パスキーとは？しくみをやさしく解説｜証券会社の設定案内は詐欺？

パスキーとは？パスワードのかわりに使う「ログインのカギ」

パスキー（passkey）は、IDとパスワードを入力するかわりに、スマホのロック解除と同じ操作（指紋認証・顔認証・PIN）でログインするしくみです。業界団体のFIDO（ファイド）アライアンスと、Webの標準化団体W3Cが決めた規格（WebAuthn）にもとづいていて、iPhone・Android・Windows・Macのどれでも使えます。

「パスキー」という呼び名は、2022年にアップル・グーグル・マイクロソフトの3社がそろって対応を広げると発表してから一般に広まりました。FIDOアライアンスは2026年5月、世界で約50億のパスキーが使われていると推計しています（10か国・約11,000人の調査では、パスキーを知っている人が90%、1つ以上のサービスで使っている人が75%）。

パスキーについての、よくある3つの誤解

なぜパスワードではだめなのか？3つの弱点

パスワードのしくみは「合言葉」です。あなたとサイトが同じ文字を知っていて、それが合えば本人とみなします。コンピューターのパスワードは1960年代のはじめ、アメリカの大学の大型コンピューターで使われたのが始まりと言われ、60年以上ほとんど同じやり方が続いてきました。

長くて複雑なパスワードは、当てずっぽうの総当たりには強くなります。でも、偽サイトに自分で入力してしまえば、20文字でもそのまま相手にわたってしまいます。FIDOアライアンスの2026年の調査では、この1年でアカウントの乗っ取りや情報もれの通知を経験した人が33%（約3人に1人）いました。

ワンタイムパスワードも「中継」されることがある

SMSやメールで届く使い捨ての番号（ワンタイムパスワード）を足すと、守りはずっと強くなります。ただ、偽サイトが入力された内容をその場で本物のサイトに中継する手口では、届いた番号を偽サイトに入れた時点で、それも使われてしまいます。三菱UFJ eスマート証券も2026年10月15日の注意喚起で、メールによるワンタイムパスワードの認証方式を悪用されるケースを確認したとして、パスキー利用者には「パスキーのみでログイン可能」にする設定を呼びかけています。

パスキーのしくみ｜スマホの中の「カギ」と、サイトにあずける「錠前」

パスキーを作ると、あなたのスマホ（またはパソコン）の中で、カギ（秘密鍵）と錠前（公開鍵）のペアが生まれます。専門的には「公開鍵暗号」と呼ばれるしくみです。

1. 作るときスマホの中でカギと錠前のペアができる錠前はサイトにあずけ、カギはスマホの中にしまったまま外に出しません。サイトにあるのは錠前だけなので、合言葉のような「秘密」はどこにも置かれません。
2. ログイン①サイトが毎回ちがう「問題」を送るログインのたびに、サイトは使い回しのきかない問題（チャレンジ）を送ってきます。
3. ログイン②指紋か顔で持ち主か確かめて、カギではんこを押すスマホは持ち主を確かめてからカギを取り出し、問題に電子署名（はんこ）をして返します。
4. ログイン③サイトが錠前で、はんこが本物か確かめるあずかった錠前で確認できればログイン完了。カギそのものは一度もネットに流れません。

指紋や顔はサイトに送られる？

送られません。指紋や顔は、スマホの中でカギの引き出しをあけるときに、持ち主かどうかを確かめるためだけに使われます。照合はスマホの中で終わり、サイトが受け取るのは「はんこを押した答え」だけです。指紋や顔の登録がない機種では、画面ロックのPINやパスコードで代わりに確かめます。

なぜ偽サイトに強いのか｜カギはサイトの住所とセット

パスキーは、作ったときのサイトの住所（ドメイン）とセットで保存されます。偽サイトは見た目が本物そっくりでも、住所はちがいます。だからスマホは偽サイトに対しては、そもそもカギを出しません。人間がだまされても、スマホはだまされない──これがパスキーが「フィッシングに耐性がある」と言われる理由です。

パスワードとパスキーの違い

サイトから錠前（公開鍵）がもれても、錠前ではドアはあけられません。また、パスキーはサイトごとに別のペアが作られるので、使い回しも起きません。パスワードの3つの弱点が、しくみの段階でふさがれているわけです。

証券会社がパスキーを必須にした理由｜乗っ取りは3,033件から2件へ

2025年の春、証券会社を名乗る偽メールから偽サイトにさそわれ、IDとパスワードを盗まれる被害が急増しました。盗んだ人は口座に入って持ち主の株を勝手に売り、その代金で国内外の小さな会社の株を買い付けます。株価をつり上げて自分がもうけるためと見られ、被害者の口座には値下がりしやすい株が残されます。

