「パスキーに切り替えましょう」って言われるんだけど、パスワードとどう違うの？
GoogleやApple、Microsoftが「パスワードをやめてパスキーへ」と声をそろえて言い始めました。でも「そもそも何が違うの？」「本当に安全なの？」「今すぐ変えなきゃいけないの？」という疑問、当然ですよね。
この記事では、パスキーの仕組みをゼロからわかりやすく解説した上で、「今すぐ全部切り替えるべきか」を正直にお答えします。設定手順も具体的に紹介しますので、ぜひ最後まで読んでみてください。
この記事でわかること
・パスキーとは何か、パスワードと何が違うのか
・なぜフィッシング詐欺に強いのか
・デバイス紛失などのリスクと正直な評価
・GoogleアカウントへのパスキーのかんたんA設定手順
パスキーとは何か？
パスワードの代わりに「鍵のペア」でログインする仕組み
パスキーとは、「パスワードを使わずにログインできる新しい認証方式」のことです。スマートフォンやパソコンに搭載されている指紋認証・顔認証・PINコードを使って、パスワードなしでサービスにログインできます。
仕組みは少し特殊で、「公開鍵」と「秘密鍵」という2つの鍵のペアを使います。たとえるなら、南京錠（公開鍵）をサービス側に渡しておき、自分はその鍵（秘密鍵）だけを手元のデバイスに持つイメージです。
ログイン時は、サービスが「この南京錠を開けられますか？」と聞いてきて、自分のデバイスが指紋認証などで「はい、私が持ち主です」と答えます。パスワードという「合言葉」を通信する必要がないので、盗まれようがないわけです。
パスワードと何が違うのか
最大の違いは、ログイン情報がインターネット上を流れないことです。
パスワードは、入力した文字列をサービス側のサーバーに送って照合します。一方パスキーは、サービス側から届いた「問い合わせ」に対してデバイス内の秘密鍵が応答するだけ。秘密鍵がデバイスの外に出ることは一切ありません。
なぜパスキーが注目されているのか？
パスワードが抱える3つの弱点
そもそも、なぜいまさらパスワードをやめる必要があるのでしょうか。パスワードには根本的な弱点が3つあります。
- 漏洩リスク：サービス側でデータが流出すると、パスワードも一緒に盗まれる
- 使い回し：複雑なパスワードを何十個も管理するのは現実的に無理で、ほとんどの人が同じものを使い回している
- フィッシング：偽サイトに誘導されてパスワードを入力させられると、正規サイトと見分けがつかない
パスキーはこの3つをまとめて解決できます。たとえばサービス側でデータが流出しても、盗まれるのは「南京錠（公開鍵）」だけで、鍵（秘密鍵）はあなたのデバイスの中にしかありません。南京錠だけ手に入れても、泥棒は何もできないんです。
フィッシング詐欺に強い理由
パスキーが特に評価されているのが、フィッシング詐欺への強さです。
パスキーは登録時に「どのサイトのものか」という情報（ドメイン）が鍵に紐付きます。たとえば本物の「google.com」向けに作ったパスキーは、偽の「g00gle.com」では絶対に使えません。デバイスが自動的に「このサイトは登録したサイトと違う」と判断して、認証を拒否するんです。
ハッカーはフィッシング、ランサムウェア、およびその他の一般的なサイバー攻撃を通じて、この機密情報に簡単にアクセスすることはできなくなります。
つまり、URLをうっかり見間違えても、パスキーがブロックしてくれるんです。これはパスワードには絶対にできない芸当です。
パスキーは本当に安全なのか？正直に評価する
デバイスを紛失したらどうなる？
スマホを落としたら、全部ログインできなくなるんじゃ……？
これはパスキーを検討する上で、最もよく聞かれる不安です。正直に答えます。
デバイス1台だけにパスキーを保存していた場合、そのデバイスを失うとログインできなくなるリスクがあります。ただし、現実的にはほとんどの人がクラウド同期を使っているため、それほど恐ろしい状況にはなりません。
- Androidの場合：Googleパスワードマネージャー経由でGoogleアカウントに同期。別のAndroid端末でもそのまま使えます
- iPhoneの場合：iCloudキーチェーンに同期。同じApple IDを使う別のデバイスでログイン可能
- Windowsの場合：MicrosoftアカウントやWindows Helloと連携して管理
ただしクラウドアカウント自体が乗っ取られると、同期されたパスキーも危険にさらされるというリスクは残ります。だからこそ、GoogleやMicrosoftのアカウントに強力な認証（2段階認証など）を設定しておくことが大切なんです。
まだ対応していないサービスも多い現実
