パスキー普及の裏には、経営判断や政府方針もある？【#セキュ裏 9】
本記事は、EGセキュアソリューションズが配信するPodcast「セキュリティの裏側まで読み解くラジオ」第9回を再構成したアーカイブ記事です。
パスキーを使ったことはあるだろうか。最近、ログインする際にパスキーを見かけるようになったと感じたことはないだろうか。
SMS認証をやめてパスキーに変更する企業も出てきている。Yahoo!もその一つだ。
なぜ今、パスキーはこれほど注目されているのか。その背景には、セキュリティ上の事情や企業の経営判断など、複雑な要因が絡み合っている。セキュリティと経営、それぞれの専門家とともに、その裏側にある興味深い知識を探りながら、セキュリティに関する理解を深めていく。
🎙️ 今回の Podcast を聴く
🎙 解説陣について
徳丸 浩（専門家）：EGセキュアソリューションズ最高技術責任者（CTO）。Webセキュリティの先駆者。
高畑 哲平（経営者）：IT・Webマーケティング分野で豊富な実績を持つ経営者。
香川 ほのか（ナビゲーター）：若手社員。セキュリティコンサルタント兼Web脆弱性診断士。
はじめに:混乱の中でも推奨されるパスキー
前回の記事では、パスキーの正体を探った。パスキーは、サイトごとに異なる鍵ペアを生成し、秘密鍵は端末の外に出ない仕組みを採用している。これにより、パスワードの使い回しやフィッシングのリスクを防ぐ高い安全性を持つ。
しかし現在は普及の過渡期にある。AppleやGoogleの覇権争いを背景に複数の同期方式が混在し、ユーザー体験にばらつきが生じているため、ネット上では不満の声も散見される。
それにもかかわらず、セキュリティ専門家の徳丸氏は「使えるならできるだけ使いましょう」と推奨している。
Yahoo!の事例から見る、SMS認証をやめパスキーへ移行する理由
パスキーの安全性と、その一方で残る運用上の混乱については、前回確認した。では、なぜここにきてパスキーへの注目が高まっているのか。その手がかりは、Yahoo!が少し前まで頼っていたSMS認証が、なぜ手放されたのかという点にある。その背景には、SMS認証の安全リスクだけでなく、犯罪手口の進化や企業側のコストの事情も絡んでいると推測されている。
そもそもパスワード認証からSMS認証に変えた理由
徳丸： ここで、じゃあなんでパスキーはここにきて注目されているのかって話をしたいと思うんですが……
例えばYahoo!さん。パスキーに一本化するっていうリリースが出ましたが、そのちょっと前までは、パスワードレスなんだけど、SMS認証っていうのを一生懸命やってたんですよ。つまりスマホにショートメッセージで6桁の番号が来て、それをパソコンに入れてログインするという方式、一生懸命やってたんですが、それはやめたってことでしょうね。
じゃあ、なぜSMS認証をやめたのか。SMS認証ダメでしたとは言わないで、私なりに推測をしてみるわけですが。そもそも、パスワード認証からSMS認証に変えた理由は何だったのかと。これはフィッシングとか、パスワードリスト攻撃とか、安易なパスワードをつけてたとか、さまざまな理由でパスワード破られちゃったっていうユーザーが、やっぱりYahoo!ぐらいになると、膨大にいるわけですね。泣きついて来られたり、そのサポートが大変になったりすると。そのコストがバカにならないと。
徳丸： で、SMS認証って実は、お金がかかるんです。
高畑： そうですよね。
徳丸： 高畑さん、よくご存知ですよね。1通5円とか何円かのお金が必ずかかると、電子メールと違ってですね。そのお金を出してでもSMS認証に一旦振り切ったと。
なぜSMS認証は非推奨なのか？「SIMスワップ」の脅威と手口
徳丸： ところが、NIST（米国国立標準技術研究所）もそうですが、海外のというかグローバルスタンダードで言うと、SMS認証なんてとんでもないって話になってるんですよ。
香川： それはなんでですか？
徳丸： SMS認証は危険だって言うんで、いくつか理由を挙げてるんですが、まず1つはショートメッセージって、実は古い規格で、特に暗号化とかされてない。だから危険だというのと、あと皆さん「SIMスワップ」って聞いたことありますか？
香川・高畑：SIMスワップ？
