用語集・認証とアクセス
パスキー
Passkey (FIDO credential)
パスキー（Passkey）は、FIDOの規格に基づき、端末の生体認証や画面ロックの解除でログインする、パスワードを使わない認証方式である。
別の呼び方 パスワードレス認証
要点
- 意味 パスキー（Passkey）は、FIDOの規格に基づき、端末の生体認証や画面ロックの解除でログインする、パスワードを使わない認証方式です。
- 中小企業にとって パスワードもワンタイムパスワードも偽サイトに入力させられれば盗まれるが、パスキーは本物のサイトにしか使えないためフィッシングに強い。
- このサイトでは 攻撃手法 2 種、事例 1 件、グループ 1 組のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
パスワードもワンタイムパスワードも偽サイトに入力させられれば盗まれるが、パスキーは本物のサイトにしか使えないためフィッシングに強い。
利用者はパスワードを覚えたり使い回したりする必要がなくなる。
まずは対応済みのクラウドサービスやメールの管理者アカウントから切り替え、端末をなくしたときの手順も決めておくとよい。
よくある誤解
- 誤解パスキーは指紋や顔のデータをサービス側に送って照合している
- 実際FIDO Allianceは、生体情報とその処理は端末内にとどまり、外部のサーバーには送られないと説明している。
- 誤解パスキーは作ったスマートフォンをなくしたら使えなくなる
- 実際FIDO Allianceによると、同期型のパスキーは同じパスキー提供元を使う利用者の他の端末へ同期される。一方で1台の端末やセキュリティキーにとどまるデバイス固定型のパスキーもあり、NISTは同期できる認証器を最も高い保証レベルでは使えないとしている。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法フィッシング
この手口の対策として、多要素認証の中でも可能な限りフィッシングに強い方式を選ぶことが挙げられており、パスキーはその代表例である。
- 攻撃手法多要素認証の回避
この手口の対策としてFIDO/WebAuthnなどフィッシングに強い方式への移行が挙げられており、パスキーはその規格に基づく。
- 事例KADOKAWA
記録は根本原因をフィッシングなどによるアカウント情報の窃取と推測し、フィッシングに強い多要素認証を挙げており、パスキーはそれに当たる方式である。
- ハッカーグループAPT29
このグループは承認通知を繰り返し送りつけるMFA疲労攻撃を使うと記録されており、通知を承認させる方式に頼らない認証の必要を示す。
出典
- FIDO Passkeys: Passwordless Authentication FIDO Alliance
- 「情報セキュリティ10大脅威 2026」解説書［組織編］ IPA・2026-03
- NIST SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management NIST・2025-07
- 情報セキュリティ10大脅威 知っておきたい用語や仕組み IPA・2025-07
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）