LINEヤフーが11月6日、「LINE」でパスキーへの対応を始めた。これを伝えるITmedia Mobileの記事（11月6日）が話題を呼んでいる。パスワードを入力しないのに、なぜパスキーは安全だといわれるのだろうか。
ここがポイント
- 秘密鍵は端末の外に出ない
- 偽サイトでは鍵が反応しない
- 指紋や顔のデータは送られない
答えは「鍵のペア」にある
先に答えを言うと、パスキーが安全とされる最大の理由は、盗まれたら使われてしまう「共有の秘密」を、利用者とサービスが持ち合わないことにある。
パスワードは、利用者もサービスも同じ文字列を知っているから成り立つ。だからサービス側から漏れたり、利用者がだまされて打ち込んだりすれば、他人が同じ文字列でログインできてしまう。
パスキーは「公開鍵暗号」という仕組みを使う。登録のとき、端末の中で「公開鍵」と「秘密鍵」の対が作られる。公開鍵はサービス側に預け、秘密鍵は端末に残したままだ。
たとえるなら、公開鍵は「錠前」、秘密鍵は「その錠前だけを開ける鍵」。サービスが預かるのは錠前だけで、錠前がいくつ盗まれても、それでドアは開かない。
ログインのたびに、サービスは毎回違う問題を端末に送る。端末は秘密鍵でその問題に署名して返し、サービスは公開鍵で署名を確かめる。鍵そのものは、ネットの上を一度も通らない。
指紋や顔は「鍵を開ける手」
では、生体認証は何をしているのか。
端末の中にしまわれた秘密鍵を、使ってよいかどうか決める係だ。指紋や顔の照合は端末の中で完結し、サービス側に届くのは本人確認が済んだという結果だけだと、東京都のサイバーセキュリティ関連の解説は説明している。指紋や顔のデータそのものは、ネットに送られない。
FIDOアライアンスによると、パスキーの承認はスマートフォンの画面ロックを解くときと同じ方法で行う。生体認証のほか、PINやパターンでも同じ扱いだ。パスキーの本体は指紋や顔ではなく、端末に保存された秘密の鍵のほうにある。
偽サイトに鍵は反応しない
フィッシングに強いといわれる理由も、この鍵のペアにある。
パスワードは、本物そっくりの偽サイトに入力した瞬間、自分で相手に渡すことになる。パスキーの鍵は、登録した正規サイトの情報とひもづいて保存される。見た目が同じでもドメインの違う偽サイトに対しては、端末が署名に応じない。人間の目をだませても、鍵の照合はだませない。
フィッシング対策協議会の「フィッシングレポート2026」によると、2025年1〜12月の報告件数は過去最多の245万4297件で、2024年の約1.43倍だった。パスワードを打ち込ませる手口が、それだけ広がっているということだ。
使い回しの心配が要らないのも、同じ理由による。鍵のペアはサイトやアプリごとに別々に作られる。あるサービスから情報が漏れても、ほかのサービスに入る材料にはならない。IPAの「情報セキュリティ10大脅威2026」の個人向け資料は、パスワードを使い回すと他のサービスでも不正ログインされるおそれがあると指摘している。
LINEで何が始まったのか
ITmedia Mobileによると、LINEヤフーは11月6日、LINEでパスキーへの対応を始めた。スマートフォンの機種変更でアカウントを引き継ぐ場面が、主な舞台になる。引き継ぎの流れや使い方の詳細は、元の記事で確かめてほしい。
LINEヤフーの発表では、対象はアプリのバージョン26.17.0以上。設定は、アプリの「設定」から「アカウント」「パスキー」と進んで行う。iPhoneとAndroidをまたぐ機種変更では、「iCloudキーチェーン」と「Googleパスワードマネージャー」の間でパスキーをコピーしておく手順が案内されている。
万能ではない。気をつけたい点
パスキーを設定すれば、すべて自動で済むわけではない。
LINEの公式ガイドは、パスキーの設定だけではアカウントやトーク履歴が自動で引き継がれないとして、機種変更の前にトーク履歴のバックアップとバックアップ用PINを用意するよう案内している。パスキーは「入口の鍵」であり、引き継ぐ中身の準備は別の話になる。
同じAppleアカウントやGoogleアカウントなら、新しい端末でも登録済みのパスキーが使える。裏を返せば、その入口になるアカウント自体の守りが大切になるということだ。パスキーの安全性は、端末のロックや各アカウントの管理とセットで成り立っている。
金融の現場ではすでに動いている
パスキーを後押ししているのは、LINEのような身近なアプリだけではない。証券の世界では、動きが先に進んでいる。
日本証券業協会は、昨今の大規模な不正アクセス・不正取引を踏まえ、証券会社がフィッシングに耐性のある多要素認証（パスキーによる認証など）の必須化に取り組んでいると周知している。利用者にも、パスキーが提供されている証券会社では速やかに切り替えるよう呼びかけている。
標準を定めたのは、業界団体のFIDOアライアンスだ。IPAは「10大脅威2026」の個人向けハンドブックで、パスキーが利用できる場合は極力使うよう示している。
