パスキー・パスワードレス・耐フィッシングMFAの違い

1. はじめに#

あらゆるデジタルサービスにとって、ユーザー認証はサイバーセキュリティの最も重要な要素です。企業が顧客との接点としてウェブやモバイルアプリへの依存を強めるにつれ、安全で使いやすいログイン手段の必要性は急速に高まっています。従来のパスワードはフィッシングで盗まれやすく、忘れられたり、複数のサービスで使い回されたりするリスクがあります。その結果、認証情報を狙う攻撃やデータ漏えいが増え、消費者の信頼が損なわれています。

近年、セキュリティとユーザー体験の向上を目指す新たな認証方式が登場しました。この記事では、パスキー、より広い意味でのパスワードレス認証、耐フィッシング多要素認証（MFA）の3つを比較します。それぞれの違い、強み、戦略上の意味を整理し、用語の意味を明確にします。

この記事では次の問いに答えます。

1. パスキー、パスワードレス認証、耐フィッシングMFAの主な違いは何か。
2. これらは従来のパスワードと比べてセキュリティをどう改善するか。
3. ユーザー体験、利用率、運用コストにどのような影響があるか。
4. それぞれの具体的な用途や導入成功事例にはどのようなものがあるか。

2. 主要な概念の解説#

比較する前に、用語を定義しておきましょう。パスワードレス認証、耐フィッシングMFA、パスキーはいずれも従来の方式から大きく進歩していますが、同じ意味ではありません。

2.1 パスワードレス認証とは#

パスワードレス認証では、従来のパスワードを完全になくします。代わりに、ユーザーは次の方法で本人確認を行います。

• 所有しているもの（スマートフォンやセキュリティキーなど）
• 本人の身体的特徴（生体認証要素）
• メールやSMSで送信されるワンタイムコード（SMSの受信にスマートフォンが必要な場合など、所有要素にも該当します）

侵害されやすく、使い勝手もよくない固定パスワードへの依存を減らすことが目的です。

一般的なパスワードレス方式には次のものがあります。

• メールのマジックリンク
• 認証アプリ（Google Authenticator、Authy、Microsoft Authenticatorなど）による時間ベースのワンタイムコード（TOTP）
• プッシュ通知（iOSやAndroidのネイティブアプリなど）
• 生体認証（パスキーなど）
• SMSのワンタイムコード（OTP）
• メールのワンタイムコード（OTP）
• ソーシャルログイン（「Googleでログイン」「Facebookでログイン」など）

パスワードレス方式はユーザー体験を改善し、総当たり攻撃の可能性を減らすことが多いものの、すべてが本質的に耐フィッシング性を備えているわけではありません。例えば、ユーザーがフィッシングページにコードを入力するようだまされた場合、マジックリンクやSMSのOTPが悪意あるサイトに傍受される可能性があります。パスワードレス方式はセキュリティと使いやすさの多くの面を改善しますが、ソーシャルエンジニアリングに弱い方式もあります。

2.2 耐フィッシングMFAとは#

FIDO2に基づくハードウェアセキュリティキー（YubiKeyなど）は、耐フィッシングMFAの代表例です。認証プロセスを正規のオリジン（実際のウェブサイトのドメイン）に紐付けることで、ユーザーの認証を偽サイトへ転送したり、そこで再利用したりできないようにします。攻撃者は秘密鍵も、再利用可能な秘密コードも入手できません。パスキーも同様です。

ただし、ハードウェアセキュリティキーが主に実用的なのは従業員向けの用途です。顧客にも提供できますが、その使用を必須にすることは通常現実的ではありません。このような製品に慣れているのは技術に詳しいユーザーに限られ、一般ユーザーはその仕組みや使い方に戸惑う可能性があります。

耐フィッシングMFAでは、ユーザーが偽サイトを操作しても、有効な認証情報をうっかり渡すことがありません。セキュリティ設計により、盗まれた情報は攻撃者にとって役に立たないか、そもそも盗めません。ユーザーの本人確認だけでなく、サイトの正当性を暗号技術によって検証します。

CISAやACSCなどの規制・公的機関は、機密性の高いアカウントを保護する手段として耐フィッシングMFAを認め、推奨するようになっています。こうした基準の採用は、法的要件への対応、責任リスクの軽減、サイバーセキュリティ監査での適切な対策の証明に役立ちます。