徳丸：はい。これはそんなに広く被害が出てるわけではないんですが、著名人とか、お金持ちの人の電話番号を狙う。その人の偽の免許証とか作るんですよ。その高畑っていう免許証の偽物を作って、携帯ショップに行って、「すみませんスマホ落としたんで、ちょっとSIMの再発行してください」と言うと、通っちゃったりするんですね。
すると、同じ電話番号でSIMが使えるようになる。高畑さんのスマホは突然使えなくなって、新しく発行したやつで、高畑さんの電話番号でショートメッセージを受けられると。それで、色んな例えば証券とか、オンラインバンキングとか、認証できたら、もうお金も取れるわけですね。
高畑：頭いいな。
徳丸：それだけの手間をかけても、リスクを負っても、やる価値があるということで、実は日本でも一時期結構やられてました。そのたびに警察が注意喚起をしたり。ただね、携帯ショップって、もう世の中すごくいっぱいあるじゃないですか。私の地元でも何軒あるんだろうってぐらいあります。そのすべてで、本人確認を厳格にできるかっていうと、なかなか難しいわけですね。
アルバイトの店員のトレーニングとか、なかなか難しいと。なので、ま、そういうこともあって、もうSMS認証はやめようということになったんじゃないかと。
SMS認証は便利だけどリアルタイムフィッシングに弱い
高畑：あれでも、結構便利は便利ですよね。
徳丸：便利ですね。あとですね、SMS認証はフィッシングに実は弱いんです。
高畑：意外でしたね。なんか一見、良さそうに感じますけどね。
徳丸：はい。なぜかというと、フィッシングの偽画面を開いちゃった被害者が、IDとパスワードをまず入れる。すると、悪い奴らも本物のサイトを開いていて、送られてきたID・パスワードでログインする。すると、6桁番号を携帯に送りましたっていう画面が出てくる。その6桁番号は、偽画面を開いている被害者のスマホに届く。すると、被害者の画面でも、6桁番号を入れるっていう画面が出てくる。「あ、これね」っていうことで入れちゃう。というわけで盗まれちゃうんです。
だから、番号を入れるタイプは全部それができます。二要素認証はフィッシングに弱いものが多いということで、それでパスキーが今注目されているというところであります。
高畑：だから、二要素認証が弱いという言い方もそうなんですけど、最初のトリガーとして偽画面に騙されてしまえば、そっからは自動的にあとはもう取ってっちゃいますもんね。
徳丸：はい、これは国民性っていうのがどこまであるか分かりませんが、割と皆さん素直な、言われるがままに入力するという方が多いんですね。ですから、これは引っかかるだろうなと思いますね、はい。
過失のない企業が全額補償？金融機関の裏にある「銀行の思惑と政府の方針」
リアルタイムフィッシングのように、企業のシステムに穴がなくても被害は起こる。それでも銀行や証券会社は補償に応じてきたのはなぜか。その裏にある事情を、銀行の戦略、そして国の方針、この2つの文脈から徳丸氏が読み解いていく。
オンライン銀行全額補填の裏話
高畑：今SMS認証で盗まれるって話が一通りあったんですけど、ふと、例えば証券会社のケースで行きます。証券会社のシステムに不備があって起こったことじゃないって、僕は最初見たんですよね。
どちらかといえばフィッシングっていうのは、やられる対象の企業からすると「そんなの勝手にやられてるよ」って話で、釣られて入れてしまったお客様と悪い人との間で起こった事象なんですけど、企業がなんか補填をするみたいな話ってあって、あれはすごい僕の中でモヤモヤしているんですよね。
そこに本当は企業って全く関係ないのに、なぜ企業が責められないといけないのかも分からないし、お客様が怒ることは分かるけど、「怒る相手間違ってない？」っていうのもあるし、この辺りって徳丸さんはどういう見解なんですか？
徳丸：はい。パスワードの話に一旦戻りますが、オンライン証券の事件っていうのは去年ぐらいから活発化してるんですけども、その前に、オンラインバンキングっていうのがインターネットが普及し始めた頃からあるわけですよ。もうかなり初期から不正に預金を引き出されるというか、振り込みをされてしまうという事件は起こってました。
