パスキーのデメリットとは？危険性の実態と企業がとるべき対策を解説
パスキーの主なデメリットは、暗号の弱さではなく、その周りの運用にあります。端末を失ったときの復旧、パスワードやSMSとの併存、同期先のアカウントへの依存が代表的です。
結論を先に一覧にします。
| デメリット | 影響 | 主な対策 |
|---|---|---|
| 端末を失うと使えなくなることがある | ログインできなくなる | 複数のパスキー登録、強い回復手順 |
| 同期先のアカウントに依存する | そのアカウントが破られると影響を受ける | 同期先の保護、重要な操作の追加確認 |
| 別の環境への移行に制約がある | 乗り換えで再登録が必要なことがある | 別の認証手段を残す |
| 古い端末や共有端末に向かない | 使えない利用者が残る | 代替の認証手段を用意する |
| パスワードが残ると効果が下がる | 攻撃者がパスワード側を狙う | 段階的にパスワードを減らす |
| 回復の手順が弱点になる | 回復の経路から乗っ取られる | 回復時の確認を強くする |
| 登録が進まない | 効果が一部の利用者に限られる | 登録の導線を設計する |
| 導入と運用に手間がかかる | 開発と問い合わせ対応が増える | 外部サービスの活用、段階的な公開 |
パスキーの基本はパスキーとは？仕組みとメリットで解説しています。
利用者から見たデメリット
端末を失うとログインできなくなることがある
パスキーには2種類あり、復旧のしやすさが違います。
- 同期パスキー: クラウドで同期されるため、別の端末や復旧手段で回復できます。Appleは、すべての端末を失っても回復できると説明しています
- デバイス固定パスキー: 1台の端末の外に出ないため、その端末を失うと回復できません。追加の認証器や別の回復手段が必要です
同期パスキーでも、同期先のアカウントに入れなくなれば使えません。
同期先のアカウントに依存する
同期パスキーの安全性は、AppleやGoogleなどの同期先のアカウントの安全性に左右されます。FIDO Allianceの文書も、同期によって攻撃面が広がること、同期先が破られるとパスキーを奪われる恐れがあることに触れています。
各社は対策を取っています。
- Appleは、エンドツーエンド暗号化を使い、iCloudキーチェーンに2要素認証を必須としていると説明しています
- Googleは、同期時にエンドツーエンド暗号化を行い、新しい端末での復元にアカウントへのサインインと既存端末の画面ロックが必要と説明しています
別の環境へ移しにくい
これまで、パスキーは保存先のサービスから出しにくいことが弱点でした。ここは改善が進んでいます。
- AppleはiOS 26などで、対応するパスワードマネージャーの間の移行に対応しました
- Googleは2026年9月に、AndroidでのGoogleパスワードマネージャー、1Password、Bitwarden、Dashlaneの間の移行を案内しました
ただし、これらは主に同じOSの中での移行です。iPhoneとAndroidの間で直接移す手段は、公式資料では確認できませんでした（2026年11月時点）。OSをまたぐ場合は、もう一方の端末でログインしてパスキーを新しく作るのが確実です。
古い端末や共有端末に向かない
Googleの案内では、Android 9、iOS 16、Windows 10、macOS Ventura以降が必要です。これより古い端末では使えません。
また、Googleは共有の端末でパスキーを作らないよう案内しています。端末のロックを解除できる人は、そのパスキーを使ってログインできるからです。家族で1台のタブレットを使う場合などは注意が必要です。
企業から見たデメリット
パスワードが残ると効果が下がる
企業にとって最大の落とし穴です。パスキーを追加しても、パスワードでログインできる限り、フィッシング攻撃者はそちらを狙います。
Passkey Centralは、「この環境は非対応」と偽ってパスワードを有効に戻させる手口も紹介しています。
対策は、段階的にパスワードを減らすことです。まず任意の機能として導入し、登録者のパスワードを無効にできるようにして、最終的にパスワードやSMSなど、フィッシングに弱いログインを終えます。LINEヤフーは、2027年春頃までにYahoo! JAPAN IDのパスワードのみのログインを終える予定です。
回復の手順が弱点になる
