最近、GoogleやYahoo! JAPAN、Amazon、メルカリ、任天堂、携帯キャリアなどのWebサイトやアプリにログインしようとした際、「パスキー（Passkey）を設定しますか？」「次回から顔認証や指紋認証でログインできます」という案内画面を目にする機会が増えています。

パスキー（Passkey）とは、Apple・Google・Microsoftなどが共同で推進している、パスワードを一切使わずにログインする次世代の認証技術（FIDO認証規格）です。

スマートフォンの顔認証（Face ID）や指紋認証（Touch ID）などを使って端末内で暗号鍵の照合を行うため、「そもそも盗まれるパスワードが存在しない」「偽サイト（フィッシングサイト）では認証が一切作動しない」という強力な防犯性を持っています。本記事では、パスキーの仕組みからメリット、機種変更時やパソコン利用時の注意点まで図解イラストとともに分かりやすく解説します。

よくある疑問：顔写真や指紋データがネット上の会社に送られるの？

「顔認証や指紋認証でログインする」と聞くと、自分の顔や指紋のデータが通販サイトやWebサービスのサーバーへ送信されるのではないかと心配になるかもしれません。
しかし、あなたの顔や指紋の生体データは、スマートフォンやパソコンの端末の外には一切送信されません。顔や指紋はあくまで「手元のスマホの中にある金庫を開けるため」だけに使われます。

あなたのスマホ・PCだけに保管される「金の鍵（秘密鍵）」

Webサイトでパスキーを有効にすると、あなたのスマートフォンやパソコンの内部にある専用チップ（金庫）の中に、世界に1つだけの「秘密鍵（金の鍵）」が作られます。

この秘密鍵は端末の外には絶対に出ず、あなた自身の顔認証や指紋認証を通過したときだけ、端末の内部で一時的に使える仕組みになっています。

Webサイト側に預けておく「銀の鍵（公開鍵）」

もう片方の「公開鍵（銀の鍵）」は、ログイン先のWebサイト（GoogleやAmazonなど）のサーバーに登録されます。

この公開鍵は「秘密鍵で押されたハンコが本物かどうかを確かめるための確認用の型」のようなものです。仮にWebサイトのサーバーがサイバー攻撃を受けてこの公開鍵が外部に漏れたとしても、公開鍵だけでは他人がログインすることはできないため安全です。

ログイン時は「デジタル署名」だけを送って1秒で照合

あなたがログインボタンを押して顔認証・指紋認証を行うと、スマホの中の「秘密鍵」がその場限りの「デジタル署名（ハンコ）」を作成し、Webサイトのサーバーへ送ります。サーバー側は預かっていた「公開鍵」でその署名がペアとして一致するかを照合し、一致すれば即座にログインが成立します。通信の途中でパスワードを送らないため、盗み見される心配もありません。

偽サイト（フィッシング詐欺）では絶対に作動しない

パスキーが注目されている最大の理由が、「フィッシング詐欺を仕組みレベルで無効化できる」という点です。

従来のパスワードやSMSの認証コードは、人間の目で見て本物そっくりの偽サイト（例：本物が amazon.co.jp なのに、偽サイトが amaz0n-login.com など）に誘導されると、利用者自身がうっかり入力して盗まれてしまう弱点がありました。

一方、パスキーは作成時に「本物のドメイン（URL）」と「鍵」がシステム的に固く紐付けられます。もし偽のメールから詐欺サイトを開いてしまった場合、ブラウザやスマホが「ここは登録された本物のURLではない」と自動判定し、パスキーの認証画面すら起動しません。人間が騙されても、機械が水際で止めてくれます（フィッシング詐欺などの手口については知っておきたいセキュリティ用語まとめでも詳しく解説しています）。

そもそも「盗まれる文字列」が存在しない（使い回し・総当たり対策）

パスキーはサービスごとに異なる暗号鍵ペアが自動生成されるため、「複数サイトでのパスワード使い回し」がそもそも起こりません。

また、人間が覚えられるような短い文字列ではなく非常に複雑な暗号鍵が使われるため、プログラムで文字の組み合わせを片っ端から試す「ブルートフォースアタック（総当たり攻撃）」や、他社から流出したリストを使う「パスワードリスト攻撃」も通用しなくなります。

