金融庁とパスキー: 日本におけるフィッシング耐性MFAへの推進（2026年）

1. はじめに：なぜ2026年4月16日の金融庁のページが重要なのか#

日本の2026年4月16日の金融庁のページが重要な理由は、目標が一般的なMFAからフィッシング耐性のある認証へと公に移行したからです。このページでは、推奨される例としてパスキーとPKIが挙げられ、最新のフィッシングに対する十分な保護としてメールやSMS OTPを拒否し、業界内だけのコンプライアンスの議論を消費者向けの市場シグナルへと変えています。

2026年4月16日の日本の金融庁の発表は、一見すると控えめに見えます。これは新しい法律ではありません。直接的な執行措置でもありません。新たなコンプライアンスの期限を公表するものでもありません。代わりに、ダウンロード可能なリーフレットやポスターを用いた一般向けキャンペーンを紹介しています。

ここで**金融庁（FSA）**が行ったのは、議論を業界や規制のチャネルからパブリックドメインへと移したことです。規制当局はもはや、銀行、証券会社、業界団体に認証の強化を指示するだけではありません。一般ユーザーに対して以下のように伝えています。

• パスワードのみの認証は脆弱である
• メールやSMS OTPではもはや不十分である
• ユーザーはフィッシングに耐性のある多要素認証を選択すべきである
• パスキーとPKI認証が正しい方向性である

これはトーンの大きな変化です。そして、銀行のような規制の厳しい業界では、次の正式なルール規定が現れるずっと前に、このトーンが実装への圧力となることがよくあります。

この一般向けキャンペーンも、何の前触れもなく現れたわけではありません。金融庁は独自の2025年6月の英語のブリーフィングPDFで、ID・パスワードのみの認証は脆弱であり、メールやSMSで送信されるワンタイムパスワードはフィッシングに対して十分に有効ではないとすでに警告していました。一方、2025年後半の業界報道では、日本の市場はFIDO Japan Working Groupの64組織と、50以上のパスキープロバイダーが稼働中または計画中であると記載されており、2026年4月の一般向けキャンペーンの前にすでに導入の機運が実在していたことを示しています（CNET Japanの報道）。日本の銀行、プラットフォーム、規制当局がパスワードレスに向けてどのように動いてきたかについての幅広い見解については、日本のパスキーの概要をご覧ください。

2. 金融庁が2026年4月16日に実際に公開したもの#

4月16日のページは、単一のプレスリリースではなく、連携された一般向けキャンペーンのパッケージです。9つの再利用可能なアセット（5つのPDFリーフレットと4つのプロモーション動画）をまとめ、銀行、証券グループ、警察を同じメッセージに沿って調整し、リスクの高い金融手続きにおけるパスワードとOTPの組み合わせへの依存を、フィッシング耐性のある多要素認証に置き換えるべきだと消費者に伝えています。

公式ページには5つのPDFリーフレットがリンクされており、概要版と、2つのテーマ（フィッシング耐性MFAとフィッシングメールへの注意喚起）の詳細版として構成されています。

• 概要版
• フィッシングに耐性のある多要素認証 概要版
• フィッシングに耐性のある多要素認証 詳細版
• フィッシングメールへの注意喚起 概要版
• フィッシングメールへの注意喚起 詳細版

PDFに加えて、このページでは同じ2つのテーマに関する4つのプロモーション動画を推進しています。これらはドラマ形式とマンガ形式の両方で制作されており、政策担当者だけでなく、さまざまな年齢層や閲覧コンテキストにキャンペーンを届けることができます。

このキャンペーンは、金融庁と以下の団体による共同の取り組みとして位置付けられています。

• 全国の銀行協会
• 信用金庫
• 信用組合
• 労働金庫
• 証券業界団体
• 警察庁

この幅広さが重要です。これは証券業界だけのニッチな警告ではありません。日本のリテール金融エコシステム全体に向けた調整されたメッセージなのです。

2.1 主要な政策メッセージ#

キャンペーンで使用されている重要な用語は「フィッシングに耐性のある多要素認証」（phishing-resistant multi-factor authentication）です。