回復の手順がメールやSMSのコードだけだと、攻撃者はパスキーを破らずにアカウントを奪えます。Passkey Centralも、この種の制限はログインと回復の両方に適用すべきとしています。
回復の場面では、本人確認書類の確認など強い手段を使います。回復後の一定期間は出金や連絡先の変更を制限し、回復が行われたことを通知します。
登録が進まない
パスキーを用意しても、利用者が登録しなければ効果は出ません。Passkey Index 2026の平均では、利用できるアカウントのうち登録済みは42%、成功したサインインのうちパスキーは36%でした。
大手が集まる調査でもこの水準なので、短期間で全員が移ると考えないほうが安全です。ログイン直後に登録を案内し、登録した人にはパスキーを標準の経路として見せるなど、導線の設計が必要です。
導入と運用に手間がかかる
開発だけでなく、次の作業も発生します。
- 利用者への告知と説明
- 問い合わせ窓口の準備（機種変更、端末の紛失、パソコンでの利用など）
- ブラウザとOSの更新への追従
- 使えない利用者のための代替手段の維持
手順はパスキー導入の進め方で解説しています。
端末を確認できない場合がある
同期パスキーでは、どの端末で作られたかを証明するattestation（＝認証器の出自の証明）を使えないことがあります。Microsoft Entraの文書は、同期パスキーは端末の出自を証明できず、attestationを必須にすると同期パスキーは使えなくなると説明しています。
特定の端末だけに利用を限定したい社内システムなどでは、デバイス固定パスキーを検討します。一方、一般消費者向けのサービスでは、NIST SP 800-63B-4が、attestationがないことを理由に同期を止めるべきではないとしています。
「パスキーは危険」は本当か
検索すると「パスキーは危険」という言葉も見かけます。よくある不安を整理します。
生体情報が盗まれるのではないか
生体情報はサイトに送られません。生体認証は端末の中で行われ、サイトが受け取るのは署名の結果だけです。サイトから情報が漏えいしても、顔や指紋のデータが流出することはありません。
偽サイトで盗まれるのではないか
パスキーは作成したサイトのドメインに結びついており、偽サイトでは使えません。ここはパスワードやSMS認証より明確に強い部分です。
ただし、万能ではありません。パスキーが守るのはログインの瞬間です。ログイン後のセッションを奪われた場合や、端末そのものがマルウェアに感染した場合は、別の対策が必要です。重要な操作の前の再確認や、不審な動きの検知と組み合わせます。
ダウングレード攻撃で破られるのではないか
ダウングレード攻撃とは、パスキーが使えないように見せかけて、弱い認証手段に誘導する手口です。Proofpointは2025年8月、Microsoft Entra IDでこの手法が成り立つことを示しました。
同社は、実際の攻撃は確認されていないとしつつ、今後の脅威として警戒を促しています。一方でパスキーは引き続き強く推奨しており、この攻撃もFIDO以外の認証手段がアカウントに残っていることを前提にしています。つまり、対策は先ほどと同じで、パスワードやSMSの経路を減らすことです。
指紋や顔が使えない人はどうするのか
パスキーは生体認証だけでなく、端末のPINでも使えます。生体認証が使えない人でも利用できます。
それでも導入すべき理由：メリットがデメリットを大きく上回る
ここまで弱点を並べましたが、結論は変わりません。パスキーのメリットは、デメリットを大きく上回ります。
理由ははっきりしています。パスキーのデメリットは、ほとんどが設計で小さくできる運用の課題です。一方、パスワードとSMS認証の弱点は、仕組みそのものにあります。
| 比べる点 | パスキーのデメリット | パスワード・SMS認証の弱点 |
|---|---|---|
| 性質 | 運用の設計で小さくできる | 仕組みそのものにあり、運用では消せない |
| 例 | 端末の紛失、回復の手順、パスワードの併存 | 偽サイトへの入力、使い回し、認証コードの転送 |
| これから | 移行機能などOSと標準の改善で減っている | SMSのコードをリアルタイムに盗む手口など、攻撃は巧妙になっている |
ログインの成功率と速さが段違い
| 出典 | パスキー | 比較対象 |
|---|---|---|
| Microsoft（2025年5月） | 成功率 約98% | パスワード 約32% |
| Microsoft（同） | パスワードと多要素認証の8倍速い | － |
