ログインのたびに届くSMSのコードや、認証アプリのワンタイムパスワード。多くの企業がこうした多要素認証（MFA）で不正ログインを防いでいますが、最近は「パスキー」という言葉を目にする機会が増えました。マイクロソフトもMicrosoft Entra IDでSMSや音声による認証をパスキーへ切り替える方針を公表しており、パスキーへの対応は情報システム担当にとって身近な検討課題になりつつあります。
一方で、「パスキーはパスワードを使わないのに、多要素認証より安全なのか」「パスキーにするとMFAをやめることになるのか」といった疑問も生まれています。パスキーと多要素認証は対立するものではありませんが、言葉だけが先行して関係がつかみにくいのが実情です。
本記事では、パスキーと多要素認証の関係、パスキーがフィッシングに強い仕組み、そして自社の認証をパスキーへ移していくときの考え方を順に整理します。読み終えるころには、パスキーが多要素認証とどう結びつくのかを自分の言葉で説明でき、自社で何から始めればよいかの見当がつく状態を目指します。
目次
一括ダウンロードする
パスキーはMFA（多要素認証）なのか？結論と両者の関係
まず結論からお伝えします。パスキーは多要素認証を置き換えるものではなく、それ自体が多要素認証として働きます。生体認証やPINによる本人確認を伴うパスキーは、所持（デバイスに保存された秘密鍵）と、生体認証またはPINによる本人確認という2種類の要素を、1回の操作で同時に満たすからです。FIDOアライアンスも、パスキーを複数の要素を用いる認証方式として位置づけています。
出典・参考資料（1件）
「パスキーはパスワードを使わない＝認証が1要素になって弱くなるのでは」と受け取られることがありますが、これは誤解です。パスキーは、手元のデバイスという「持っているもの」と、指紋・顔・PINによる本人確認を組み合わせて使うため、パスワードという1つの要素を、より強い2要素の組み合わせに置き換えるものだと捉えられます。
「同じ1台のスマートフォンに両方が入っているなら、結局1つではないか」という疑問もあります。しかしパスキーの秘密鍵は端末内の安全な領域に保管され、使うたびにその場で生体認証やPINによる本人確認が求められます。端末を物理的に奪っただけ、PINを知っているだけでは認証は完成しません。
本記事で「生体認証やPINを伴う」と断っているのは、企業で配布・利用するパスキーは通常この本人確認を前提としているためです。この前提のもとで、パスキーは所持と本人確認の2つの要素がそろう多要素認証として働きます。
認証の3要素（知識・所持・生体）とパスキーが満たす要素
多要素認証は、性質の異なる複数の要素を組み合わせて本人を確認する考え方です。認証に使う要素は、大きく次の3種類に分けられます。それぞれがパスキーのどこに対応するかを合わせて見ると、パスキーが多要素である理由が具体的に見えてきます。
| 認証要素 | 知識（知っているもの） | 所持（持っているもの） | 生体（本人の特徴） |
|---|---|---|---|
| 具体例 | パスワード、PIN、秘密の質問 | スマートフォン、ICカード、物理セキュリティキー | 指紋、顔、静脈 |
| パスキーでの位置づけ | デバイスのロック解除に使うPINがこれにあたる | 秘密鍵を保存した端末やセキュリティキーそのもの | 端末の指紋・顔認証による本人確認 |
※認証要素の区分は一般的な整理です。
重要なのは、1つの認証器が2つの要素を1回の認証でまとめて満たしてもよい、という点です。米国国立標準技術研究所（NIST）のガイドライン「SP 800-63B」も、多要素認証器を1回の認証で2つの要素を使うものと定義しています。
パスキーは、端末を持っていること（所持）と、その端末で指紋・顔・PINを確認すること（生体または知識の要素）を1回の操作で同時に求めるため、この定義に沿った多要素認証として成立します。
2段階認証・パスワードレスとの違い
パスキーの位置づけを正しくつかむには、似た言葉との違いを押さえておくと役立ちます。混同しやすいのは「2段階認証」と「パスワードレス」です。
2段階認証は、認証を「2つの手順」に分ける考え方です。これに対して多要素認証は、「要素の種類」が異なる組み合わせを求める考え方で、観点が違います。パスワードを入力したあとに同じパスワード系列の秘密を再度問うだけなら、2段階ではあっても、要素の種類は増えていません。パスワードのあとにSMSのコードを求める方式は、2段階であり、かつ知識と所持という別の要素を使うため多要素でもあります。
パスワードレスは、その名のとおりパスワードを使わないことを指します。これは「要素の種類」の話ではなく、「パスワードという知識要素に頼らない」という方式の選択です。
