「パスキー」や「Googleでログイン」という言葉を目にする機会が増えました。便利そうだけれど、仕組みがよく分からないまま使うのは少し不安。このページでは、そんなもやもやを一つずつほどいていきます。
パスワードには、昔から抱えている弱点があります。覚えきれないので同じものを使い回してしまうこと。本物そっくりの偽サイトにうっかり入力してしまうこと。そして、サービス側から漏れてしまうことがあることです。
どれも、使う人の注意だけでは防ぎきれません。そこで、パスワードそのものを使わない仕組みに切り替えるサービスが増えています。新しく始まるサービスや、セキュリティを重視するサービスでは、パスワードでのログインを廃止する流れも広がっています。
パスキーを登録すると、あなたのスマホやパソコンの中にあなただけの実印が作られます。サービスの側が預かるのは、その実印が本物かどうかを確かめる印鑑証明だけです。
もう一つの大きな特長は、偽サイトでは使えないことです。パスキーは登録したサイトの住所（ドメイン）とセットで作られます。見た目がそっくりでも、住所が違えば実印を押すこと自体ができません。
受付で身分証を見せると、名前を名乗るだけで通してもらえます。「Googleでログイン」も同じ考え方です。サービスはあなたのパスワードを確かめる代わりに、Googleに「この方は本人ですか」と確認します。
※Googleアカウントのパスワードを、サービスが受け取ることはありません。
ログインの途中で、サービス自身の画面がGoogleのパスワードを求めてきたら、それは正しい流れではありません。入力せずに画面を閉じてください。
Googleアカウント側には「どのサービスにログインしたか」という記録が残ります。Googleアカウントの設定画面にある「サードパーティ製のアプリとサービス」から、連携しているサービスの確認や連携の解除ができます。
| パスワード | パスキー | Googleでログイン | |
|---|---|---|---|
| ログインのしかた | 文字を入力する | 指紋・顔・PINで確認 | Googleで本人確認 |
| 覚えるもの | サービスごとのパスワード | なし | Googleのパスワードだけ |
| 偽サイト | 入力すると盗まれる | そもそも反応しない | Googleの画面かどうかの確認が必要 |
| 本人確認の強さ | パスワードを知っていれば誰でも入れる | 端末と指紋・顔・PINの両方が必要 | Googleの2段階認証や不審なログインの検知がそのまま働く |
| 向いている人 | ― | 自分専用のスマホ・パソコンがある人 | 普段からGoogleアカウントを使っている人 |
「Googleの守り」とは Googleアカウントに2段階認証を設定していれば、その守りがそのサービスへのログインにも効きます。見慣れない場所や端末からログインしようとすると、Googleが警告や追加の確認を出してくれます。ただし、これはGoogleアカウント自体をしっかり守っていることが前提です。
ログイン方法の強さの順は、パスキー ＞ Google（2段階認証つき）＞ SMS・音声 ＞ メール、です。パスワードでのログインは OFF を推奨します。
端末の指紋・顔認証・PIN でログインします。鍵は端末の外に出ず、本物のサイトでしか動きません。
Google の不正ログインの検知と、Google の2段階認証で守られます。
登録した携帯電話を持っている人だけが、確認コードを受け取れます。
ログイン ID のメールアドレスに確認コードを送ります。
メールアドレスとパスワードでログインします（初めてのブラウザでは確認コードが必要です）。
どの方法にも、乗っ取られる道筋があります。方法ごとに、どこが狙われるかを知っておくと、備え方が分かります。
リスク端末をなくしたり壊したりすると、その端末のパスキーではログインできなくなります。パスキーを2台以上に登録するか、Google などほかの方法も残しておいてください。なくした端末は、ロックを解除されなければ使われませんが、［ログイン設定］でその端末のパスキーを削除してください。また、パスキーを保存している Apple・Google のアカウントを乗っ取られると、パスキーも使われます。そのアカウントは2段階認証で守ってください。