| Passkey Index 2026（回答した12社の平均） | 成功率 93% | パスワードと従来型の多要素認証 78% |
| メルカリ | 成功率 82.5%、平均4.4秒 | SMS認証 67.7%、平均17秒 |
調査ごとに比較対象は違いますが、どの調査でもパスキーが大きく上回っています。Microsoftの数字では、パスワードの利用者の3人に2人がログインでつまずいている計算です。
フィッシングの前提そのものを崩せる
パスワードやSMS認証の対策は、盗まれることを前提にした「盗まれた後の守り」です。認証コードを足しても、利用者が偽サイトに入力すれば攻撃者はそれを正規サイトに転送できます。政府の総合対策2.0も、送金時のSMS認証コードをリアルタイムに盗む手口を取り上げています。
パスキーは偽サイトではそもそも使えません。盗ませない仕組みなので、フィッシングの前提が成り立たなくなります。Passkey Index 2026では、フィッシングを測定している8社のすべてが、導入後に成功する攻撃が減ったと報告しました。
守りを固めるほど、売上とコストも良くなる
セキュリティを強くすると、普通は利用者の手間が増えます。追加の認証は離脱を招き、問い合わせも増えます。
パスキーはその逆です。
- ログインの失敗が減る: 成功率が上がるほど、ログインでの離脱が減る
- 問い合わせが減る: Passkey Index 2025では、サインインに関するヘルプデスクの件数が最大81%減った
- SMSの費用が減る: Passkey Index 2026では、削減額のデータを提供した参加企業のすべてが、SMS認証の費用が下がったと報告した
守りの強化と利用者の体験の改善、コストの削減が同時に進む。これが、パスキーがほかのセキュリティ対策と決定的に違う点です。
大手も規制も、すでにパスキーを前提に動いている
- Microsoft: 2025年5月、新規アカウントをパスワードなしで作る形を標準にした
- LINEヤフー: 2027年春頃までにYahoo! JAPAN IDのパスワードのみのログインを終える予定
- 金融: 日本証券業協会のガイドラインと、証券・銀行・保険の監督指針が、フィッシングに耐性のある多要素認証の必須化を求めている
- 世界全体: FIDO Allianceは、使われているパスキーを推計70億としている（2026年10月）
もはや問題は「導入するかどうか」ではありません。「いつ、どの順番で導入するか」です。デメリットは、その順番を設計するときの注意点として扱えば十分です。
パスキーが向かないケース
Capyは、次の場合は導入の優先度を下げてよいと考えています。
- 利用者の多くが共有の端末を使っている
- 古い端末を使う利用者が大半で、すぐには移行できない
- 金銭や重要な個人情報を扱わず、不正ログインの被害がほとんどない
逆に、不正ログインの被害がある、SMSの費用が大きい、パスワード忘れの問い合わせが多いサービスでは、検討する価値が高いと考えます。
よくある質問
Q. パスキーは二度と使えなくなることはありますか？
同期先のアカウントに入れなくなり、端末もすべて失った場合などは使えなくなることがあります。その場合は、サービスが用意する手順で本人確認をして再登録します。
Q. スマートフォンを貸したら、ログインされてしまいますか？
端末のロック解除に使う顔や指紋、PINが登録されている人は、パスキーを使えます。PINを教えた相手や、顔や指紋を登録した家族も同様です。
Q. パスキーとパスワードは併用しても問題ありませんか？
移行の途中では併用が現実的です。ただし、パスワードが残っている間はフィッシング対策としての効果は限られます。最終的にパスワードを減らす計画を立ててください。
Q. AppleやGoogleにログイン情報を握られませんか？
Appleはエンドツーエンド暗号化を採用していると説明しており、Googleも同期時の暗号化を説明しています。また、パスキーの保管先は端末やパスワードマネージャーで選べる場合があります。
まとめ
パスキーのデメリットは、端末の紛失、同期先への依存、パスワードの併存、回復の手順に集まっています。いずれも運用の設計で小さくできるものです。特に企業は、パスワードと回復の経路をどう扱うかを最初に決めてください。
Capyは、FIDO規格に準拠したパスキー認証を提供しています。導入サービスの対象ユーザー数は2026年6月時点で478万人を超えました。自社のサービスで何を残し、何を減らすべきか相談したい方は、お問い合わせください。