パスキーが重要な理由（すでにパスワードがある場合でも）
たいていの在庫ログインは、20年前と同じところから始まります。メールアドレスとパスワードです。 それは共有された秘密です。あなたが入力し、サイトが照合し、それを知った人は誰でもあなたになりすませます。 フィッシングページ、他の情報漏えいから使い回されたログイン、インフォスティーラー型マルウェアが効くのは、その秘密が 頭の中を離れ、ネットワークを渡っていけるからです。
Verizonの2026 Data Breach Investigations Reportは、侵害の約 36 %で盗まれた認証情報の使用を依然として確認しています。認証情報そのものが盗まれたデータとして現れるのは、4件に1件以上です。 「人的要素」（フィッシング、ミス、ソーシャルエンジニアリング）は、およそ5件中3件の 侵害に関わっています。パスワードが唯一の侵入口ではありませんが、今も頼りになる侵入口です。
パスキーとは何か
パスキーはFIDO2 / WebAuthnの認証情報です。特定のウェブサイトのために、あなたのデバイス上（または パスワードマネージャーやハードウェアセキュリティキーの中）で作られる公開鍵と秘密鍵のペアです。サイトは公開鍵を保存します。 秘密鍵は認証器から出ません。ログインすると、サイトは使い捨てのチャレンジを送ります。 デバイスは、スマートフォンやノートPCのロックを外すのと同じ方法（Windows Hello、Face ID、 PIN、セキュリティキーのタッチ）で秘密鍵を解除し、チャレンジに署名します。サイトが署名を確認します。以上です。
覚える、使い回す、貼り付けるパスワードはありません。誰かがコピーしても役に立つ秘密が、私たちのデータベースに 置かれていることもありません。流出した公開鍵では、誰もログインできません。
FIDO Allianceは「パスキー」を「パスワード」と同じ普通名詞として扱っています。同期 パスキーは、Apple、Google、またはマネージャーのアカウントと一緒に移動します。デバイスに紐づくパスキー（FIDO セキュリティキーを含む）は、一つの認証器に留まります。どちらもパスキーです。日常的に使うのは同期型です。 秘密鍵をハードウェアから出さないようにしたいときの、より厳しい選択肢がデバイスに紐づく型です。
フィッシングが跳ね返る理由
重要な性質は生体認証ではありません。オリジンの紐付けです。パスキーが
作られるとき、ブラウザは本物のサイト（リライングパーティID、実質的にはドメイン）を記録します。ログイン時、
認証器はそのパスキーを、同じドメインからの要求のときだけ使います。simpleinventorymanagement.example
のなりすましサイトは、simpleinventorymanagement.com に登録されたパスキーを使えません。
デバイスが拒否します。偽ページで「確認」する機会すらありません。
それが、CISAとNISTの言葉でいう「フィッシング耐性」の意味です。認証器は、 あなたのサイトになりすました相手に、使える秘密を渡しません。英国のNational Cyber Security Centreは、FIDO2 認証情報をパスワードおよび従来のMFA（パスワードに加えてSMS、アプリのコード、またはプッシュ）と比較しました。 中間者（adversary-in-the-middle）型フィッシングに対して、従来のMFAは今も脆弱です。FIDO2は違います。SMSコードや 「このログインを承認」のプロンプトは、リアルタイムで中継できます。パスキーはできません。署名が 本物のオリジンに紐づいているからです。
NISTのDigital Identity Guidelines（SP 800-63B-4）は、保証レベル2のサービスに フィッシング耐性のある選択肢を提供することを求め、レベル3ではフィッシング耐性を必須としています。CISAが実際に 条件を満たすとしているのは、FIDO/WebAuthn（セキュリティキーとパスキー）とPKIスマートカードです。プッシュ 通知、メールのコード、SMSは該当しません。
使い回し攻撃、流出、そして「固有のパスワードを使った」
固有で長いパスワードでも、間違ったサイトに入力すれば、あるいはノートPC上のマルウェアが 入力中に読めば、失敗します。クレデンシャルスタッフィングが効くのは、人がサイトをまたいでパスワードを使い回すからです。他所の 漏えいが、こちらのログインになります。最近のVerizon報告にあるインフォスティーラーのログは、管理されていない デバイス上で会社のメールと個人のメールが混ざっている様子を繰り返し示しています。こうした攻撃のどれも、私たちのドメインで使える 秘密鍵は生み出しません。
World Passkey Day 2025向けのFIDO Alliance消費者調査では、36 %の人がパスワードが原因で少なくとも1つの アカウントを侵害されたとわかりました。慌てる理由ではありません。ログインの秘密を、 人を騙して入力させられるものにするのをやめる理由です。
これは何ではないか
- 完全に乗っ取られたノートPCに対する魔法ではない。 マルウェアがすでにあなたとして動いていれば、解除できるものは何でも悪用できます。同期パスキーの保管庫の一部も含みます。パスキーは遠隔フィッシングのハードルを上げます。デバイス管理の代わりにはなりません。
- SSOをやめる理由ではない。 会社がSAMLを必須にしているなら、そちらが優先です。パスキーは、ここに直接ログインするアカウント向けです。 検証済みドメインでのSSO必須を迂回しません。
- パスワードの上に載せる第二要素ではない。 パスキーは第一のログインです。パスワードログインに第二のステップが欲しいなら、すでに対応している認証アプリの2FAを続けてください。パスキーをその第二ステップとして扱わないでください。
- 復旧不能ではない。 パスワードを残してください（会社ならSSOも）。紛失したスマートフォンが不便で済み、ロックアウトにならないように。できればパスキーを複数登録してください。ノートPCとスマートフォン、あるいはバックアップのハードウェアキーです。
パスキーはSSOの隣でどう位置づくか
会社がすでにOkta、Entra ID、またはGoogle Workspaceで動いているなら、SAMLシングルサインオンが今も正しい選択です。IdPが正面玄関になります。オフボーディングは 一つのスイッチ、MFAポリシーも一つの場所です。パスキーはそれ以外の全員を助け、 まだIdPの背後にいないオーナーも助けます。仕入先コスト、在庫ポジション、発注履歴を持つ在庫アプリで、 さもなければパスワードを使い回してしまう人です。
在庫は業務データです。盗まれたログインは、「誰かが数量を見た」だけではありません。 在庫を調整し、注文を完了し、何を買い何を払っているかを黙って読める人です。その ログインをフィッシング耐性にするのは、倉庫に鍵をかけるのと同じ感覚です。違うのは、インターネット上の偽の 倉庫は鍵を開けられないことです。
始め方
- いつもどおりログインし、アカウント設定のパスキーを開きます。
- 実際に使うデバイスでパスキーを追加します。あとでわかる名前を付けてください。
- できれば2つ目を追加します（スマートフォンとノートPC、またはハードウェアキー）。
- 次回は「パスキーでログイン」を使うか、メール欄でブラウザに提示させます。
パスワードは残っています。これは追加のドアであり、古いドアの解体ではありません。アカウントと AI接続を守る残りの仕組みは、 セキュリティページをご覧ください。