暗記も文字入力もゼロになり、1秒でログインできる

一般的にセキュリティを厳しくすると「毎回長いパスワードとSMS確認コードを入力させられて面倒になる」というトレードオフが発生しがちでした。しかしパスキーは、スマホのロック解除と同じ「顔を見るだけ・指を触れるだけ」で本人確認と暗号照合が同時に終わるため、「安全性が高まるのに、ログインの手間はむしろ劇的に減る」という点が画期的です。

方法A：パソコンの画面ロック解除（PINコード）を使う

Windowsパソコンの「Windows Hello（PIN＝4桁以上の暗証番号）」を設定していれば、顔や指紋の代わりにそのPINコードを入力するだけでパソコン内の秘密鍵がアンロックされ、パスキーでログインできます。なお、このPINコードはそのパソコン本体のロックを解除するためだけの番号であり、インターネット越しにWebサイトへ送信されることはありません。

方法B：パソコン画面に出たQRコードをスマホで読み取る

スマホの中に保存されているパスキーを使って、パソコンのブラウザにログインすることも可能です。パソコンのログイン画面で「別のデバイス（スマートフォン）のパスキーを使う」を選ぶと画面にQRコードが表示されます。それを手元のiPhoneやAndroidスマホのカメラで読み取り、スマホ側でいつも通り顔認証・指紋認証を行うだけで、近くにあるパソコン側の画面が自動的にログイン状態に切り替わります（その際、パソコンとスマホの両方でBluetoothがONになっている必要があります）。

クラウド同期（iCloud・Googleアカウント）で機種変更や紛失時も引き継げる

現在のパスキー（同期パスキー）は、端末1台の中だけに閉じ込められているわけではなく、暗号化された状態でクラウドに自動バックアップ・同期されています。

• iPhone / iPad / Macの場合：Apple Account（iCloudキーチェーン）を通じて同じアカウントのApple製品間で自動同期されます。
• Android / Google Chromeの場合：Googleパスワードマネージャーを通じて同じGoogleアカウント間で自動同期されます。

そのため、スマートフォンを新しい機種に買い替えたり、万が一紛失・故障して新しい端末を用意したりした場合でも、同じAppleアカウントやGoogleアカウントでサインインすれば、これまで使っていたパスキーがそのまま復活します。また、もし落としたスマホを第三者に拾われても、あなたの顔や指紋（または画面ロックのパスコード）がなければパスキーは一切使えません。

大元の「Appleアカウント」「Googleアカウント」の保護を固めておく

パスキーを同期してくれる大元の「Appleアカウント」や「Googleアカウント」自体が乗っ取られてしまうと大変危険です。この大元のアカウントには必ず二要素認証（またはパスキー自体）を設定し、電話番号が変わった際も復旧用の連絡先メールアドレスや電話番号が最新になっているかを確認しておきましょう。

共有パソコン（ネットカフェや共用端末）ではパスキーを作成しない

ネットカフェやホテルのパソコン、職場で複数人が同じWindowsアカウントを使い回している共用パソコンなどでは、そのパソコン本体にパスキーを新規作成・保存しないようにしましょう。共用パソコンでログインしたい場合は、前述の「スマホでQRコードを読み取ってログインする方法」を使うのが安全です。

• パスキーの仕組み：スマホやPCの「顔認証・指紋認証・PIN」で端末内の「秘密鍵」を動かし、Webサイト側の「公開鍵」とペア照合してログインする技術（顔や指紋データが外部に送られることはない）。
• 3つの大きなメリット：「偽サイト（フィッシング詐欺）では一切作動しない」「盗まれるパスワード文字列が存在しない」「暗記や文字入力が不要になり1秒でログインできる」。
• 機種変更や紛失時も安心：iCloudキーチェーンやGoogleパスワードマネージャーに暗号化されて同期されるため、スマホを買い替えても同じアカウントでサインインすればそのまま引き継げる。