2.3 パスキーとは#

パスキーは、FIDO2やWebAuthnなどのオープン標準に基づく新しい認証情報です。パスワードのような共有秘密ではなく、非対称暗号を使います。

• 公開鍵（認証時にサーバーへ送信される鍵）
• 秘密鍵（ユーザーの端末から外に出ず、入力したり覚えたりする必要のない鍵）

パスキーでアカウントを登録すると、端末が固有の鍵ペアを生成します。公開鍵はサーバーに送られてユーザーのアカウントに紐付けられ、秘密鍵はユーザーの端末内で安全に保管されます。認証時にはサーバーがチャレンジを送り、端末が秘密鍵で署名します。これにより、盗まれる可能性のある秘密を明かさずにユーザーの本人確認ができます。

パスキーなら、面倒なパスワードを覚えたり管理したりする必要がありません。認証は多くの場合、スマートフォンのロック解除でおなじみの顔認証や指紋認証で完了します。各パスキーは特定のドメインに紐付いているため、フィッシングは失敗します。攻撃者がユーザーをだまして再利用可能な認証情報を渡させることはできません。高いセキュリティと少ない操作負担を両立するパスキーは、Google、PayPal、TikTok、KAYAKなど多くの企業に選ばれています。

2.4 主な違いのまとめ#

• パスワードレス（総称）： パスワードを完全になくしますが、方式によってはフィッシングに耐性がありません。
• 耐フィッシングMFA（総称）： 通常はオリジンへの紐付けを確保しますが、多要素認証の一要素としてパスワードを使う場合もあります（パスワードとハードウェアセキュリティキーの併用など）。
• パスキー： パスワードレスと耐フィッシングの両方を実現します。正規のオリジンに紐付いた非対称暗号を使います。

3. パスワードレス認証・耐フィッシングMFA・パスキーの比較#

基本概念を踏まえ、3つの方式を詳しく比較します。セキュリティ要件、ユーザーの期待、組織の長期的な目標に最も適した方式を検討するため、次の主な観点を取り上げます。

• セキュリティ
• ユーザー体験と利用率
• 導入とコスト
• 規制とコンプライアンス

3.1 セキュリティ：認証情報の窃取とオリジンへの紐付け#

セキュリティは、従来のパスワードから移行する主な理由の一つです。 ただし、フィッシングや総当たり攻撃など、認証情報を狙う攻撃への対策は3つの概念で異なります。

3.1.1 認証情報の窃取防止#

• パスワードレス： パスワードをなくすことで、総当たり攻撃やパスワードの使い回しの可能性を大幅に減らせます。ただし、SMSのOTPやマジックリンクなど、方式によっては、攻撃者がユーザーをだましてフィッシングサイトにOTPを入力または転送させる脆弱性が残る場合があります。
• 耐フィッシングMFA： FIDO2セキュリティキーなどを使い、再利用可能な秘密を共有しないようにします。攻撃者が公開鍵などの一部の情報を得ても、対応する秘密鍵がなければ暗号上役に立ちません。
• パスキー： 非対称暗号を使うため、共有秘密がユーザーの端末から外に出ることはありません。サーバーからデータを盗んだ攻撃者が得られるのは公開鍵だけであり、ローカルで保護された秘密鍵がなければ役に立ちません。

3.1.2 フィッシングの防止#

• パスワードレス： 総称であるため、フィッシング防止が常に保証されるわけではありません。ユーザーが偽サイトに誤って入力すると、マジックリンクやSMSのOTPが傍受される可能性があります。このため、一部のパスワードレス方式は巧妙なフィッシングに対して十分な信頼性を持ちません。
• 耐フィッシングMFA： 主要な機能の一つは、ユーザーの認証前に正規のドメインを確認することです。ハードウェアセキュリティキーやパスキーは、最初に使用したオリジンに紐付いており、サイトの正当性を検証することで、攻撃者による有効な秘密の取得を防ぎます。
• パスキー： FIDO2とWebAuthnに基づき、本質的にオリジンに紐付いています。ユーザーが偽装ドメインで認証しようとしても、暗号学的な検証が完了せず、フィッシング攻撃を効果的に阻止します。