リーフレットでは、従来の認証が現在の脅威モデルに遅れをとっていることを説明しています。

• パスワードはフィッシングされたり、使い回されたりする可能性がある
• メール / SMS OTPはリアルタイムで盗まれる可能性がある
• マルウェアはユーザーセッションを監視したり操作したりする可能性がある
• 偽サイトは本物のブランドを極めて正確に模倣できるため、目視での確認は信頼できる防御策ではない

その上で、キャンペーンではより強力な認証の2つの主な例を提示しています。

1. パスキー
2. PKIベースの認証

この2点目が重要です。日本はこれを純粋に「誰もがパスキーを使わなければならない」とは位置づけていません。規制当局は、望ましい結果をフィッシング耐性のある認証として位置づけており、パスキーはそれを実現するための最も明確な消費者向けの方法の1つです。

その違いを具体的に示すために、金融庁の枠組みは暗黙のうちに以下のように認証方法を分類しています。

2.2 行動面の啓発キャンペーン#

資料は認証技術だけに焦点を当てているわけではありません。ユーザーに対して以下のようにも呼びかけています。

• メールやSMS内のリンクからのログインを避ける
• ブックマークや公式のアプリを使用する
• 見慣れない画面や不自然なプロンプトを疑う
• 公式のアプリストアを優先する
• 予期しないキーボードショートカットなど、ブラウザの不審な指示に警戒する

言い換えれば、金融庁は認証技術だけで問題全体が解決するとは装っていません。技術的な対策と行動としての衛生管理を組み合わせているのです。

3. 何が新しく、何が新しくないのか#

4月16日のページが新しいのは、パブリックな枠組みを変えたからであり、独立した新しい法律を作ったからではありません。本当の進展は、日本の規制当局が、なぜパスキーやPKIがパスワードとOTPの組み合わせよりも優れているのかを公に説明し、金融機関がフィッシング耐性を中心に認証を再設計するための強力な後ろ盾を与えたことです。

3.1 実際に新しいこと#

4月16日のページは、少なくとも4つの点で新しさがあります。

3.1.1 パスキーが規制当局の公的な語彙の一部になった#

多くの規制当局はMFAについて抽象的な言葉で語ります。日本の金融庁はもっと具体的なことを行っています。つまり、パスキーが古いログインパターンよりもフィッシングやなりすましに対する強力な防御策であることを一般大衆に伝えているのです。

なぜこれが重要かというと、公的な名称の提示が製品の意思決定を変えるからです。規制当局がパスキーを公に挙げれば、金融機関は社内で投資を正当化しやすくなります。

• コンプライアンスチームは規制当局を引き合いに出すことができる
• リスクチームはパスキーをフィッシング被害の削減に直接結びつけることができる
• プロダクトチームはパスキーを任意のイノベーションプロジェクトとしてではなく、公式ガイダンスに沿ったものとして位置付けることができる

3.1.2 金融庁によるOTPの公的な格下げ#

これは微妙なニュアンスでの示唆ではありません。資料には、メールやSMSで配信されるOTPは依然として以下によって突破される可能性があると明記されています。

• リアルタイムのフィッシング
• 中間者攻撃（man-in-the-middle interception）
• マルウェアを用いた窃取

これは、OTPは「安全性が低い」という一般的なベストプラクティスのメモよりも強力です。これは、規制当局が一般大衆に対し、OTPベースのMFAでは意味のあるフィッシング耐性を提供できないと伝えているのです。

3.1.3 セクター横断的なメッセージ#

日本はこれを1つの分野に限定していません。銀行、証券会社、その他の金融機関すべてが同じ公的シグナルの一部となっています。これにより、より広範なエコシステムで標準化される可能性が高まります。

• 銀行はより強力なログインを期待するようユーザーを訓練できる
• 証券会社は高リスクな行動のデフォルトとしてより強力な認証を義務付けることができる
• ユーザーは、矛盾した説明ではなく、各機関で共通の言語に出会うことになる

3.1.4 金融庁による消費者への直接的な教育#

これが最も重要なポイントです。

以下の2つには大きな違いがあります。

• 規制当局が金融機関に何を実装すべきかを伝えること
• 規制当局が顧客に安全な認証がどのようなものかを伝えること

後者の動きは、展開における政治的リスクとUXのリスクを軽減します。銀行や証券会社は、「これは単なる私たちのアイデアではなく、規制当局自身が推進している方向性です」と言えるようになります。

