なぜパスワードレスが注目される？

従来のパスワード認証には多くの問題があります。ユーザーは覚えやすい単純なパスワードを使い回す傾向があり、それがセキュリティーリスクとなっています。Verizon社の2025年データ侵害調査レポートによれば、侵害の初期アクセスベクトルとしてログイン情報の盗用が22%を占め、依然として最も一般的な侵入経路の1つとなっています。また、データ漏洩によるパスワードの流出、フィッシング詐欺によるパスワード盗難などの脅威も増加しています。さらに深刻な問題として、同レポートによれば、企業のクレデンシャルの漏洩の46%は、会社が管理していないBYOD（Bring Your Own Device）デバイスからの漏洩であることが判明しており、ランサムウェア攻撃を受けた組織の54%では、マルウェアによって収集されたクレデンシャルがダークウェブ市場で販売されていたことも明らかになっています。従来の対策として多要素認証（MFA）が広く導入されてきましたが、攻撃者はMFAを迂回するための様々な技術を進化させています。同レポートによれば、Microsoft 365アカウントへの攻撃では、トークン盗難が31%と最も一般的なMFAバイパス手法となり、その他にもプロンプトボミングやAiTM（Adversary-in-the-Middle）攻撃などが確認されています。

企業においては、パスワードリセットの対応にかかる時間やリソースが大きな負担となっています。さらに、厳格なパスワードポリシーを設けても、ユーザーは回避する方法を見つけ出してしまうものです。このような背景から、パスワードに依存しない認証方法への移行が世界的に進んでいます。

パスキーとは？

パスキー（Passkey）とは、パスワードを使わずに認証を行う新しい標準規格です。FIDOアライアンスとW3Cによって策定されたWebAuthn（Web Authentication）技術をベースにしており、デバイスに内蔵された生体認証（指紋認証やFace IDなど）や暗号鍵を使って、安全かつ便利に認証を行うことができます。

パスキーの最大の特徴は、ユーザーがパスワードを記憶する必要がないこと。代わりに、生体認証などのより安全で使い勝手のいい方法でログインできます。また、フィッシング詐欺にも強く、サービス提供者側でのパスワード管理コストも削減できるという利点があります。

パスキーは書き留めたり記憶したりする必要はありません。代わりに、アカウント所有者のスマートフォンやその他の信頼できるデバイスに保存され、生体認証またはデバイスのPINによって保護されます。パスワードとは異なり、「弱い」パスキーというものは存在せず、使い回すこともできないため、各アカウントは実現可能な最高レベルの保護を受けられます。

パスキーが注目される背景

FIDOアライアンスによるグローバル調査では、パスキーが発表され一般消費者が利用できるようになってから2年間で、パスキーの認知度は2022年の39%から2024年には57%へと倍増しています。また、GoogleやMicrosoft、Appleといった大手テック企業も、パスキーへの対応を進めています。

さらに、サイバー攻撃が高度化・巧妙化する中、多要素認証だけでは不十分なケースも増えています。レポートでは、MFAを回避するための「プロンプトボミング」や「中間者攻撃（AiTM）」、「トークン盗難」などの事例が増加していることが警告されています。パスキーは公開鍵暗号方式を利用した認証で、従来の認証方法よりもセキュリティーレベルが高いため、企業のセキュリティー担当者からも注目を集めています。

このように、大きな流れではパスワードの時代は確実に終わりに向かっており、パスキーはその有力な後継者として期待されています。ですが、今現在、パスワード管理をしないでいいかと言うと、そうではありません。その両方に対応した管理アプリが必要なのです。