3.1.3 セキュリティのまとめ#

パスキーと耐フィッシングMFAは、暗号技術による強固なオリジンへの紐付けと秘密情報を明かさない仕組みにより、認証情報の窃取やフィッシングに対して優れた防御を提供します。

パスワードレス方式も単純なパスワードより大きく進歩していますが、傍受可能なワンタイムコードや時間ベースのワンタイムコード、またはマジックリンクなどの秘密に依存する場合、フィッシングへの耐性は方式によって異なります。

3.2 ユーザー体験と利用率#

エンドユーザーにとって煩雑すぎるセキュリティ方式は役に立ちません。スムーズで直感的なログインは、ユーザーの不満とサポートコストを減らし、利用率を高めます。また、ユーザーがログイン方式を使うために回避策を取る必要もなくなります。

3.2.1 初回登録と設定#

• パスワードレス： 通常、新しいパスワードを作成して覚えるより簡単に登録できます。例えば、メールのマジックリンクやSMSのOTPによる確認は、多少の待ち時間が生じるものの、ユーザーになじみのある方法です。
• 耐フィッシングMFA： ハードウェアセキュリティキーを使う場合、登録時に物理キーの配布や専用ソフトウェアのインストールが必要になることがあります。ただし設定後は、端末に接続したキーに触れる、またはキーを端末に近づけるだけで日々のログインが完了する場合もあります。
• パスキー： 設定は簡単なことが多く、通常は端末で指紋や顔の生体認証を素早く行うだけで登録できます。

3.2.2 日々のログインの操作負担#

• パスワードレス： パスワードを覚えたり、パスワードマネージャーから取り出したり、付箋に書いたりする必要がなくなるだけでも、使いやすさは大きく改善します。ただし、OTPやマジックリンクでは、コードやリンクを取得するためにアプリを切り替える必要があり、操作負担が増えることがあります。
• 耐フィッシングMFA： ハードウェアセキュリティキーを端末に接続するか近づければ、操作は比較的簡単です。ただし、ボタンに触れたり、PINコードを覚えて入力したりする必要がある場合もあります。パスキーによる耐フィッシングMFAなら、さらにスムーズです。
• パスキー： 一般に操作負担は最小限です。Face ID、Touch ID、Windows Helloなどの端末の生体認証でロックを解除すれば、あとはパスキーが処理します。ログインをほぼ手間なく済ませられます。

3.2.3 複雑さの印象と信頼#

• パスワードレス： パスワードの再設定に不満を持つユーザーにとって、パスワード不要の方式は魅力的です。
• 耐フィッシングMFA： 非常に安全ですが、ハードウェアセキュリティキーが必要な場合、初めて使うユーザーには複雑に見えることがあります。
• パスキー： スマートフォンの生体認証によるロック解除に慣れたユーザーには、なじみのある技術として受け止められることが多くあります。Apple、Google、Microsoftのエコシステムへの信頼も普及を後押ししています。

3.2.4 ユーザー体験と利用率のまとめ#

パスワードレス方式、特に生体認証は簡単に使えます。耐フィッシングMFAも導入後は使いやすくなりますが、状況によってはハードウェアの要件が負担に感じられることがあります。パスキーは通常、ユーザーに最も高い利便性を提供します。

3.3 導入とコスト#

セキュリティとユーザー体験に加え、統合の複雑さ、サポートの負担、直接コストといった実務上の要素も、大規模に利用できるかどうかを左右します。

3.3.1 既存システムとの統合#

• パスワードレス： SMSのOTPやマジックリンクは比較的簡単に実装できますが、それぞれトークンの生成・検証やメール・SMSの送信など、独自のロジックが必要です。
• 耐フィッシングMFA： YubiKeyなどのハードウェアセキュリティキーの導入は、キーの配布、復旧プロセス、ユーザー教育の計画が必要なため、より煩雑になることがあります。一方、FIDOベースの技術基盤は確立されています。
• パスキー： 端末の互換性、ブラウザとの統合、ユーザー教育など、エコシステム全体での幅広い対応が必要なため、導入が難しい場合があります。