3.2 新しくないこと#

このページ自体は以下のものを作成するものではありません。

• 新しい独立した義務付け
• 新しい実装の期限
• パスキーに関する詳細な技術仕様
• パスキーが唯一の受け入れ可能な技術であるという宣言
• このキャンペーンに直接結びついた制裁のリスト

多くの読者がこの発表を「日本がパスキーを義務化した」と誇張するため、この区別は重要です。それは十分に正確ではありません。

より適切な解釈は以下のようになります。

これは、それ自体が新しいルールではないにしても、戦略的に重要です。

4. なぜ金融庁は一般的なMFAではなく、フィッシング耐性のある多要素認証に焦点を当てたのが正しいのか#

一般的なMFAでは依然として主要な不正アクセス経路がそのまま残るため、金融庁のアプローチは正しいと言えます。パスワードにOTPを追加することは、使い回し可能な秘密情報をもう1つ増やすだけですが、フィッシング耐性MFAはプロトコルを変更するため、ユーザーが騙されて認証を試みたとしても、偽サイトでは認証を完了できません。

4.1 OTPは過去の課題を解決するもの#

SMSやメールのOTPは、クレデンシャルの再利用を困難にするために設計されました。これらは古い攻撃パターンの一部には有効ですが、現代の攻撃者は数時間後にコードを再利用する必要はありません。彼らはリアルタイムでコードを盗み出します。これは、日本でのパスワードの使い回しが依然として極めて高い市場ではさらに重要であり、OTPステップが始まる前に最初の要素がすでに侵害されていることが多いことを意味します。

これがリアルタイムのフィッシングの根本的な問題です。

1. 被害者が偽サイトにアクセスする。
2. 被害者がユーザー名とパスワードを入力する。
3. 攻撃者がそれらの認証情報を本物のサイトに転送する。
4. 本物のサイトがOTPを要求する。
5. 偽サイトが被害者にOTPの入力を求める。
6. 攻撃者は即座にそれを利用して本物のサイトへのログインを完了する。

このワークフローでは、OTPは攻撃者を止めることはできません。それは単に、被害者が騙されて明かしてしまうもう一つの秘密情報になるだけです。

4.2 パスキーはトラストモデルを変える#

パスキーは**オリジンにバインドされる（origin-bound）**ため、仕組みが異なります。認証情報は、パスキーのリライング・パーティ（Relying Party）に関連付けられた正規のサイトでのみ使用できます。この挙動の技術的基盤は、W3C WebAuthn仕様およびFIDO Allianceのパスキーに関するドキュメントにあり、どちらも、偽のドメインが本物のドメイン用に作成された認証情報を再利用するのを防ぐサイトバウンドのチャレンジ・レスポンスモデルについて説明しています。

つまり、偽のドメインは、パスワードやOTPを要求するように、単純にユーザーに「パスキーを入力する」よう求めることはできません。入力して再利用できるものはなく、認証が進む前にブラウザやオペレーティングシステムがサイトのコンテキストを確認します。

これが、パスキーがフィッシング耐性のある認証の中心である理由です。

• 再入力する共有の秘密情報（shared secret）が存在しない
• ユーザーに手動で再利用可能なコードを送信するよう求めない
• 秘密鍵がユーザーのデバイスから離れることはない
• オーセンティケーター（authenticator）は正規のオリジンにバインドされる

これが、4月16日のキャンペーンが重要である理由でもあります。金融庁は「より良いMFAを使おう」と言っているだけではありません。ユーザーに手動で不正を検知させるのではなく、プロトコル層でフィッシングサイトを失敗させるような認証方法を指し示しているのです。

4.3 PKIの重要性#

日本のキャンペーンではPKIも強調されており、認証の文脈でマイナンバーカードのクレデンシャルが使用できることが明記されています。

これは偶然ではありません。日本は多くの欧米の消費者市場に比べて、証明書ベースのIDモデルにおいて深い制度的な歴史を持っています。そのため、日本の最終的な到達点は「パスキーのみ」ではない可能性が高いです。それは以下のような形に近いでしょう。