金融庁の集計では、2025年1月から2026年9月までの合計で、不正アクセスは19,252件、そのうち実際に勝手に取引されたのが10,642件、勝手に売られた株は約4,372億円分にのぼります（売買の合計額で、損失額とは一致しません）。

これを受けて金融庁は、証券会社や銀行への監督のルール（監督指針・事務ガイドライン）を改正し、ログインや出金などの場面でフィッシングに耐性のある多要素認証を入れるよう求めました。その代表がパスキーです。大手ネット証券は2025年秋からパスキーを提供し、2026年にはログイン時のパスキー必須化が進みました。2026年4月16日には、銀行・信用金庫・信用組合・労働金庫・証券会社と金融庁・警察庁が、そろってパスキーなどを呼びかける広報を始めています。

証券会社の「パスキー設定」の案内は詐欺？見分け方

証券会社や銀行がパスキーの設定を呼びかけること自体は、口座を守るための正規の案内です。金融庁も、強固な多要素認証の提供が始まったら「速やかに利用設定を行ってください」と呼びかけています。

ただし、この切りかえの時期をねらって、「パスキー設定のお願い」といった件名の偽メールも報告されています。本物か偽物かをメールの見た目だけで見分けるのはむずかしいので、次のルールを守るのがいちばん確実です。

パスキーの作り方｜4ステップで1分ほど

画面の名前はサービスごとに少しちがいますが、流れはほぼ同じです。

1. 1公式アプリかブックマークからログインメールやSMSのリンクは使いません。
2. 2セキュリティの設定を開く「ログイン設定」「認証設定」などの名前のこともあります。
3. 3「パスキーを登録」を選ぶ保存先（iPhoneならiCloudキーチェーン＝パスワードアプリ、AndroidならGoogleパスワードマネージャー）をたずねられたら、ふだん使うものを選びます。
4. 4指紋か顔（またはPIN）で確認して完了次回からは、ログイン画面で指紋か顔を使うだけになります。

自分のものではないパソコン（家族のパソコンなど）でログインするときは、画面に出るQRコードを自分のスマホで読み取ります。スマホが近くにあることをBluetoothで確かめるので、遠くにいる第三者がまねをするのはむずかしいしくみです。

機種変更やスマホをなくしたときは？

いちばんの備えは、パスキーを2台以上の端末に登録しておくことです。スマホをなくしても、同じアカウントのパソコンやタブレットがあれば、そこからログインできます。サービスごとにメールの確認コードなどの取りもどす方法も用意されていて、最後は窓口で本人確認をして設定し直すこともできます。

新しいスマホで復元するときに前のスマホのパスコードが必要になる条件や、証券会社ごとの紛失時の手順は、パスキーのスマホを紛失したらどうなる？復元の条件と証券4社の手順でくわしく比べています。

パスキーのデメリット・注意点

パスキーに対応していないサイトでは、これまでどおりパスワードを使います。その場合も、同じパスワードを使い回さないことが基本です。

パスキーについてよくある質問

まとめ｜パスキーは「だまされても、わたせないカギ」

パスキーは、長いパスワードでも、顔の写真をサイトに送るしくみでもありません。スマホの中から出ないカギで、サイトの住所とセットになっているため、人間が偽サイトにだまされても、スマホはカギを出しません。証券口座の乗っ取りが急減した背景にも、このしくみがあります。案内が届いたら、メールのリンクではなく、いつもの公式アプリから設定してみてください。スマホのロック解除と同じ操作で、口座を守ることができます。

参考資料

• 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」（2026年10月9日更新）と「インターネット取引サービスでの不正アクセス・不正取引の被害状況」
• 金融庁「フィッシング耐性のある多要素認証等に係る官民一体・業界横断的な広報について」（2026年4月16日）
• FIDO Alliance「FIDO Alliance Reports Accelerating Global Passkey Adoption on World Passkey Day 2026」（2026年5月7日）
• W3C「Web Authentication: An API for accessing Public Key Credentials Level 2」
• 三菱UFJ eスマート証券「【注意喚起】不正アクセス被害防止のためのお願い」（2026年10月15日）

「1,500分の1」は金融庁の月別件数から筆者が計算しました。数字は2026年10月時点です。設定手順や必須化の時期はサービスごとに異なるため、各社の公式案内をご確認ください。

あわせて読みたい