3.3.2 コストと投資収益率（ROI）#

• パスワードレス： パスワードをなくすことでヘルプデスクの運用費を削減できますが、特にSMSなどの方式では取引ごとに費用が発生する場合があります。マジックリンクを使うフローには堅牢なメール基盤が必要です。認証アプリによるTOTPやプッシュ通知には、専用アプリのインストールと開発が必要です。
• 耐フィッシングMFA： ハードウェアを使う場合、通常は初期費用が最も高くなりますが、フィッシングに対する強力な保護を提供します。重要度の高いアカウントでは、1件のデータ漏えいによる損失がハードウェアセキュリティキーの費用を大幅に上回る可能性があります。
• パスキー： 初期開発後は、ITサポートの大きな隠れコストの一つであるパスワード再設定の問い合わせを減らせます。また、アカウント乗っ取りも最小限に抑え、収益に直接貢献します。さらに、費用のかかるSMSのOTPの大半を置き換えられます。

3.3.3 導入とコストのまとめ#

パスワードレス方式はパスワードより簡単なことが多いものの、継続的なコストは方式によって大きく異なります。耐フィッシングMFAは、特に専用ハードウェアの購入と配布が必要なセキュリティキーを使う場合、大規模な導入により多くの費用と手間がかかることがあります。パスキーの実装は、複雑な技術要件とプラットフォーム間の互換性が求められるため、容易ではありません。

3.4 規制とコンプライアンス#

欧州の金融分野におけるPSD2や、医療分野におけるHIPAAなど、多くの規制が強力な耐フィッシング認証を明示的に推奨または義務付けています。

• パスワードレス： 「2FAまたはMFAが必要」といった一部の要件を満たす可能性がありますが、方式によってはフィッシング耐性がありません。
• 耐フィッシングMFA： 安全なログインに関する厳格な要件を満たし、監査担当者や規制当局に最も高い保証を提供する傾向があります。
• パスキー： すでにFIDO2標準に準拠しており、これは規制対象の大半の業界でセキュリティ要件を満たすか、それを上回ります。

3.5 比較表#

4. 実際の事例と用途#

4.1 EC事業者MercariがパスキーでSMSのOTPより高いログイン成功率を達成#

Mercariは従来、ユーザーのログイン保護と取引確認にSMSのワンタイムコード（OTP）を使っていました。この方法では世界中へのメッセージ送信に多額の費用がかかり、コードの遅延や未着に関するユーザーからの苦情も時折発生していました。

成果：

• 大幅なコスト削減： SMS送信の大部分をなくすことで、OTPに関連するメッセージ送信コストを大幅に削減しました。
• セキュリティの向上： パスキーは航空会社の正規ドメインに紐付いた非対称暗号を使うため、SIMスワップやフィッシング攻撃に耐性があります。
• ログイン成功率の向上： パスキーによるログイン成功率は82.5%となり、SMSのOTPによる67.7%を上回りました。

重要なポイント：
ログイン回数が多い組織にとって、パスキーへの移行は大きな転機になり得ます。セキュリティの向上に加え、SMSのOTPにかかる費用の削減が収益に大きく貢献します。

4.2 SaaSスタートアップがマジックリンクで登録時の負担を軽減#

SaaSスタートアップは、ユーザーの迅速な登録と、パスワード忘れに関するサポート問い合わせの大幅な削減につながることから、マジックリンクをよく利用します。

成果：

• 登録時の負担軽減： 登録中のユーザー離脱率が30%超低下し、コンバージョンが向上しました。
• サポート問い合わせの減少： パスワード再設定の問い合わせが大幅に減り、少人数のサポートチームが製品に関する質問に集中できるようになりました。
• 迅速な改善： マジックリンクは比較的簡単に実装・改良できるため、フローを調整しやすく、登録体験全体の満足度を高められます。

重要なポイント：
SaaSスタートアップにとって、マジックリンクなどのパスワードレス方式は、ユーザー登録を簡素化するだけでなく、パスワード管理の運用負担も軽減します。これは成長初期における重要な利点です。

4.3 MyGovが市民アカウントのセキュリティを強化しフィッシングを防止#

オーストラリアの政府オンラインポータルMyGovは、Medicare、Centrelink、オーストラリア国税庁など、複数の政府サービスへのアクセスを提供しています。機密性の高い個人データを扱うため、MyGovには厳格な規制が適用され、社会からの監視も厳しくなっています。