• 主流の消費者向けログインとステップアップフローにはパスキー
• より高い保証や公共部門のような本人確認のケースにはPKI / 証明書ベースの認証
• そして、より広範な規制当局としてのフィッシング耐性の実現への選好

プロダクトチームにとって、これは適切な戦略的比較が「パスキー対パスワード」ではないことを意味します。それはむしろ次のようなものになります。

• 消費者向けログインにおける、パスキー対メール/SMS OTP
• 銀行のUXにおける、パスキー対アプリ内ソフトウェアトークン
• 保証および身元確認レイヤーにおける、パスキー対PKI

5. 日本の過去の規制の方向性を踏まえると、なぜ4月16日がさらに重要なのか#

4月16日が重要なのは、監督上のトレンドを公的な規範に変換したからです。金融庁は2025年を通じて、パスワードのみやOTPに偏重した認証は弱すぎると警告してきましたが、2026年4月のキャンペーンでは、代替手段がどのようなものであるべきかを消費者に直接伝えました。それはパスキー、PKI、あるいはその両方を使用したフィッシング耐性のあるMFAです。

2025年から2026年初頭にかけて、証券やその他のオンライン金融サービスにおけるフィッシング関連のアカウント侵害事件を受け、日本の金融セクターはすでに強力な管理に向けて動いていました。その背景には、アカウントの乗っ取りや認証情報の盗難を規制上の課題にとどめておく原因となった、相次ぐ注目の日本国内のデータ漏洩事件があります。関連する金融庁の資料や、その後のガイドライン変更を巡る論評の中で、規制当局は以下の違いをより明確に区別しました。

• 「何らかのMFA」
• フィッシング耐性のあるMFA

この違いがすべてです。

一般的なMFAでは、ユーザーは依然として以下の脅威にさらされる可能性があります。

• OTPの窃取
• 偽サイトによる転送
• プッシュ通知による疲労 / 承認の悪用
• 侵害されたエンドポイント
• 脆弱なリカバリーフロー

対照的に、フィッシング耐性のあるMFAは、単にもう1つハードルを追加するのではなく、コアとなる不正アクセス経路を明示的にブロックしようとします。したがって、4月16日のキャンペーンは、日本ですでに形成されつつある大きな方向性の公的な実運用化と見なすのが最適です。

• 金融サービスは単に摩擦を増やすべきではない
• フィッシングの経済性を破壊する認証方法に移行すべきである

一見すると、この進展は1年足らずの間に4つのマイルストーンを経て進んでいます。

出典を交えると、同じ進行は次のように読み取れます。

• 2025年6月: 金融庁の英語の課題要約では、パスワードのみの認証は脆弱であり、メールやSMSのOTPはフィッシングに対して十分に有効ではないと述べられています。
• 2025年7月15日: 日本証券業協会（JSDA）のガイドライン草案では、ログイン、出金、銀行口座の変更など、機密性の高い証券の操作に対してフィッシング耐性のあるMFAを推進しています。
• 2025年後半: 市場のレポートでは、日本国内で50以上のパスキープロバイダーと64のFIDO Japan Working Groupの組織が存在すると記載されています（CNET Japan）。
• 2026年4月16日: 金融庁の一般向けキャンペーンは、フィッシング耐性に関する同じメッセージを消費者に直接届けています。

そういう意味では、このページは見た目ほど「啓発のためのマーケティング」ではありません。規制およびエコシステムにおけるより深い変化の公的な顔なのです。

6. 日本の銀行、証券会社、フィンテック企業にとってこれが意味するもの#

日本の金融機関は、4月16日のキャンペーンを、ログイン、リカバリー、高リスクなアカウント操作に対する最低限の期待値が引き上げられたものとして扱うべきです。規制当局が公にメールやSMSのOTPは十分ではないと発言したことで、不正行為、プロダクト、監督の観点から、フォールバックに大きく依存する脆弱なMFAを擁護することは困難になります。

