フィッシング対策に有効なパスキー（Passkey）とは
「お客様のアカウントに不審なログインがありました。こちらから本人確認をお願いします」——そんなメールに焦ってリンクを開き、IDとパスワードを入力してしまいそうになった経験はありませんか？ フィッシング詐欺の多くは、こうして「あなたのパスワードを盗む」ことを狙っています。逆にいえば、パスワードさえ存在しなければ、盗まれようがありません。そんな発想から生まれた新しいログイン方法が「パスキー（Passkey）」です。最近はApple、Google、Microsoft、Amazonなど大手も次々に対応し、目にする機会が増えてきました。今回は、難しい仕組みをかみくだいて、パスキーがなぜフィッシングに強いのかをご説明します。
そもそもパスキーって何？
パスキーをひとことで言うと、「パスワードを使わずにログインできる仕組み」です。
これまでのログインは、IDとパスワードという「合言葉」を入力するやり方でした。でもこの合言葉は、覚えやすいものにすると破られやすく、複雑にすると忘れてしまう、という悩みがつきものでした。さらに、本物そっくりの偽サイトに入力してしまえば、その瞬間に盗まれてしまいます。
パスキーは、この「合言葉を入力する」というやり方そのものをやめてしまいました。代わりに使うのが、スマホやパソコンに登録した指紋・顔認証・画面ロックの暗証番号です。
- ログインのたびにパスワードを打ち込む必要がない
- 指紋や顔をかざすだけでログインできる
- そもそも「入力する文字列」が存在しないので、盗みようがない
「指紋でログインできるなら、その情報がサービス会社に送られて怖いのでは？」と思うかもしれませんが、ご安心ください。指紋や顔のデータはあなたの端末の中だけで照合され、外部には送られません。
なぜパスキーはフィッシングに強いのか
パスキーの仕組みは、内部的には「鍵」のペアでできています。あなたの端末に秘密の鍵が保管され、サービス側には対になる鍵が預けられます。ログイン時はこの2つの鍵が正しく対応しているかを照合するだけ。秘密の鍵は端末から外に出ることがありません。
ここがフィッシング対策として非常に強力なポイントです。
偽サイトでは反応しない
パスキーには、「どのサイト用の鍵か」という情報がひもづいています。たとえばAmazon（amazon.co.jp）用に作ったパスキーは、Amazonの正規サイトでしか動きません。
仮に「amaz0n-support.com」のような偽サイトを開いても、パスキーは「ここは登録したサイトと違う」と判断し、そもそも反応しません。あなたが偽物だと気づかなくても、技術的に弾いてくれるのです。
盗む「中身」がない
パスワードは文字列なので、入力させてしまえば盗めます。しかしパスキーには入力する文字列がなく、秘密の鍵は端末から出ません。つまり、フィッシング犯が手に入れられるものが何もないのです。これが「フィッシングに有効」と言われる最大の理由です。
パスキーの設定方法と使い方
パスキーは、対応しているサービスのアカウント設定画面から登録できます。難しい操作はありません。
1. サービスにログインし、「セキュリティ」や「ログイン方法」の設定を開く 2. 「パスキーを作成」「パスキーを設定」といったボタンを選ぶ 3. 画面の指示に従い、指紋・顔認証・端末の暗証番号で本人確認をする 4. これで登録完了。次回からは指紋や顔でログインできます
主な対応サービスと正規の設定場所の例は以下の通りです。
- Apple（apple.com）：iPhone・iPadの設定や各種Appleサービス
- Google（google.com）：Googleアカウントのセキュリティ設定
- Microsoft（microsoft.com）：Microsoftアカウントのサインインオプション
- Amazon（amazon.co.jp）：アカウントサービスのログインとセキュリティ
スマホで登録したパスキーは、同じアカウントで連携したパソコンなどでも使えることが多く、機種変更時も引き継げる仕組みが整いつつあります。まずは普段よく使うサービス1つから試してみるのがおすすめです。
パスキーを使ううえでの注意点
便利なパスキーですが、いくつか知っておきたいこともあります。
- すべてのサービスが対応しているわけではない：未対応のサービスでは、引き続きパスワードと二段階認証を併用しましょう
- 端末の画面ロックは必ずかける：パスキーは端末の指紋・顔・暗証番号で守られています。画面ロックなしの端末だと、その守りが弱くなります
- パスワードもすぐには捨てない：当面はパスワードとパスキーが併存します。パスワードを使い続ける場合は、サービスごとに別々の強固なものを設定してください
そして大前提として、パスキーを導入しても「あやしいメールやSMSのリンクは開かない」という基本は変わりません。パスキー未対応のサービスを装った詐欺もありますので、油断は禁物です。
「これって詐欺かも？」と思ったら
パスキーは、これからのフィッシング対策の主役になっていく心強い仕組みです。とはいえ、新しい技術ほど「パスキーの登録はこちら」と偽って情報を抜き取ろうとする詐欺も出てきます。設定は必ず、メールのリンクからではなく公式アプリや公式サイトに自分でアクセスして行ってください。
「このメール、本物かな？」「このログイン画面、入力して大丈夫？」と少しでも不安を感じたら、迷わずBULLCOM SecurityのLINE無料相談をご利用ください。届いたメールやSMS、ログイン画面のスクリーンショットを送っていただければ、詐欺かどうかを専門スタッフが判断してお伝えします。一人で悩まず、入力する前にお気軽にご相談くださいね。