成果：

• 利用者の増加： 3か月で20万人にパスキーを導入しました。
• コンプライアンスの強化： ハードウェアトークンや安全なアプリベースのソリューションによる暗号技術を用いたオリジンへの紐付けで、ASDのEssential Eightやその他の国家サイバーセキュリティ指針に対応しました。
• フィッシング被害の減少： 正規のハードウェアトークンや端末に紐付いた鍵がなければ、盗まれた認証情報の再利用が非常に困難になりました。
• 市民の信頼向上： 堅牢なMFAソリューションを強調することで、データ漏えいへの懸念が高まる中、ユーザーの信頼を強化しました。

重要なポイント：
政府機関や公共部門の企業、または厳しい規制下にある業界の組織にとって、耐フィッシングMFAの導入は、セキュリティだけでなく変化する基準への準拠を維持するためにも重要です。

5. Corbadoによる支援#

3.5節の表は、3つの選択肢を抽象的に評価したものです。実際の意思決定には、自社のログインデータに基づき、ユーザーが実際に使う方式を行に並べ、5段階評価ではなく完了率を示す表が必要です。認証の可観測性を提供するCorbado Observeは、このような比較を可能にします。

• 実際に使われている方式の構成： 各ログインをパスワード、パスキー、ソーシャルログイン、SMSのワンタイムコード、メールのワンタイムコード、TOTP、アプリでの確認というサブフローに分類します。方式ごとのログインの割合と成功率が、この記事の3つのカテゴリーから選ぶための実態に即した出発点になります。
• 各方式でユーザーが離脱する箇所： Login Frictionは、操作が行われた各ログインを復旧、別方式への切り替え、中断、エラー、リセット、問題なく完了の区分に分け、方式別に表示します。これにより「パスワードレスは操作負担を減らす」という主張を、自社の利用データで数値化できます。
• 耐フィッシング方式の相対的な価値： Method Upliftは、各ログインフローで利用可能だった方式（パスワードのみ、パスワードとパスキー、パスワードとソーシャルログイン、3つすべて）ごとにフローを分類し、各組み合わせをパスワードのみの基準と比較します。すべて同じ期間で比較するため、切り替え前後の比較を待たずに、3.2節の利用率に関する判断を自社製品について行えます。
• パスキー施策は不要： Observeは現在のログインで動作します。パスワードとSMSコードを使っている場合はその両方を測定します。この記事の意思決定の多くは、まさにそこから始まります。

See Login Methods in Corbado Observe →

パスキーの導入を決めた場合は、Corbado Connectが実装を担います。条件に応じた案内とPasskey Intelligenceによって、どのユーザーにいつ案内を表示するかを制御し、3.2節で述べたUX上の利点を最大10倍のパスキー利用率につなげます。

6. まとめ#

従来のパスワード、パスキー、パスワードレス方式、耐フィッシングMFAを比較した結果を整理します。

それぞれに独自の利点があります。

• パスワードレス： パスワードから大きく進歩し、ユーザーの操作負担とサポートコストを減らしますが、常にフィッシングを防げるわけではありません。
• 耐フィッシングMFA： リスクの高い環境に高度なセキュリティを提供し、攻撃者が人為的ミスを悪用できないようにします。
• パスキー： パスワードレスで本質的にフィッシング耐性を備えたMFAであり、業界の先駆者にも支持されています。ユーザー体験を損なわずに最高水準のセキュリティを提供します。

今すぐ認証の改善に取り組むことは、セキュリティの向上だけでなく、デジタル経済で活躍できる先進的でユーザー中心の企業としての地位を築くことにもつながります。

Corbadoについて

Corbadoは、大規模なconsumer認証を運用するCIAMチームのためのPasskey Intelligence Platformです。IDPのログや一般的なanalyticsツールでは見えないものを可視化します。どのデバイス、OSバージョン、ブラウザ、credential managerがpasskeyに対応しているか、なぜ登録がログインにつながらないのか、WebAuthnフローのどこで失敗するか、OSやブラウザのアップデートがいつ静かにログインを壊すか、 Okta、Auth0、Ping、Cognito、あるいは自社IDPを置き換えることなく、すべてを把握できます。2つのプロダクト：Corbado Observeは passkeyとその他あらゆるログイン方式のobservabilityを提供します。Corbado Connectは analytics内蔵のmanaged passkeyを追加します（既存のIDPと併用）。VicRoadsはCorbadoで500万人超のユーザーにpasskeyを提供しています（passkey有効化率80%+）。 Passkeyエキスパートに相談する →