6.1 「MFAが利用可能」だけではもはや不十分#

その体験を「安全なMFA」としてマーケティングしながら、フォールバックとしてSMS OTPを提供し続けることは、擁護しにくくなっています。規制当局の公的なメッセージは現在、より厳しい区別を行っています。つまり、フィッシング耐性のあるMFAを到達点にすべきだということです。パスキーを用いたMFAの義務化に関する広範な業界の取り組みも、同じ方向を指し示しています。

これは、組織が以下を評価すべきであることを意味します。

• SMS/メール OTPがまだどこに存在するか
• どの操作が高リスクであるか
• パスキーがオプションなのか、本当に推奨されているのか
• フィッシング可能なフォールバック方法への依存がどれだけ残っているか

6.2 高リスクな操作には特別な扱いが必要#

最も機密性の高い操作はログインだけではありません。実際には、各機関はフィッシング可能なすべてのサーフェスを見直す必要があります。

• ログイン
• 支払い / 出金
• 振込先口座の変更
• リカバリーとデバイスの再バインド
• プロフィールや連絡先の変更
• APIまたはアグリゲーションのアクセス

多くの機関では、依然としてアカウントのリカバリー経路よりもログインページをより強力に保護しています。これは逆効果です。攻撃者は利用可能な最も脆弱な経路を使用します。

6.3 リカバリーは戦略的なプロダクト課題になる#

フィッシング耐性のある認証がベンチマークになると、リカバリーが設計の最も難しい部分になります。

リカバリーが脆弱なメールのフロー、ソーシャルエンジニアリング、またはフィッシング可能な手順を再導入するサポートプロセスにフォールバックする場合、パスキーの展開は運用上失敗する可能性があります。日本の金融庁のキャンペーンは、その設計上の課題を解決するものではありませんが、それを無視することを不可能にします。

6.4 「公式アクセス」のUXはプロダクト設計の一部になるべき#

リーフレットに書かれているあまり評価されていない詳細として、ブックマークと公式アプリへの推進があります。これは、より広範なプロダクトへの教訓を示唆しています。

• ブランディングだけでは不十分である
• ログインの入り口が重要である
• 安全なルーティングが重要である
• アンチフィッシングUXは認証スタックの一部である

金融機関にとって、これは以下のことを意味します。

• アプリベースのログイン経路を目立たせること
• メールリンクへの依存を減らすこと
• 公式のログインがどこから始まるのかを明確に説明すること
• 受信リンクの衛生管理を不正行為対策の一部として扱うこと

6.5 ソフトウェアトークンはパスキーと同じではない#

一部の機関は、アプリベースの承認を強化することで対応し、問題は解決したと宣言するでしょう。それはセキュリティを向上させることはできますが、パスキーと同等ではありません。

なぜでしょうか？

• 多くの独自のソフトトークンフローは、依然としてユーザーが本物のサイトと偽サイトを区別することに依存しています。
• 一部のフローは、リアルタイムのリレーや承認の操作によって依然として悪用される可能性があります。
• アプリの切り替えやコードの取り扱いは、摩擦と混乱をもたらします。

パスキーが重要なのは、フィッシングへの露出とユーザーの手間の両方を削減するからです。

6.6 競合他社に対する基準が変わった#

金融庁が直接消費者の教育を始めると、遅れをとっている企業がより目立つようになります。パスワードとOTPに依存し続けている企業は、以下を提供する同業他社に比べてすぐに時代遅れに見えるようになる可能性があります。

• パスキー
• より強力なデバイスバウンド（device-bound）認証
• 明確にブランド化された、フィッシング耐性のあるログイン体験

これはコンプライアンスの状況だけでなく、競争環境も変えます。

この大部分は新しい領域ではありません。 エンタープライズ向けパスキーガイドでは、大規模な消費者向け展開における評価、ステークホルダーとの調整、統合、テストについて順を追って説明しており、銀行が陥りやすい10のパスキー展開の失敗では、急ごしらえの銀行の展開が繰り返し陥る失敗のパターンをまとめています。金融庁のキャンペーンが追加したのは、緊急性と公的な裏付けであり、新しいプレイブックではありません。

