2FAとパスキーの違い｜安全性・フィッシング耐性を比較

2FAとパスキーはどちらを使うべきか

対応しているサービスであれば、私はパスキーを優先しています。

パスキーを利用できない場合は、認証アプリを使った2FAを設定し、SMSやメール認証は予備の手段として使います。

認証方法	安全性	フィッシング耐性	使いどころ
パスワードのみ	低い	なし	単独では使わない
SMS・メール認証	パスワードのみより高い	なし	他の方法がない場合
認証アプリ	高い	なし	一般的な2FAとして使いやすい
パスキー	高い	高い	対応サービスでは優先

認証アプリのワンタイムコードは安全性の高い方法ですが、偽サイトへ自分でコードを入力すると盗まれる可能性があります。

一方、パスキーは登録したサイトを認証時に確認する仕組みがあるため、よく似た偽サイトへ認証情報を渡しにくい点が大きな違いです。

2FA（二要素認証）とは

認証アプリとして広く使われているGoogle Authenticator

2FAは「Two-Factor Authentication」の略で、日本語では二要素認証と呼ばれます。

パスワードだけでなく、異なる種類の認証要素を組み合わせて本人確認を行う仕組みです。

一般的な2FAでは、最初にIDとパスワードを入力し、続いてスマートフォンへ届くコードや認証アプリに表示されたコードを入力します。

パスワードが漏れても、二つ目の認証を突破されなければ、不正ログインを防げる可能性が高くなります。

2FAには複数の方式がある

「2FAを設定していれば、どの方式でも同じ」というわけではありません。

2FAのメリット

2FAの注意点

スマートフォンを紛失したり、機種変更前に設定を移行し忘れたりすると、自分自身がログインできなくなることがあります。

2FAを有効にするときは、表示された復旧コードを必ず保存してください。

復旧コードをスマートフォンのスクリーンショットだけで保存すると、端末を紛失したときに一緒に失います。紙、暗号化した保管場所、別の安全な端末などへ分けて保存しておく方が安心です。

パスキーとは

参照：トレンドマイクロ

パスキーは、パスワードの代わりに公開鍵暗号を使ってログインする認証方法です。

登録時に、利用者側へ秘密鍵、サービス側へ公開鍵が作成されます。ログイン時には利用者側の秘密鍵で認証処理を行い、サービス側が公開鍵を使って本人であることを確認します。

秘密鍵そのものをサービスへ送信することはありません。

画面上では指紋や顔を使いますが、指紋データや顔写真がサービスへ送られるわけではありません。生体認証は、端末内のパスキーを利用してよい本人かどうかを確認するために使われます。

パスキーには同期型と端末固定型がある

パスキーは、すべて同じ方法で保存されるわけではありません。

同期型であっても、同期元となるGoogle、Apple、Microsoftなどのアカウントが安全でなければなりません。パスキーを保存するアカウント自体にも、強い認証を設定しておきましょう。

パスキーがフィッシングに強い理由

パスキーは、登録したサービスのドメインと認証情報を結び付けて利用します。

本物そっくりの偽サイトを開いても、登録先のドメインが異なれば、そのサイト用のパスキーとして認証できません。

パスワードやワンタイムコードのように、利用者が文字列を偽サイトへ入力する仕組みではないため、フィッシングへの耐性が高くなります。

ただし、パスキーを設定すれば端末自体の管理が不要になるわけではありません。

第三者にロック解除された端末を渡した場合や、同期元のアカウントを乗っ取られた場合には、不正利用の危険が残ります。

パスキーのメリット

FX-EAラボでも、対応している重要サービスは可能な範囲でパスキーへ移行しています。

パスワードと認証アプリを入力するより操作が短く、日常的に使うアカウントほど利便性も感じやすい方法です。

パスキーの注意点

パスキーを使えるサービスは増えていますが、すべてのサイトやアプリが対応しているわけではありません。

特に注意したいのは、パスキーを設定しても、弱いパスワードや安全性の低い復旧方法が残っているケースです。

攻撃者はパスキーそのものではなく、メールによるパスワード再設定や、サポート窓口での本人確認を狙うことがあります。

パスキーを登録したあとも、復旧用メールアドレス、電話番号、予備の認証方法を確認してください。

パスワード・2FA・パスキーの違い

三つの認証方法は、どれか一つを選べばよいとは限りません。サービスの対応状況に合わせて組み合わせます。

比較項目	パスワード	2FA	パスキー
入力方法	文字列を入力	パスワード＋追加認証	端末のPIN・生体認証など
使い回し	起きやすい	パスワード部分で起きる	サービスごとに異なる鍵を使用
フィッシング耐性	低い	方式による	高い
紛失時の備え	再設定用メールなど	復旧コード・予備端末	同期端末・予備キー・復旧手段
おすすめ度	単独利用は避ける	パスキー非対応時に有効	対応サービスでは優先

現実的には、パスキーへ完全移行できないサービスも残っています。

その場合は、サービスごとに異なるパスワードを設定し、認証アプリによる2FAを追加するのが基本です。

パスワードは管理ツールへ保存する

長く複雑なパスワードをサービスごとに覚えるのは現実的ではありません。

覚えやすさを優先すると、短いパスワードや使い回しが増えるため、ブラウザ内蔵型を含むパスワードマネージャーへ保存する方が安全に管理しやすくなります。

有料サービスだから必ず安全、ブラウザ内蔵型だから危険という単純な違いではありません。

パスワードを保存しているGoogle、Apple、Microsoft、1Passwordなどのアカウント自体を、パスキーや2FAで保護することが重要です。

重要なアカウントから認証を見直す

すべてのサービスを一度に変更する必要はありません。侵害された場合の影響が大きいアカウントから順番に見直します。

メールアカウントを最優先にする理由は、多くのサービスでパスワード再設定の受け皿になっているためです。

メールを乗っ取られると、そこからFX口座、クラウドサービス、SNSなどのパスワードを順番に変更される可能性があります。

実際に行う設定の順番

古い端末がアカウントへ残っていると、現在使っていない端末からログインできる状態が続きます。

認証方法を変更したあとは、ログイン履歴と登録端末も確認してください。

2FAとパスキーのよくある質問

まとめ｜パスキーを優先し、使えない場合は2FAを設定する

パスワードだけの認証は、漏えいやフィッシングに弱く、重要なアカウントを守るには不十分です。