これに対して、全銀協っていう銀行の団体ですね。それが申し合わせをしまして、個人に関してはその不正出金、要は不正に振り込みをされたような被害は、もう全額補填しようというルールがまずできてるんですね。
高畑： へえー。
徳丸： じゃあ銀行の場合、誰に過失があるのかっていうと、少なくとも銀行側の何か重大な問題で引き出されたってのは、日本では起きてない。ですから利用者側がフィッシングに引っかかったとか、ウイルス感染したとか、そういうことですよね。
だけど、補填しようということで、これはあまりどこそこ銀行から大きな不満が出たみたいな話は聞いたことがなくて、しょうがないかみたいな感じでやったと思います。
じゃあなぜそうしているかという理屈なんですが、これはちゃんと聞いたわけじゃなくて私の推測なんですが、今ここに来てですね、銀行側は支店をどんどん閉めたいと思っている。オンラインに移行したいと思っている。
高畑：うん。
徳丸：そうすると、「いや、そうは言ってもオンラインやっぱり不安だよね」「ちゃんと銀行のATMとか窓口がいいよね」っていう声は根強いわけですよね。なので、ユーザー側の不備だとしても盗まれっぱなしで自己責任ってなっちゃうと、やっぱオンラインの普及はされないだろうと。
ということで、これは被害額がものすごく大きければまた別なんでしょうが、銀行の経営の規模から言うと十分カバーできる範囲だとすれば、補填しとこうかっていう理屈なんじゃないかな。
高畑：なるほど。納得するような、納得しないような結論ですよね（笑）。
補填要請に業界反発も、対面証券は全額・ネット証券は半額で決着
徳丸：続きがあります。じゃあオンライン証券はどうか。まず金融庁は、補填するように要請したわけですね。これは強制力はないですが、そうして頂戴と要請をしたと。これはかなり反発が出ました。特にオンラインメインでやっているような会社は反発があった。まさに高畑さんおっしゃったように、「いや、そうは言っても俺らの責任じゃないし、額もデカい」ですよね。
徳丸：結論としては、店舗主体（対面証券）の大手は全額補填、オンラインは半額補填みたいなとこで決着をして。
これはおそらくですけど、金融庁というか政府としては、どんどん個人も投資というものをして頂いて、そうすると全体的に株価も上がって、投資をする人がみんなハッピーになるよねみたいなところで、「いやいやもう投資なんか嫌だ」となったらやっぱそれ逆にしぼんじゃうわけで、投資というものを活性化したい。そのためには、証券取引っていうのが危ないものだという認識はよろしくない。仮になんかあっても守られてるんだという風にしておきたいというのがあるんじゃないかなと思います。
高畑：なるほど。
パスキーが消したのは「利用者の隙」であって、「実装の穴」ではない
前節で見た補填の慣行については、利用者の緊張感を失わせる「モラルハザード」だと言う人もいる。一方で徳丸氏は利用者の側に立って、事業者には安全な認証手段を提供する義務があるはずだと述べる。そのうえで解決策として挙げるのが、パスキーである。
しかし、パスキーであっても実装側に不備があれば破られる可能性は残る。徳丸氏は、一部の企業におけるセキュリティの現状に言及した。
パスキーが「人の隙」による被害を防ぐ
香川： 利用者としては補填してくれるのはありがたいですけどね、何かあっても。
徳丸：そうですね、はい。ただ、これは一種のモラルハザード、モラルの崩壊だと言っている人もいますね。ですが、じゃあ利用者の声はどうなのかというと、これは理解できると高畑さんおっしゃってましたが、やっぱりちゃんと安全なものを提供する義務があるじゃないかと。
パスワード認証っていうのは、利用者が正しく使えば安全なんですが、それが非常に難しいよねってことになってきたわけです。つまり、15文字以上で、他のサイトと使い回しをしなくて、これどうやって使うのよみたいなことになるわけ。
香川：管理も大変ですしね、利用者側。
徳丸：はい、「1Password何それ？」みたいなことで。そうすると、一方パスキーであれば、利用者が何かを覚えたりする余地がないので、利用者側の不備でっていうのはほぼないわけですね。なので、そっちにしとけば、そういうモヤモヤもだいぶ解消されるんじゃないかなと。