パスキーはパスワードレスでありながら、所持と生体・PINという2要素を組み合わせるため、パスワードレスと多要素認証の両方を同時に満たします。「パスキーにするとMFAをやめることになる」のではなく、パスワードを使わない形で多要素認証を実現するのがパスキーだと整理できます。
ここではパスキーとの関係を押さえるために多要素認証の要点に絞って触れました。多要素認証そのものの仕組みや、SMS・認証アプリ・生体認証といった方式ごとの違いを基礎から確認したい場合は、次の記事で詳しく解説しています。
なぜパスキーはフィッシングに強いのか（今のSMS・認証アプリとの違い）
パスキーがフィッシング対策として挙げられる最大の理由は、その耐性の高さにあります。ここでは、今使われているSMSや認証アプリがどこで破られるのか、そしてパスキーが何によってそれを防ぐのかを、仕組みの面から見ていきます。
SMS・認証アプリ・プッシュ通知が破られる経路
多要素認証を入れていても、使っている方式によっては突破される経路があります。代表的なものが、偽サイトを使った中間者攻撃（AiTM）です。マイクロソフトの解説によると、攻撃者は本物そっくりの偽サイトへ利用者を誘い込み、入力されたIDやワンタイムコードをそのまま本物の認証基盤へ中継します。
認証基盤は正規のログインと判断して有効なトークンを発行し、それを攻撃者が受け取ることでアカウントが乗っ取られます。この手口は、SMSでも認証アプリでもプッシュ通知でも、利用者が入力・承認した情報を中継できる方式であれば成立してしまいます。
SMS認証にはさらに固有の弱点があります。SIMスワップと呼ばれる手口です。米連邦捜査局（FBI）のインターネット犯罪苦情センター（IC3）の注意喚起によると、攻撃者は携帯電話会社を欺いて被害者の電話番号を自分のSIMへ移し替え、SMSで届くはずの認証コードを横取りします。番号さえ奪えば、SMSで届く確認コードを使う認証の段階を攻撃者が通過できてしまいます。
プッシュ通知型の承認にも、MFA疲労（プッシュ爆撃）という手口があります。承認を求める通知を何度も送りつけ、利用者が根負けして誤って承認してしまうのを狙う攻撃です。
米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は、SMSや音声による認証を最も弱い認証方式と位置づけています。フィッシングに加え、携帯電話網の制御信号SS7の脆弱性を突いた盗聴や、SIMスワップで突破されやすいことが理由です。
出典・参考資料（3件）
パスキーが防ぐ仕組み（秘密鍵がデバイスに残る・オリジンバインディング）
パスキーは、公開鍵暗号という仕組みでこれらの経路を断ちます。FIDOアライアンスの解説によると、パスキーを登録するとき、デバイスやセキュリティキーの内部で鍵のペアが作られます。このうち秘密鍵は端末内の安全な領域で生成・保管され、サーバーには送られません。サーバーが保持するのは公開鍵だけで、公開鍵から秘密鍵を計算で割り出すことはできない設計です。
もう1つの鍵が、登録したサイトとパスキーが結び付く「オリジンバインディング」です。FIDOアライアンスは、パスキーが登録したサイトにしか提示されない仕組みだと説明しています。利用者が誤って偽サイトでパスキーを使おうとしても、サイトのアドレスが一致しないため認証そのものが成立しません。
SMSコードやワンタイムパスワードのように利用者が手で入力する秘密がないので、偽サイトに入力させて盗む、という中間者攻撃の前提が崩れます。
さらにパスキーは、ログインのたびにサーバーから送られるその都度異なる要求（チャレンジ）に秘密鍵で署名して応答します。やり取りする情報が毎回変わるため、通信を傍受してあとから使い回す「リプレイ攻撃」も成立しません。
ただし、パスキーも万能ではありません。フィッシングやSIMスワップといった認証の入り口を破る攻撃には強く働きます。一方で、ログインが成功したあとに発行されるセッション（利用中の状態を保つ情報）を、端末に入り込んだマルウェアなどで盗まれる経路までは防げません。端末自体を安全に保つ対策と組み合わせることが前提になります。
SMS・認証アプリ・プッシュ通知と、パスキーの違いを突破経路の観点で並べると、次のように整理できます。
| 認証方式 | SMS認証 | 認証アプリ（ワンタイムパスワード） | プッシュ通知 | パスキー（FIDO2） |
|---|---|---|---|---|
| 主な突破経路 | SIMスワップ、中間者攻撃（AiTM）、SS7の悪用 | 中間者攻撃（AiTM）でコードを中継 | MFA疲労（プッシュ爆撃）による誤承認 | 登録サイト以外に提示されず、手入力する秘密もない |
| フィッシング耐性 | × | × | × | ● |
※突破経路は代表的なものです。各方式の安全性は運用や実装によっても変わります。
