パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
パスワードは、生成AIが最も得意とする攻撃対象になりました。文面が自然なフィッシングメール、本物と見分けのつかない偽ログイン画面、流出パスワードの高速な使い回し照合――どれも人手より速く、安く実行されます。この流れに対する答えとして注目されているのが、パスワードそのものを持たない認証「パスキー（FIDO2/WebAuthn）」です。仕組みと、企業で導入する際の勘どころを整理します。
背景 ― なぜパスワードが弱点になったのか
パスワードは「本人だけが知っている文字列」で本人確認する方式です。裏を返せば、その文字列が他人に渡れば誰でも本人になりすませます。攻撃者は流出リスト、フィッシング、キーロガーで文字列を集め、多要素認証（MFA）を突破するために本人へ承認通知を連打する「MFA疲労攻撃」まで使います。生成AIはこの一連の作業の単価を下げ、標的ごとに文面を書き分ける精度を上げました。守る側が「複雑なパスワードを付けましょう」で対抗できる領域は、もう残っていません。
パスキーの仕組み ― 秘密鍵は端末から出ない
パスキーは公開鍵暗号を使います。登録時に端末内で鍵ペアを生成し、公開鍵だけをサービス側に預けます。秘密鍵は端末（スマートフォンやセキュリティキー）の安全領域から取り出せません。ログイン時はサービスが送る乱数（チャレンジ）に端末が署名して返すだけで、盗んで再利用できる「秘密の文字列」がそもそも通信路に流れません。さらにパスキーは登録したドメインに紐づくため、偽ドメインのログイン画面では署名要求が発火せず、フィッシングの成立条件を根本から断ちます。本人確認は端末の生体認証（指紋・顔）やPINで行うため、利用者の体感はむしろ簡単になります。
導入前に確認したい5点
- 対象システムがWebAuthn/FIDO2に対応しているか（自社開発なら実装、SaaSなら提供状況を確認）
- 端末を紛失・機種変更した際の再登録と一時復旧の経路を用意しているか（回復手段が弱いとそこが新たな穴になる）
- 同期パスキー（クラウド同期・利便性重視）とデバイス固定パスキー（セキュリティキー・高保証）のどちらを、どの権限層に割り当てるか
- パスワードとの併存期間中に、パスワード側のリセット導線が迂回路にならないよう塞いでいるか
- 管理者・特権アカウントから優先移行する計画になっているか（被害が最も大きい層を先に守る）
打ち手 ― 全廃ではなく段階移行から
いきなり全社パスワード全廃を目指すと運用が破綻します。優先順位は、特権・管理者アカウント、次に外部公開サービスの認証、最後に社内一般利用の順です。まず特権層にデバイス固定パスキーを必須化し、一般層は同期パスキーで利便性と移行速度を確保する。パスワード併用期間はMFA必須を維持しつつ、リセット導線の悪用を監視します。移行率とパスワードログインの残存件数を指標に置くと、どこに穴が残っているかが見えます。
盗める秘密を持たない認証こそ、最良の防御である。
あわせて読みたい
Omamori AI の結論
- 事実: パスキーは秘密鍵が端末外に出ず、登録ドメインに紐づくため、フィッシングと流出パスワード再利用の双方を構造的に無効化する。
- 判断軸: 利便性重視の同期パスキーと高保証のデバイス固定パスキーを、権限の重さで使い分ける。全システム一律ではなく層別に設計する。
- 打ち手: 特権アカウントから移行を始め、パスワード併用期間の回復導線とリセット導線を「新たな迂回路」にしない。
経営者視点で考えるべきこと
認証方式の刷新は情シスの技術課題に見えて、実は事業継続とガバナンスの論点です。生成AIによってフィッシングの成功率が上がった以上、パスワード起因の不正アクセスで顧客情報が流出すれば、善管注意義務の観点から「対策が取れたのに取らなかった」と問われかねません。パスキーは利用者の手間を減らしながら被害の入口を塞ぐ、数少ない「守りと利便性が両立する」投資です。全社一斉ではなく、被害インパクトの大きい特権層から段階的に移すロードマップを、取締役会として承認しておくべきです。移行の進捗と残存リスクを定期的に報告させる体制まで含めて設計するのが、実効性のあるガバナンスになります。