7. これがパスキーに具体的に意味すること#

日本の4月16日のキャンペーンは、パスキーを利便性の機能ではなく不正管理の手段として位置づけ、社内のステークホルダーの展開に向けた論拠を広げ、パスキーが規制当局が現在推奨している安全な金融ログインモデルの一部であることを消費者に教えるという、3つの具体的な方法でパスキーに貢献しています。

7.1 パスキーを利便性ではなく、不正管理として再構成する#

多くの消費者向けパスキーの展開は、次のようにマーケティングされています。

• 簡単なサインイン
• パスワードを覚える必要がない
• 高速なログイン

金融庁の枠組みはよりシャープです。

• パスキーはなりすましに対する防御である
• パスキーはフィッシングをブロックするのに役立つ
• パスキーは再利用可能な秘密情報への依存を減らす

これこそまさに、銀行や証券会社が社内で必要としている枠組みです。セキュリティ予算は、利便性だけのためよりも、不正行為の削減のための方がはるかに承認されやすいのです。

7.2 金融機関内のパスキーに関わる対象者を広げる#

認証プロジェクトは通常、以下の支持を取り付ける必要があります。

• プロダクト
• 不正対策
• セキュリティ
• コンプライアンス
• 法務
• 運用
• サポート

金融庁のページは、これらの各グループに関心を持つ理由を与えています。

• 不正対策部門はフィッシングの削減を見込む
• セキュリティ部門はオリジンバウンドな暗号化を評価する
• コンプライアンス部門は規制当局との協調を確認する
• 運用部門はOTPによる摩擦の減少を期待する
• プロダクト部門は消費者への強力な訴求を認識する

7.3 一般ユーザーにパスキーを標準化するのに役立つ#

これがおそらく最も永続的な効果となるでしょう。

国の規制当局、金融協会、警察がすべて推奨する防御策としてパスキーを提示することで、ユーザーの認識が変わります。プロダクトチームはもはや、パスキーを奇妙な新機能として紹介する必要はありません。エコシステムが収束しつつあるセキュリティ手法として導入できるのです。

これは、展開の成功が暗号化そのものよりも、ユーザーが新しいフローを採用するのに十分な信頼を寄せるかどうかに依存することが多いために重要です。

7.4 テクノロジーに精通した層以外にもパスキーの対象者を広げる#

金融庁のキャンペーンは、テクノロジーに精通した消費者が利用する銀行アプリに留まるものではありません。証券口座、労働金庫、信用金庫、信用組合など、高齢者やテクノロジーに詳しくない顧客が日常的に依存している日本の金融システムの領域も対象としています。これはパスキーにとって戦略的に重要です。これらの顧客が証券会社、労働金庫、または地元の信用組合を通じてパスキーに触れると、パスキーの認知度は早期導入層をはるかに超えて広がり、顧客基盤全体で標準化され始めます。日本における消費者向けのパスキー普及にとって、これは純粋なマーケティング予算では買えないような追い風となります。

しかし、これは諸刃の剣でもあります。多様な顧客層を抱えるということは、テクノロジーに精通した層向けの展開とは比較にならないほど、多種多様なデバイス、OSバージョン、アプリ内ブラウザ、クレデンシャルマネージャーの挙動に対応する必要があることを意味します。まさにこの点で、ネイティブアプリでのパスキーのエラーがエッジケースではなく、本番環境レベルの懸念事項となります。金融庁のシグナルに対応する銀行や証券会社は、義務化後のサポートの急増時に発見するのではなく、初日からデバイスやアプリ環境の多様性を計画に組み込むべきです。

8. 日本のアプローチが他国に教えること#

日本は、監督、一般大衆への教育、エコシステムの展開を順次組み合わせているため、有用なケーススタディとなりつつあります。他の市場では、新しいセキュリティモデルをユーザーに説明することなくガイダンスを改訂することが多く、それが普及を遅らせ、より強力な認証がシステム全体のアップグレードではなく、単独のプロダクトの摩擦のように見えてしまう原因となっています。

8.1 一般向けキャンペーンは技術的移行を加速させる#

多くの規制当局はガイダンスを改訂しますが、一般大衆への教育までは踏み込みません。日本は異なるパターンを示しています。

1. 不正行為の圧力が高まる
2. 監督の方向性が強まる
3. 規制当局がフィッシング耐性のある手法を公に挙げ始める
4. エコシステムの参加者がより迅速に展開するための後ろ盾を得る