パスキーに移行すべきか？併用から始める現実的な進め方
ここからは、自社の認証をパスキーへ移すべきか、どう進めればよいかを考えます。結論として、フィッシングへの強さという観点からはパスキーへ移していく価値がありますが、いきなり全面的に切り替える必要はありません。今の多要素認証と併用しながら、段階的に移していくのが現実的な進め方です。
パスキーに移行するメリット
パスキーへ移行する利点は、安全性と運用の両面にあります。第一に、前の章で見たとおりフィッシングやSIMスワップに強く、認証情報の窃取を起点とした不正ログインを防ぎやすくなります。第二に、パスワードを使わないことで、パスワードの使い回しや定期変更、リセット対応といった運用負担が軽くなります。
利用者側の体験も変わります。指紋や顔、PINで認証が完結するため、ログインにかかる手間が減ります。パスキーに対応するクラウドサービスやOSも増えており、同じ認証方法を複数のサービスで使える点も、現場の負担軽減につながります。
移行前に押さえる注意点
一方で、導入前に決めておきたい点もあります。パスキーは端末や物理キーに結び付くため、デバイスを紛失・故障したときに本人が締め出されないよう、予備の認証手段やアカウント復旧の手順を用意しておく必要があります。複数の端末で使えるようにするか、予備のセキュリティキーを配るかといった運用方針を、導入時に決めておくと安心です。
特に、全社に強い認証を必須化していく過程では、障害や設定ミスで管理者まで締め出されない備えが欠かせません。緊急時に使う管理者アカウント（ブレークグラスアカウント）を別の強固な方式で用意し、通常の必須化ルールから外して個別に管理しておく運用も、あわせて備えておくと安心です。
もう1つは、パスキーに対応していないシステムへの対応です。社内の業務システムや古いサービスの中には、まだパスキーに対応していないものもあります。そうしたシステムが残っている間は、既存の多要素認証を並行して使い続ける前提で計画を立てるのが現実的です。
全面乗り換えでなく、併用から始める段階移行
これらを踏まえると、移行は一度に全社を切り替えるのではなく、段階を踏むのが進めやすい方法です。まずは、攻撃の標的になりやすい管理者権限のアカウントや、情報システム部門など限られた範囲でパスキーを先行導入します。
運用上の課題を洗い出したうえで、パスキーに対応したクラウドサービスから順に対象を広げ、既存のSMSや認証アプリは対応が追いつくまで併用します。こうして実績を積みながら範囲を広げることで、現場の混乱を抑えつつ移行を進められます。
外部要因：Microsoftによるパスキー既定化とSMS・音声認証の廃止
移行を後押しする外部の動きもあります。マイクロソフトは、Microsoft Entra IDでパスキーを既定の認証方法とし、同社が提供するSMS・音声による認証を段階的に廃止する方針を公式ドキュメントで示しています。
公式ドキュメントによると、2026年9月1日からパスキーが既定の認証体験となり、SMS・音声を有効にしている利用者には自動的にパスキーが有効化されます。2027年2月1日には、グローバル管理者と外部ユーザーを除く利用者向けに同社提供のSMS・音声認証が廃止され、グローバル管理者と外部ユーザー向けの廃止は2027年7月1日です。
これらの方式を引き続き使いたい組織は、自社で契約した通信事業者を通じてSMS・音声を送る設定（Microsoft Security Store経由）を選べます。全面的に使えなくなるわけではありませんが、既定はパスキーへと移りつつあります。
自社がMicrosoft Entra IDを利用している場合は、このスケジュールを前提に、どの範囲をいつパスキーへ移すかを早めに検討しておくとよいでしょう。
一括ダウンロードする
パスキー対応を自社で始めるときの選択肢
自社が何を入れるべきかは、今使っている認証基盤によって変わります。すでにMicrosoft Entra IDなどのID基盤を使っているなら、まずはその標準機能でパスキーを有効にするのが出発点です。新たに基盤を整えたい場合や、スマートフォンを使いにくい現場に物理的な鍵を配りたい場合は、ここで紹介する専用のサービスが選択肢になります。
自社でパスキー対応を始めるときの入り口は、大きく2つの系統に分けられます。1つは、複数のクラウドサービスのログインをまとめ、パスキーによるパスワードレス認証を組み込めるID基盤（IDaaS）を導入する方法です。もう1つは、秘密鍵を内部に持つ物理セキュリティキーを配り、所持要素として使う方法です。
スマートフォンを業務で使いにくい現場では、後者が有力な選択肢になります。ここでは、それぞれの系統を代表するサービスを紹介します。
| サービス名 | CloudGate UNO | YubiKey as a Service |
|---|---|---|