「人の隙」による被害を防いでも「実装の穴」が残る
徳丸：ただですね、利用者側の不備っていうのはないって言いましたけど、実は実装側の不備だと、破られる可能性がちょびっとありますね。
香川：あるんですか。
徳丸：ありますね。私Xで呟いたんで言っちゃいますが、とある割と著名なところで不備があって、これマズいなということで、IPA（情報処理推進機構）に脆弱性届け出をして、受理されております。もう連絡は行ってるはずなんですが、3ヶ月ぐらいも経つけど。
香川：話しだして大丈夫ですか、ここで。
徳丸：大丈夫、それは公表している話なんで。
流行りのセキュリティツールより「早く直す体制を」
高畑：まーでも、脆弱性がゼロではない会社は全然あるわけで。
徳丸：そうですね。ですから、クロード・ミュトス（Claude Mythos）でみんな騒いでいるじゃないですか。あれいい加減にしろと思ってまして（笑）。俺が報告した脆弱性が何ヶ月も放置されてるのに、ミュトス騒いでどうするんだ、先にこれを直せと。
高畑：早く直す努力の方が大事じゃないかと。
徳丸：早く直す体制作っておかないと、ミュトス仮に入れても、絵に描いた餅っちゅうか、使いこなせないですよ。
高畑：もうあれはね、ミュトスが使える権利がある前に、話し合いを始めても、何を話し合うんだろうと思ったんですけど。
徳丸：社長さん集まっていたら何話し合う（笑）。科学者一人ぐらいオタクみたいな人がいたとしても、そこでなんか結論出せるような話じゃない。
高畑：頑張って防御しよう以外に言いようがないですからね。
徳丸：まあ、投資を積極的にして、人材もいっぱい取りましょうみたいな、でも今はね、採用難しい。
高畑：そうですね。ま、だからこのミュトスの話にいっちゃうと、またすごく拡大しそうな話になっちゃうんで。
エンディング：専門家も陥る「パスキー＝生体認証」の誤解
香川：ということで、今回はパスキーについて読み解いていきましたが、どんどん使っていきたいですね、これからは。
高畑：そうですね。僕の中の霧が晴れた気持ちで、積極的に使おうと思いましたし、ここで利便性的に躓くんだっていうポイントが分かったので、ちょっとスッキリしました。
香川：徳丸さん的にも、今回話してみてどうでしたか。
徳丸：はい。実は、パスキー＝生体認証って思ってる人は、セキュリティの専門家にも多くて、この辺はちょっと正していかなきゃいけないですね。とある勉強会というか、そういう会のスライドがXで流れてきて、「パスキーは生体認証です」って書いてあって、「いやいや、それは違うぞ」みたいな（笑）。
香川：訂正したいですね。
徳丸：訂正したくなりました、はい。
香川：その時は訂正しなかったんですか？
徳丸：今はちょっと色々忙しくてですね。昔は私も結構あの、「徳丸が斧を投げる」みたいに言われてたんですけど、ちょっと今おとなしくしてる。
高畑：穏健派ですからね。
徳丸：穏健派（笑）、はい。非常に地が優しい。
まとめ
なぜ今パスキーが注目されるのか。徳丸氏はYahoo!のSMS認証移行を例に挙げ、暗号化されない規格の古さやSIMスワップを防ぎきれない運用面の穴があったことに加え、リアルタイムフィッシングに弱いという弱点が、移行の決め手になったのではないかと推測している。
「ユーザー過失による被害をなぜ企業が補填するのか」という疑問に対し、徳丸氏は、企業側が過失を認めたわけではないと前置きしつつ、銀行については実店舗を削減しオンライン移行を進める経営判断が、証券会社については「貯蓄から投資へ」という国の方針を後押しする狙いがあるのではないかと推測する。
パスキーは、ユーザー起因のリスクをほぼ排除できるため、セキュリティを大きく高める。ただし、ユーザー側のリスクが解消されたとしても、サービス提供者側のリスクは依然として残る。徳丸氏は、脆弱性を放置したままにしている企業の事例に言及し、迅速に直せる体制づくりこそが重視されるべきだと述べる。
ここまでお読みいただき、ありがとうございます。
今回の内容を通じて、皆様もセキュリティ問題について新たな気づきや発見があったのではないでしょうか。次回は、現在話題を集めている「AIを使った開発」について議論していきます。
