SMS認証とパスキーの違い　フィッシング耐性と機種変更の備え

パスキー（Passkey）は、公開鍵暗号を使い、正規のWebサイトやアプリへのログインを端末側で承認する認証方式だ。利用者が入力して相手へ渡す認証コードはなく、指紋、顔、暗証番号（PIN）などで端末内の秘密鍵の使用を承認する。SMSワンタイムパスワード（One-Time Password、OTP）が直ちに消えるわけではないが、フィッシングへの耐性には明確な差がある。

米国立標準技術研究所（NIST）のSP 800-63B-4は、SMSを含む帯域外認証にはフィッシング耐性がなく、公衆電話網を使う認証を「制限付き」とし、SIMの変更や電話番号の移転をリスク指標として挙げている。「制限付き」は即時禁止という意味ではない。米国のデジタル身元確認に関する技術指針であり、日本を含む全サービスに共通のSMS廃止日を告知した文書でもない。

違い──転記するコードか、端末が返す署名か

SMS OTPでは、サービスが短時間だけ有効なコードを作り、電話網を通じて利用者へ送る。利用者は届いた数字をログイン画面に転記する。このため、偽サイトへ入力したコードを攻撃者が有効時間内に正規サイトへ中継する余地がある。コードの送信元が正しくても、いま開いている画面が正規サイトだという保証にはならない。

パスキーの登録時には、公開鍵と秘密鍵の組が作られる。公開鍵はサービス側に登録され、秘密鍵は端末やパスキー管理基盤に置かれる。ログイン時はサービスから届く要求に秘密鍵で署名し、サービスが公開鍵で検証する。デジタル庁の2026年2月の解説書は、パスキーがWebサイトのドメインに結び付けられ、偽サイトのドメインでは正規のパスキーを使えない仕組みを説明している。攻撃者が入力済みのコードを横流しする形が成立せず、サービス側から公開鍵が漏れても、その鍵だけでは署名を作れない。

SIMスワップや不正な番号移転は、SMSの受取先を攻撃者側へ変える。パスキーの秘密鍵は電話番号に保存されていないため、番号が別のSIMへ移っただけでは複製されない。ただし、サービスがSMSを復旧手段として残していれば、その経路を狙う攻撃の余地は残る。

生体認証はパスキーそのものではない

指紋や顔の情報をWebサイトへ送って照合する仕組みではない。生体認証やPINは、手元の端末で秘密鍵の使用を承認するために使われる。Googleは、生体認証データは端末に保存され同社とは共有されない一方、パスキーを作った端末のロックを解除できる人はGoogleアカウントへアクセスできると説明している。パスキーを作る端末には推測されにくい画面ロックを設定し、共有端末には登録しないのが前提となる。

対応状況と保存先を先に確かめる

利用を始める場所は、銀行、通販、メールなど各サービスのアカウント設定だ。「パスキーを作成」「パスキーを追加」といった項目がなければ、未対応か、対象となるOSやアプリが限られている可能性がある。AppleのiPhone向け案内は、対応サービスで作ったパスキーがiCloudキーチェーンに保存され、同じApple Accountの端末で使われること、別の端末からは表示されたQRコードをiPhoneで読み取る経路があることを示している。

次に見るのは保存先だ。FIDO Allianceは、パスキーを同じ管理基盤の端末間で同期する型と、一つの端末やハードウェアセキュリティキーに固定する型に分け、手元の端末を使うQRコード方式の端末間認証も説明している。同じ「パスキー」という表示でも、すべての端末へ自動で複製されるとは限らない。Apple、Google、Windows、第三者のパスキー管理アプリをまたぐ場合は、保存先と同期範囲を個別に確かめる必要がある。

機種変更前に確認する四項目

1　保存先
パスキーがOS標準の管理基盤、第三者の管理アプリ、ハードウェアセキュリティキーのどこにあるかを確認する。同期型なら、新端末が同じ管理基盤の同じアカウントへ接続しているかも見る。

2　予備の認証手段
旧端末でまだログインできるうちに、サービスが許すなら第二のパスキーや別の認証器を登録する。登録後は実際にログインし、表示されるパスキーの保存先も確かめる。

3　アカウント復旧
登録済みの連絡先、リカバリーコード、本人確認の手順を確認する。デジタル庁の解説書は、パスキーより弱い「パスワードとOTP」を復旧に使うと、その経路がリアルタイムフィッシングの起点になりうると指摘し、同等以上の強度を持つ復旧手段の検討を求めている。パスキー本体が強くても、復旧経路まで同じ強度になるとは限らない。

4　旧端末を消去する時期
新端末で主要アカウントへのログインを試し、同期またはQRコードによる端末間認証が動くことを確認してから旧端末を初期化する。端末を紛失した場合は、別の信頼できる端末からサービス側の登録済みパスキーと、パスキー管理基盤の端末一覧を確認する。

導入後も残る経路

パスキーの追加が、既存のパスワード、SMS、復旧用メールを自動で無効にするとは限らない。Googleアカウントでも、パスキーを追加しただけでは現在の認証要素と復旧要素は削除されない。サービスの設定画面で、パスワードを残すのか、SMSをログインと復旧のどちらに使うのかを分けて確認する必要がある。

対応範囲も一律ではない。日本国内の金融、行政、EC、SNSを横断してパスキー導入率を示す公的な統計は、本稿の執筆時点で確認できていない。個別サービスの対応例から国内全体の普及率は算出できず、画面の名称や復旧手順も更新で変わりうる。利用者側で確かめられるのは、自分のアカウントに登録項目があるか、どこへ保存されるか、端末を失ったときに何を使うかという三点だ。

よくある質問

SMS OTPは完全に廃止されるのか
世界共通の廃止日は確認されていない。NISTは公衆電話網を使う認証を制限付きとするが、直ちに禁止する位置づけではなく、実際の提供終了時期はサービスごとに異なる。

パスキーには顔認証が必須なのか
必須ではない。端末とサービスの対応状況に応じて、指紋、顔、端末のPINやパスコード、ハードウェアセキュリティキーなどが使われる。生体情報そのものをサービスへ送る仕組みではない。

機種変更前に最初に見る項目は何か
パスキーの保存先と同期範囲を先に確認する。次に、旧端末が使えるうちに新端末でログインを試し、第二の認証器またはサービス側の復旧手順を確保する。