| 提供形態 | クラウド型ID基盤（IDaaS） | 物理セキュリティキーの サブスクリプション（法人向け） |
| パスキー対応（FIDO2） | ● | ● |
| 対応認証方式 | FIDO2/パスキー 生体認証（Windows Hello・Touch ID/Face ID） OTP・認証アプリ | FIDO2/WebAuthn・FIDO U2F PIV・OpenPGP・OATH（TOTP） |
| 初期費用 | 要お問い合わせ | 要お問い合わせ |
| 月額費用 | 400〜600円/ユーザー（税抜） | 要お問い合わせ （200ユーザー〜・3年または5年契約） |
| 無料トライアル | ●30日間 | △導入前に実機検証 |
| 向いている環境 | 複数のSaaSログインを まとめたい企業 | スマホを支給しにくい 医療・製造・現場など |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤です。複数のクラウドサービスへのログインをまとめるシングルサインオンに、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理を組み合わせて提供します。
同社は2014年からFIDOアライアンスに参画し、2019年にFIDO2準拠のパスワードレス認証の提供を始めています。
特徴は、パスキーによるパスワードレス認証を全プラン・全ユーザーで制限なく使える点にあります。端末・場所・時間の3つの軸でログインを制限でき、私用端末からのアクセス禁止や時間帯による制御も設定可能です。
料金は月額400円から600円（税抜、プランにより異なる）で、30日間の無料体験が用意されています。公式サイトでは導入実績1,400社以上（2026年11月時点）と案内されており、パスワードレス認証に切り替えた企業で、IT部門のパスワード関連の問い合わせ対応がほぼなくなった事例も同社が紹介しています。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
同じく株式会社インターナショナルシステムリサーチが提供するYubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を法人向けにサブスクリプション形式で導入できるサービスです。FIDO2／WebAuthnに対応し、秘密鍵とPINがキー本体に収まるため、スマートフォンを使わずに、フィッシングに強い所持要素での認証を全社に展開できます。
買い切りではなく運用費として導入でき、毎年契約数の25%分の予備キー、同じ区分内でのキー種類の変更、専任担当による導入支援が付帯します。最低200ユーザーから、3年または5年契約で、料金は選ぶキーの種類や規模に応じた個別見積もりです。
スマートフォンを支給しにくい医療・製造の現場やコールセンター、派遣社員・委託先が多い環境に向いています。ある介護施設向けの導入事例では、1回あたりのログイン時間が30〜40秒から10秒未満に短縮したと同社が紹介しています。
物理セキュリティキーがどのような現場で使われているかについて、提供元の株式会社インターナショナルシステムリサーチは次のように述べています。
派遣社員や外部委託先が多い企業、または屋外の建設現場やメンテナンス現場など、スマートフォンの使用が困難な環境を有する企業に適しています。YubiKeyは、水に落としても泥が付いても壊れないため、過酷な環境下でも安定して動作します。
ここで取り上げたのは、ID基盤と物理セキュリティキーそれぞれを代表する2サービスです。実際に選ぶときは、FIDO2/パスキーへの対応だけで判断しないことが大切です。既存のID基盤やクラウドサービスとの連携、紛失時の予備キーやアカウント復旧の運用支援、料金体系まで見比べると、自社に合うものを絞り込めます。
認証方式や料金、タイプ別の選び方まで含めてパスキー対応の製品を幅広く比較検討したい場合は、多要素認証システムを網羅的に比較した次の記事が役立ちます。
まとめ
パスキーは多要素認証を置き換えるものではなく、生体認証やPINを伴うパスキーは、所持と本人確認を1回の操作で満たす多要素認証そのものです。登録したサイトにしか提示されず、手で入力する秘密を持たない仕組みによって、SMSや認証アプリが突破される中間者攻撃やSIMスワップに強い点が、パスキーの大きな価値です。
自社で始めるときは、いきなり全面的に切り替えず、管理者権限など限られた範囲から始めて、対応するサービスへ段階的に広げるのが現実的です。パスキーに対応したID基盤を入れるか、スマートフォンを使いにくい現場には物理セキュリティキーを配るか、自社の環境に合わせて選択肢を検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. パスキーとは何ですか？