パスキーの普及は確実に進んでいますが、「全部パスキーにできる」状況にはまだなっていません。
Google、Apple、Microsoft、Yahoo! JAPAN、メルカリ、ドコモ、松井証券など、主要サービスへの対応は進んでいます。一方で、地域の銀行や中小規模のサービスではまだパスワードのみという状況も多いです。
たとえば日常的に使うサービス10個のうち、パスキー対応済みは3〜4個というのが現実的な感覚です。「パスワードが完全に不要になった」と言える日は、もう少し先の話なんです。
主要サービスでのパスキー設定方法
Googleアカウントのパスキー設定手順
最もかんたんに試せるのがGoogleアカウントです。スマートフォンでもパソコンでも設定できます。
- ブラウザで「myaccount.google.com」にアクセスしてログイン
- 左メニューの「セキュリティとログイン」を選ぶ
- 「Google にログインする方法」の欄にある「パスキーとセキュリティキー」をクリック
- 「パスキーを作成する」ボタンを押す
- デバイスの指紋認証・顔認証・PINコードで本人確認 → 完了
設定後は、次回ログイン時からパスワードを入力する代わりにスマートフォンの指紋認証などを使えるようになります。パスワードを入力する手間がなくなるので、一度使うと手放せなくなりますよ。
パスキーは、パスワードに代わる簡単かつ安全なログイン手段として使用できます。Google アカウントには、次のいずれかを使用してログインできます。
- 指紋認証
- 顔認証
- スマートフォンの画面ロック（PIN など）
Googleの公式ヘルプが説明している通りの流れです。難しい操作は一切ありません。
MicrosoftアカウントのパスキーはWindows Helloで設定
Windowsパソコンをお使いの方は、Windows Helloがそのままパスキーとして機能します。Windows 11では、Microsoftアカウントのログインにパスワード不要のWindows Hello（顔・指紋・PIN）が標準で使えるようになっています。
たとえばWindows Hello PINを設定していれば、それがすでにパスキーとして動いています。追加の設定なしにパスキーの恩恵を受けているんです。
Windows HelloとパスキーはWindows 11では同じ仕組みを使っています
「設定」→「アカウント」→「サインイン オプション」でPIN・顔認証・指紋認証を設定しておけば、Microsoftアカウントへのパスキーログインが有効になります。
よくある質問（FAQ）
今すぐパスキーに切り替えるべき？
「対応しているサービスからどんどん設定しておく」が正解です。全部を今すぐ変える必要はありません。
まずはGoogleアカウントやMicrosoftアカウントなど、自分が一番よく使うサービスから設定してみましょう。5分もあれば完了します。パスキーを使ったログインを一度体験すれば、パスワード入力の手間がいかに面倒だったかがよくわかりますよ。
二段階認証（SMSで届いた番号を入力して本人確認を行う）もスキップできる場合が多く、ログインの際の手間が省けます。
パスキーを設定しても、パスワードがすぐに消えるわけではありません。ほとんどのサービスではパスワードとパスキーを並行して使えるので、まずは試してみる感覚でOKです。
パスキーに対応していないサービスはどうすればいい？
パスワードを使い続けるしかありませんが、せめてサービスごとに異なるパスワードを設定してください。使い回しは一番危険な行為です。
パスワードを複数管理するのが面倒な方には、ブラウザ内蔵のパスワードマネージャー（ChromeやEdgeに標準搭載）を活用するのがおすすめです。パスキーが使えない間の現実的な対策として、まずそこから始めてみましょう。
まとめ
この記事のポイント
・パスキーは「公開鍵・秘密鍵のペア」で認証する仕組み。パスワードは通信しない
・フィッシング詐欺に強い。偽サイトでは鍵自体が機能しない設計になっている
・デバイス紛失リスクはあるが、クラウド同期でほぼ解決できる
・全サービス対応はまだ先。でも対応済みサービスから順番に設定しておくのがベスト
・Googleアカウントへの設定は5分で完了。まず試してみよう
パスキーはパスワードを「完全になくす」魔法ではなく、パスワードが苦手なことを補う仕組みです。普及にはまだ時間がかかりますが、使えるところから積み重ねていくことが、今できる一番現実的なセキュリティ強化です。小さな一歩から始めてみてください。
ウイルス対策や詐欺への備えについては、こちらの記事もあわせてご覧ください。
【警告】AI音声クローン詐欺とは？家族の声が偽物になる手口と今すぐできる対策