この順序は、純粋な政策文書だけではできない方法で、展開における摩擦を減らすことができます。

8.2 目標は単なるOTPの置き換えではなく、フィッシング耐性であるべき#

一部の国は「SMS OTPの置き換え」に焦点を絞りすぎています。それは役立ちますが、不完全です。

日本のキャンペーンは、より根本的な質問を投げかけているため、より優れた構成になっています。

これが正しいテストです。

8.3 消費者向け認証はハイブリッドになる可能性がある#

日本のパスキーとPKIへの同時強調は、多くの市場が再発見するであろうより広い真実を示唆しています。

• パスキーは大衆への普及において優れている
• PKIは高い保証が求められるIDにおいて引き続き重要である
• 最も強力なエコシステムは、1つのテクノロジーにすべてを強制するのではなく、両方を組み合わせる

これは、国のデジタルアイデンティティプログラムを持つ規制対象セクターにおいて特に当てはまります。

9. このシグナルに対応するチームのための実践的なロードマップ#

4月16日のシグナルに対する正しい対応は、段階的な移行であり、急ごしらえの置き換えプログラムではありません。チームはまず、フィッシングされる可能性のある手順をマッピングし、次に、パスキーがすぐに適合する場所、PKIやより強力なIDバインディングが依然として必要とされる場所、そして脆弱なフィッシングされやすい例外を再現せずにリカバリーをどのように再設計できるかを決定する必要があります。

9.1 ステップ1: フィッシングされる可能性のあるすべての認証サーフェスをマッピングする#

以下から始めます。

• ログイン
• リカバリー
• アカウントの変更
• 取引の確認
• リンクされたアカウントの変更
• メールリンクの入り口
• コールセンターのオーバーライドプロセス

9.2 ステップ2: パスキーがすぐに適合する場所を特定する#

パスキーは多くの場合、以下において最も明確な成果をもたらします。

• リテールのログイン
• 頻繁な再認証
• ファーストパーティアプリ/ウェブの手順
• 消費者のブラウザセッション

9.3 ステップ3: PKIやより強力なIDバインディングが依然として必要な場所を決定する#

一部のフローでは以下のものが必要になる場合があります。

• 証明書に裏付けられた身元証明
• 国民IDとのバインディング
• 機密性の高い変更に関するより強力な保証
• 消費者向けパスキーを超えたハードウェアまたは組織的コントロール

9.4 ステップ4: 普及を強制する前にリカバリーを再設計する#

強力なリカバリーを設計せずに、強力な認証を立ち上げないでください。そうしないと、組織はサポートや例外処理を通じて、フィッシング可能な回避策を再構築するだけになります。

9.5 ステップ5: 公式アクセスがどのように機能するかをユーザーに教える#

金融庁の「ブックマークを使用する / 公式アプリを使用する」というメッセージは、オンボーディングとサポートの一部となるべきです。

• 安全なルートを示す
• ログインリンクが危険である理由を説明する
• 公式のアクセス経路を覚えやすくする
• 安全でない利便性ショートカットへの依存を減らす

10. 結論#

2026年4月16日は、日本が法的にパスキーを義務化した日ではありません。金融庁がフィッシング耐性のある認証を公的な期待とし、OTPベースのセキュリティを公に格下げし、銀行、証券会社、フィンテックに対して、長期的な到達点がパスキー、PKI、その他のフィッシング不可能なログインモデルであるというはるかに明確なシグナルを与えた日でした。

日本の2026年4月16日の金融庁のページを、「日本が今日、パスキーを法的に義務化した」と誤読すべきではありません。それは起きたことではありません。

しかし、それを軽量な啓発ページとして片付けることも同様に間違っています。

起きたことは、もっと戦略的に重要なことです。

• 規制当局が一般消費者に対し、パスワードのみやOTPベースのフローではもはや不十分であると公に伝えた
• より強力な認証の例としてパスキーとPKIを挙げた
• そのメッセージを金融協会や警察と連携させた
• そして、市場の議論を一般的なMFAからフィッシング耐性のある認証へと押し上げた

