SMS認証からパスキーへ　日本の金融機関で進む導入と機種変更の備え

SMSで届くワンタイムパスワード（One-Time Password、OTP）は、固定パスワードだけに頼る認証より一段強いが、偽サイトへ入力した認証コードを攻撃者が正規サイトへ即座に転送する「リアルタイムフィッシング」には弱い。電話番号を不正に別のSIMへ移すSIMスワップでも、コードの受取先を奪われる。米国立標準技術研究所（NIST）のデジタル身元確認指針は、SMSを含む帯域外認証にはフィッシング耐性がなく、公衆電話網を使う方式を「制限付き認証器」と位置づけている。

日本では、証券口座への不正アクセスを受けて認証の見直しが具体化した。金融庁は2026年4月、銀行、信用金庫、証券会社、警察庁などと共同で、フィッシング耐性のある多要素認証を周知する広報を始めた。SMSを一斉に廃止する動きではない。認証コードを人が読み取って別の画面へ入力する方式から、正規のサイトでしか応答しない暗号鍵へ重心を移す取り組みである。

なぜSMS認証だけでは足りないのか

SMSの認証コードは短時間で失効しても、その時間内なら転送して使える。攻撃者が偽のログイン画面を正規サイトと同時に動かせば、利用者が入力したID、パスワード、認証コードを順番に中継できる。コードが本物の通信事業者から届いたことは、いま開いている画面が正規サイトであることを保証しない。

SIMスワップは別の経路を突く。電話番号の契約やSIMを攻撃者側へ移されると、正規サービスが送ったSMSも攻撃者に届く。NISTの指針は、公衆電話網を使う帯域外認証を採用する組織にリスク評価を求め、同じ認証保証レベルを満たす制限のない代替手段を少なくとも一つ提供するよう定めている。SMSが直ちに使えなくなるという意味ではなく、SMSだけを強い認証の最終形とみなさないという整理だ。

パスキーの仕組み──入力する秘密をなくす

パスキー（Passkey）は、FIDO規格に基づく認証情報である。登録時に公開鍵と秘密鍵の組をつくり、公開鍵はサービス側、秘密鍵は端末やパスワード管理機能側に置く。ログイン時はサービスから届く要求に秘密鍵で署名し、サービスは公開鍵で確かめる。FIDO Allianceは、パスキーを暗号鍵の組でパスワードを置き換えるフィッシング耐性のある認証と説明し、複数端末へ同期する方式と特定端末に固定する方式の両方を示している。

顔や指紋そのものがサービスへ送られるわけではない。生体認証や端末のPINは、端末内の秘密鍵を使う本人かどうかを端末側で確かめる役割を持つ。パスキーは登録先のドメインと結び付くため、見た目を似せた別ドメインの偽サイトから認証を求められても、正規サイト用の秘密鍵は応答しない。利用者が転記できるコードも画面に出ない。

日本の金融サービスで進む実装

金融庁の金融商品取引業者向け監督指針は、ログイン、出金、出金先銀行口座の変更など重要な操作で、パスキーや公開鍵基盤を例とするフィッシング耐性のある多要素認証を実装し、原則として必須にするよう求めている。スマートフォンなど必要な機器を持たない利用者には代替的な多要素認証を用意することも盛り込んだ。日本での導入は、個々の事業者の利便性向上策にとどまらず、監督上の要請と結び付いている。

SBI証券は2025年10月にパスキー認証を導入し、2026年6月13日から全チャネルで利用可能にした。SBI証券の案内では、端末の画面ロックとパスワード管理機能を準備し、口座の「セキュリティ設定」からパスキーを登録する。登録後は顔、指紋、PINなどでログインし、登録済みパスキーの確認や削除も同じ設定画面から行う。

ただし、名称が「パスキー」でも利用条件は一律ではない。利用できるOSやブラウザ、パスキーの保存先、パスワードを併用できるか、出金時にも使うかはサービスごとに異なる。日本国内の金融・決済サービス全体を横断する公的な導入率は、本稿の執筆時点で確認できていない。

設定前に確認する三つの項目

第一は端末の画面ロックである。顔認証や指紋認証がなくても、対応するPINやパターン、端末パスコードを使える場合がある。第二は保存先だ。iPhoneやMacならiCloudキーチェーン、AndroidやChromeならGoogleパスワードマネージャー、WindowsならWindows Helloなどが候補になる。第三はサービス側の復旧手段である。端末を失ったときに使う予備のパスキー、物理セキュリティキー、既存のアカウント復旧手順を登録前に確認する。

Googleアカウントでは、ログインオプションから「パスキーを作成する」を選び、端末のロックを解除して登録する。Googleは、自分が所有して普段使う端末だけで作成するよう注意し、端末を紛失した場合はアカウント設定から該当するパスキーを削除する手順を案内している。共有PCにパスキーを残すと、その端末を解除できる人がアカウントへ入れるおそれがある。

サービス側で「パスキーを作成」「パスキーを登録」などを選ぶと、OSまたはブラウザが保存先と本人確認を提示する。登録後は一度ログアウトし、パスキーで戻れるかを確かめる。予備の認証手段を削除する場合は、この動作確認と紛失時の復旧方法の確認を先に済ませる必要がある。

機種変更と紛失への備え

機種変更の前には、パスキーがどこに保存されているかを確認する。Googleパスワードマネージャーに保存したパスキーは、同じGoogleアカウントでログインした対応端末から利用できる。Apple製品では、iCloudキーチェーンを有効にし、同じApple Accountで使う端末へパスキーを同期する。

保存先が新しい端末にない場合でも、古いスマートフォンが手元にあれば端末間認証を使える。Appleは、別の端末に表示したQRコードをiPhoneで読み取り、iCloudキーチェーン内のパスキーでサインインする手順を案内している。これは古い端末のパスキーを新しい管理機能へ一括移行する操作ではない。旧端末でログインを承認した後、必要なら新端末側にも新しいパスキーを登録する。

端末を紛失した場合は、まずApple AccountやGoogleアカウントの端末一覧から紛失端末を保護し、対象サービスに登録されたパスキーも確認する。サービス側の登録を消しても、端末やパスワード管理機能に認証情報が残る場合があるため、双方を点検する。同期も予備のパスキーもなく、復旧経路を使えなければ、サービスの本人確認から登録し直すことになる。

よくある質問

SMSの認証コードはすぐになくなるのか
一律に廃止されるわけではない。NISTは公衆電話網を使う認証を制限付きとし、金融庁は証券会社にフィッシング耐性のある多要素認証の原則必須化を求めているが、代替手段や移行時期はサービスごとに異なる。

パスキーを作ればパスワードは消えるのか
サービスの設計による。Googleアカウントはパスキーを優先する設定に切り替わっても、設定を変えればパスワードでのログインを残せる。金融サービスでもパスワード経路の無効化を別項目として用意する例がある。

スマートフォンを替えるとパスキーは使えなくなるのか
同じパスキー管理機能に同期される端末なら引き継げる。同期先が異なる端末では、手元の旧端末でQRコードを読み取って認証し、新端末にもパスキーを登録する方法がある。利用条件はサービス、OS、ブラウザで異なる。