A. パスキーは、パスワードの代わりに公開鍵暗号を使って本人を確認する認証方式で、スマートフォンやパソコン、物理セキュリティキーに保存した秘密鍵と、指紋・顔・PINによる本人確認を組み合わせてログインします。FIDO2／WebAuthnという国際規格に基づいており、対応するクラウドサービスで、パスワードを入力せずにログインできます。
Q. パスキーは多要素認証（MFA）の一種ですか？
A. 生体認証やPINを伴うパスキーは、所持（秘密鍵を保存した端末）と生体・PINという2種類の要素を1回の操作で同時に満たすため、それ自体が多要素認証として働きます。パスキーは多要素認証を廃止して1要素に戻すものではなく、パスワードという弱い知識要素を、より強い2要素の組み合わせに置き換える位置づけだと整理すると分かりやすくなります。
Q. パスキーはパスワードなしで機能しますか？
A. パスキーはパスワードを使わずに機能します。ログイン時はサーバーから送られる要求に、端末内の秘密鍵で署名して応答するため、利用者が覚えて入力するパスワードは不要です。ただしパスワードが無くなっても、端末の所持と指紋・顔・PINによる本人確認は必要なため、認証が弱くなるわけではありません。
Q. パスキーと2段階認証は何が違いますか？
A. 2段階認証が「認証の手順を2回に分ける」考え方なのに対し、パスキーは所持と生体・PINという種類の異なる要素を1回の操作で同時に満たす多要素認証です。パスワードの後にSMSコードを入力する2段階認証は手順が2つに分かれますが、パスキーは手順を増やさずに複数の要素を満たす点が異なります。
Q. パスキーは企業で利用できますか？
A. パスキーは企業で利用でき、クラウドサービスのログインをまとめるID基盤（IDaaS）や、全社に配布する物理セキュリティキーを通じて業務システムに導入できます。管理者が利用者ごとの登録状況や対応範囲を管理でき、スマートフォンを業務で使いにくい現場では、物理キーを所持要素として使う運用も選べます。
Q. SMS認証はもう使ってはいけませんか？
A. SMS認証は禁止ではありませんが、SIMスワップや中間者攻撃に弱く、より強い方式が使える場面では推奨されない「最も弱い認証方式」と公的機関に位置づけられています。パスキーに未対応のシステムが残る間の併用手段としては依然有効ですが、管理者権限など重要なアカウントから順に、フィッシングに強い方式へ移していくのが安全です。
Q. 多要素認証（MFA）を入れていてもフィッシングで突破されることはありますか？
A. SMS・認証アプリ・プッシュ通知を使った多要素認証は、偽サイトで入力・承認した情報を攻撃者が本物の認証基盤へ中継する中間者攻撃（AiTM）などで突破されることがあります。利用者が手で入力・承認する秘密がある方式にはこの経路が残るため、登録したサイト以外には提示されないパスキーのような、フィッシングに強い方式が有効です。
Q. パスキーは既存の多要素認証（MFA）と併用できますか？
A. パスキーは既存の多要素認証と併用でき、むしろ一度に全面的に切り替えるより、今のSMSや認証アプリと併用しながら段階的に移行するのが現実的です。パスキーに対応したサービスから順にパスキーを有効にし、未対応のシステムが残る間は従来の方式を予備や代替手段として残しておくと、利用者が締め出される事態を避けられます。
Q. パスキーを登録した端末を紛失したらログインできなくなりますか？
A. 予備の認証手段やアカウント復旧の手順を用意しておけば、端末を紛失してもログインできなくなる事態は防げます。複数の端末にパスキーを登録しておく、予備の物理セキュリティキーを配る、既存の多要素認証を復旧用に残すといった方針を導入時に決めておくことが重要です。クラウドに同期されるパスキーであれば、同じアカウントの別端末から引き続き利用できる場合もあります。
Q. どの業務システムからパスキー対応を始めるのが良いですか？
A. まずは攻撃の標的になりやすい管理者権限のアカウントや、情報システム部門など限られた範囲から始めるのが安全です。そのうえで、すでにパスキーに対応しているクラウドサービスから順に対象を広げ、未対応の社内システムは対応が追いつくまで既存の多要素認証を併用します。利用者数の多い基幹システムは、小さな範囲で運用上の課題を洗い出してから広げると、現場の混乱を抑えられます。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、パスキー対応のID基盤や物理セキュリティキーなど、多要素認証システムの最新資料を無料で一括請求できます。認証方式や対応規格、サポート体制を比べながら、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