これこそまさに、金融サービスにおけるロードマップの優先順位を変える種類のシグナルです。

日本にとって、これは銀行、証券会社、フィンテック全体におけるより広範なパスキー展開の論拠を強化します。世界の他の国々にとっては、規制当局がルールを定める以上のことができる、つまり認証のナラティブ自体を再構築できるという明確な例です。

一つ得られる教訓があるとすれば、これです。

将来の状態は「MFAの追加」ではありません。将来の状態はフィッシング耐性のある認証です。日本の金融庁は今、それを声に出して言っているのです。

Corbadoについて#

日本の金融庁はパスワードとOTPの組み合わせを公に格下げしましたが、規制当局がパスキーの名前を挙げるのは仕事の半分にすぎません。銀行や証券会社は依然として、ユーザーを締め出すことなく、断片化されたデバイス群においてフィッシング可能なフォールバックを廃止しなければなりません。

Corbadoは、エンタープライズのCIAMチーム向けのパスキー分析プラットフォームです。既存のIDPの上にパスキーの分析と展開の制御を追加するため、金融庁のフィッシング耐性MFAの基準を満たす機関は、盲目的な義務化ではなく、監査レベルの可視性とデバイスレベルのキルスイッチを備えた状態で、SMSやメールのOTPを段階的に廃止できます。

日本の金融機関が、致命的なロックアウトなしにフィッシング耐性MFAをどのように展開できるかをご覧ください。 → パスキーの専門家に相談する

Corbadoについて

Corbadoは、大規模なconsumer認証を運用するCIAMチームのためのPasskey Intelligence Platformです。IDPのログや一般的なanalyticsツールでは見えないものを可視化します。どのデバイス、OSバージョン、ブラウザ、credential managerがpasskeyに対応しているか、なぜ登録がログインにつながらないのか、WebAuthnフローのどこで失敗するか、OSやブラウザのアップデートがいつ静かにログインを壊すか — Okta、Auth0、Ping、Cognito、あるいは自社IDPを置き換えることなく、すべてを把握できます。2つのプロダクト：Corbado Observeは passkeyとその他あらゆるログイン方式のobservabilityを提供します。Corbado Connectは analytics内蔵のmanaged passkeyを追加します（既存のIDPと併用）。VicRoadsはCorbadoで500万人超のユーザーにpasskeyを提供しています（passkey有効化率+80%）。 Passkeyエキスパートに相談する →

FAQ#

2026年4月16日に金融庁はパスキーを義務化したのですか？#

いいえ。2026年4月16日のページは啓発キャンペーンであり、独立したルール規定ではありません。重要なのは、金融庁がフィッシング耐性のある多要素認証を公かつ明示的に推進し、その例としてパスキーとPKIを挙げ、そのメッセージを銀行、証券会社、警察庁と連携させたことです。

なぜ金融庁はメールやSMSのOTPだけでは不十分だと言っているのですか？#

キャンペーン資料では、メールやSMSで送信されるOTPは、リアルタイムのフィッシング、中間者攻撃、マルウェアによって依然として突破される可能性があると説明されています。言い換えれば、攻撃者がユーザーを騙して偽のサイトに入力させたり、エンドポイントから盗み出したりできる場合、コードを追加するだけでは不十分だということです。

日本の金融分野で認められるフィッシング耐性認証はパスキーだけですか？#

いいえ。金融庁のキャンペーン資料では、フィッシング耐性MFAの主な2つの例としてパスキーとPKIベースの認証を提示しています。つまり、パスキーは強く推奨されていますが、より広範な規制の方向性は、フィッシング耐性のある認証結果を目指すものであり、単一の消費者向けテクノロジーを義務付けるものではありません。

監督指針の流れが先にあるのに、なぜ2026年4月16日が重要なのですか？#

規制当局から業界へのシグナルから、規制当局から一般消費者へのシグナルへの移行を意味するからです。金融庁が消費者に直接、パスワードとOTPの組み合わせよりもパスキーやPKIの方がより安全に保護できると伝え始めたことで、日本の銀行や証券会社は、顧客認証をフィッシング耐性のある方法で再設計するための強力な後ろ盾を得ることができます。