企業経営や技術の視点から、私たちの生活に密接に関わるサイバーセキュリティについて深く知りたい方は、ぜひEGセキュアソリューションズの本noteや、ポッドキャストのフォローをお願いします。それでは、また次回お会いしましょう。
🎙️ セキュリティの裏側を読み解くラジオ｜Spotify | Apple Podcast | Amazon Music
EGセキュアソリューションズについて
Webアプリケーションセキュリティに特化した、セキュリティ専門家集団である。Webアプリケーションの脆弱性診断をはじめ、WAF「SiteGuardシリーズ」、体系的なセキュリティ教育「Security Campus」、そして企業に寄り添うコンサルティングまで、幅広いサービスを展開している。企業の実情に即した、持続可能なセキュリティの実現を支援する。
補足情報・参照資料
NIST（米国国立標準技術研究所）のガイドライン:
NIST SP 800-63B「Digital Identity Guidelines: Authentication and Lifecycle Management」
LINEヤフー株式会社の公式リリース（Yahoo! JAPAN IDのパスキー一本化）：
「Yahoo! JAPAN ID、安全性・利便性向上を目的としてログイン方法を「パスキー」に一本化へ」（2026年4月14日）
一般社団法人全国銀行協会の公式発表（不正払い戻し補償の申し合わせの根拠）：
「預金等の不正な払戻しへの対応について」（2008年2月19日公表）
※銀行に過失がない場合でも、利用者側に重大な過失がなければ原則全額補償するという業界申し合わせ。土台となる預金者保護法は2006年2月施行。
日本証券業協会（JSDA）の公式発表（オンライン証券の不正アクセス被害対応）：
「フィッシング詐欺等による証券口座への不正アクセス等による対応について」（2025年5月2日）
※大手証券・ネット証券10社と協議のうえ、約款の定めに関わらず一定の被害補償を行う方針で申し合わせ。
本文中で言及した用語・事例に関する補足
NIST（米国国立標準技術研究所）SP 800-63BにおけるSMS認証の扱い：草稿段階（2016年）ではSMSを用いた経路外（OOB）認証を「非推奨（deprecated）」とする記述があったが、正式版では「他の認証方式との併用」「リスク評価の公表」「代替手段の用意」を条件とする表現に修正された。最新のRev.4では「制限された認証手段（restricted authenticator）」という新区分に位置づけられている。
SIMスワップ：偽の身分証などを用いて携帯ショップでSIM再発行やキャリア乗り換え（MNP）を行い、被害者の電話番号を乗っ取ってSMS認証を突破する手口。日本国内でも発生しており、2024年4月には東京都議会議員が被害を公表した事例が報じられている。
リアルタイムフィッシング：偽サイトに入力されたID・パスワード・ワンタイムコードを攻撃者が即座に本物のサイトへ中継してログインする手口。SMSなど「番号入力型」の二要素認証は原理的にこの手口への耐性が低い。
モラルハザード（Moral Hazard）： 本文における意味としては、「企業側が全額補填してくれる」という安心感から、利用者側のセキュリティに対する緊張感や注意義務が薄れ、かえって安易な行動（不審なリンクを踏む、パスワードを使い回すなど）を引き起こしてしまう現象を指す。
IPAへの脆弱性届出（情報セキュリティ早期警戒パートナーシップ）： 日本において、発見されたソフトウェアやWebサイトの脆弱性を安全に報告・修正するための公的な枠組み。IPA（独立行政法人情報処理推進機構）が届出の受付窓口となり、ソフトウェア製品の場合はJPCERT/CCが、ウェブサイトの場合はIPAが直接、製品開発者やサイト運営者に連絡し対策を促す。
クロード・ミュトス（Claude Mythos）：Anthropicが2026年6月に発表したモデル。ゼロデイ脆弱性の自律的発見など高度なセキュリティ能力を持つが、悪用リスクを踏まえ一般公開はされておらず、Project Glasswingの参加組織(Amazon、Apple、Cisco、CrowdStrikeなど)および一部の生物医学研究者に限定提供されている。