パスキーとは？
パスワードと何が違うのか
初心者向け・仕組みをやさしく解説
パスキーとは、パスワードの代わりにスマートフォンやパソコンの指紋認証・顔認証・PINを「鍵」として使う新しいログイン方式です。Google・Apple・Microsoftの3社が共同で推進する国際標準（FIDO）に基づいており、主要なサービスが続々と対応しています。
| 比較項目 | パスワード | パスキー |
|---|---|---|
| 覚える必要 | ✗ あり（サービスごとに複数） | ✓ なし（指紋・顔だけ） |
| 入力の手間 | ✗ 毎回入力 | ✓ 1秒で完了（生体認証） |
| フィッシング詐欺 | ✗ 偽サイトに入力すると盗まれる | ✓ 偽サイトでは動作しない（構造的に無効） |
| 流出リスク | ✗ サービス側から漏洩する事例多数 | ✓ 秘密の鍵は端末内のみ・盗まれても使えない |
| 使い回しの危険 | ✗ 1つ漏れると全部危険 | ✓ サービスごとに自動で別の鍵 |
| 定期変更 | ✗ 必要（面倒） | ✓ 不要 |
パスキーは「鍵と鍵穴」の関係です。あなたの端末の中に「秘密の鍵」が保存され、サービス側には「鍵穴」だけが登録されます。ログイン時は指紋や顔で本人確認をして鍵を使います。鍵そのものはネットに流れないため、盗みようがない——これがパスワードとの決定的な違いです。
生成AIによって本物と見分けがつかないフィッシングメールが大量に出回るようになり、従来のワンタイムパスワード（SMS認証）も突破される事例が増えています。金融庁の監督指針改正を受けて、楽天証券は2026年6月以降パスキー認証を段階的に必須化。証券・銀行を中心に「パスキーでなければログインできない」サービスが今後増えていきます。
今すぐできる！
パスキーの設定手順
初心者向け・5分で完了・費用ゼロ
まずは毎日使うGoogleアカウントとMicrosoftアカウントから始めましょう。どちらも5分程度で設定でき、対応サービスは今後も増え続けます。
Googleアカウントでのパスキー作成
Googleアカウントの「セキュリティ」設定を開く
ブラウザで myaccount.google.com にアクセスし、左メニューの「セキュリティ」をクリックします。
「パスキーとセキュリティキー」→「パスキーを作成」をクリック
本人確認のためパスワードの入力を求められます。その後「パスキーを作成」ボタンをクリックします。
指紋・顔・PINで認証して登録完了
Windowsなら「Windows Hello」（顔・指紋・PIN）、スマホなら指紋・顔認証で本人確認すると登録が完了します。次回から「パスワードなし」でログインできます。
Microsoftアカウントでのパスキー作成
account.microsoft.com の「セキュリティ」を開く
Microsoftアカウントにサインインして「セキュリティ」→「サインインの方法を管理」を開きます。
「サインイン方法を追加」→「顔、指紋、PIN、またはセキュリティキー」を選択
パスキー（Windows Hello）を追加します。画面の指示に従って顔・指紋・PINのいずれかで認証します。
登録完了 — 複数の端末にも追加しておく
スマホのMicrosoft Authenticatorアプリでもパスキーを作成できます。PCとスマホの2か所に登録しておくと安心です。
パスキーは複数の端末に登録できます。「スマホ＋PC」のように2〜3か所に登録しておけば、1台を失っても残りの端末でログインできます。iPhoneならiCloudキーチェーン、AndroidならGoogleパスワードマネージャーがパスキーを自動で同期してくれる設定が標準になっています。
いきなり全社展開はNGです。まず管理者が「パスキー利用を許可する」設定を行い、自分のアカウントで体験するのが現実的な順番です。Microsoft 365なら管理者がEntra管理センターで「パスキー（FIDO2）」を有効化、Google Workspaceなら管理コンソールの「セキュリティ→認証→パスワードレス」で許可します。既存のパスワード方式と併用しながら徐々に移行しましょう。
「スマホをなくしたら？」
よくある不安への答え
全員向け・運用ルール
パスキーへの移行で最も多い不安が「端末をなくしたらログインできなくなるのでは？」というものです。正しく設定していれば大丈夫です。よくある疑問に答えます。
スマホ＋PCなど2〜3か所に登録しておけば、1台失っても残りでログインできます。iCloudキーチェーンやGoogleパスワードマネージャーの同期で新しいスマホにも引き継げます。
パスキー非対応の古いサービスも残っています。対応サービスから順次パスキー化し、非対応サービスはパスワード管理ツールで管理するのが2026年の標準的なやり方です。
指紋や顔のデータはスマホ・PCの中だけで照合され、サービス側には一切送信されません。生体情報が漏洩する心配はありません。
顔認証カメラや指紋リーダーがないPCでもPIN（暗証番号）でパスキーを使えます。業務利用の場合は「業務アカウントのパスキーは会社の管理下に置く」というルールを文書化しておくと安心です。
パスキーはフィッシング対策として構造的に強力ですが、端末そのものの紛失・故障や、AppleやGoogleアカウント自体が乗っ取られるリスクは残ります。①端末のロック（PIN・生体認証）を必ず設定する ②AppleやGoogleアカウント本体にも強い認証を設定する ③予備端末に登録しておく——この3つをセットで運用しましょう。
①まず経営者・管理者が自分のGoogle/Microsoftアカウントでパスキーを体験する → ②銀行・証券・会計サービスなどお金に関わるサービスを優先的にパスキー化 → ③スタッフのアカウントに展開——という順番が失敗しない進め方です。1日ですべてやる必要はありません。今日はまず1つのアカウントから始めましょう。