれば、不正利用を防げます。万一に備えて予備のキーをあらかじめ別に登録しておけば、アカウントから締め出される事態も避けられます。予備キーの登録は、紛失対策の基本の運用です。

Q. 物理セキュリティキーのPINを忘れたり、間違え続けたりしたらどうなりますか？

A. 多くの物理セキュリティキーは、PINを一定回数連続で間違えるとロックされ、解除にはキーのリセットが必要になります。リセットするとキー内部の認証情報が消えるため、利用中の各サービスへ登録し直す作業が発生します。PINを忘れた場合も同様にリセットが必要になることが多いため、予備キーの登録とあわせて、PINは確実に管理しておくことが大切です（具体的な回数や手順は製品によって異なります）。

Q. 企業で物理セキュリティキーを全社導入するにはどうすればよいですか？

A. キー本体の調達だけでなく、一括配布・在庫や予備キーの管理・紛失時のヘルプデスク対応・退職者からの回収・既存ID基盤（IdP／SSO）との連携までを設計する必要があります。これらを情報システム部門が自前で回すのは負担が大きいため、調達から初期設定、故障・紛失時の交換、導入支援までをまとめて提供するサービスを使う選択肢があります。

買い切りではなく月額・年額のサブスクリプションで導入し、Google WorkspaceやMicrosoft 365など複数サービスのログインを一括で強化できる構成もあります。

多要素認証（MFA）システムの料金・資料を一括チェック

MCB FinTechカタログでは、多要素認証（MFA）システムやセキュリティキー導入サービスの最新資料をまとめて請求できます。物理セキュリティキーの全社導入やパスワードレス認証を検討している場合は、複数サービスの資料を横断で比較して、自社の環境に合う認証基盤を見極める材料としてご活用ください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。