リスクGoogle アカウントが乗っ取られると、連携しているサービスにも入られます。Google の2段階認証を設定していないと、Google のパスワードだけで乗っ取られます。偽の Google のログイン画面にご注意ください。
リスク偽のサイトで確認コードを入力させられると、その場で使われます。携帯会社の窓口で SIM を不正に再発行される（SIM スワップ）と、確認コードが他人に届きます。解約した番号が他人に割り当てられることもあります。
リスクメールのパスワードをほかのサービスと使い回していると、メールごと乗っ取られ、確認コードも読まれます。メールの転送の設定を勝手に変えられると、確認コードが他人に届き続けます。確認コードの送り先の中で最も弱い方法です。
リスク使い回し、ほかのサービスからの流出、推測、偽のサイトへの入力で盗まれます。パスキーか Google を登録したら、［ログイン設定］でパスワードでのログインを OFF にしてください。
パソコンを買い替えたら、パスキーは新しいパソコンに移せますか？
Apple（iCloud キーチェーン）・Google（Google パスワード マネージャー）・Microsoft など、同期できる場所に保存したパスキーは、新しいパソコンで同じアカウントにログインすれば、そのまま使えます。手続きは要りません。同期しない場所（パソコンの中だけ）に保存したパスキーは移せないため、新しいパソコンでログインしてから［ログイン設定］で登録し直し、古いパスキーは削除してください。
パソコンやスマートフォンが壊れて、パスキーが使えなくなったら、ログインできますか？
パソコンでもスマートフォンでも同じです。Apple・Google などに同期していたパスキーは、新しい端末で同じアカウントにログインすれば、そのまま使えます。同期していないパスキーのときは、次の方法でログインしてください。パスワードでのログインを ON にしていれば、メールアドレス・パスワードと確認コード（SMS・音声・メール）でログインできます。OFF にしている場合は、Google でのログインか、ほかの端末に登録したパスキーでログインしてください。どれも使えないときは、ログイン画面の「ログインできない」の窓口からご連絡ください。ご本人の確認のあと、ログインできる状態に戻します。
パソコンとスマートフォンなど、複数の端末に登録できますか？
できます。1つのアカウントに 5 つまで登録できます。端末ごとに登録しておくと、1台が使えなくなってもほかの端末でログインできます。
パスキーが使えなくなったら、新しい端末で登録し直せますか？
できます。ほかの方法でログインしてから、［ログイン設定］で新しい端末のパスキーを登録してください。使えなくなった端末のパスキーは、同じ画面で削除してください。
故障や紛失に備えて、どう設定すればよいですか？
パスキーを2台以上（たとえばパソコンとスマートフォン）に登録する、Google でのログインも連携しておく、電話番号を登録しておく、の3つをおすすめします。パスキーを保存する Apple・Google のアカウントにも2段階認証を設定してください。これで、パスワードでのログインを OFF にしても、1台が使えなくなったときにログインできます。
指紋や顔の情報を、サービスに渡すのですか？
渡しません。指紋や顔は、スマホやパソコンが「持ち主かどうか」を確かめるためだけに使い、端末の外には送られません。サービスの運営元も、AppleやGoogleも、あなたの指紋や顔のデータを受け取ることはありません。
パスワードを入れないのは、鍵をかけていないようで不安です
パスワードは「知っている人なら誰でも開けられる鍵」です。パスキーは「あなたの端末」と「あなたの指紋・顔・PIN」の2つがそろわないと開きません。入力の手間がなくなるだけで、守りはむしろ固くなっています。
スマホを買い替えたら、ログインできなくなりませんか？
多くの場合、パスキーは自動で新しいスマホに引き継がれます。iPhoneならiCloudキーチェーン、AndroidならGoogleパスワードマネージャーに保存されていて、同じアカウントで新しいスマホにログインすれば使えるようになります。
スマホをなくしたら、もう入れないのでは？
パスキーは1つのアカウントに複数登録できるのが一般的です。スマホとパソコンなど、2台以上に登録しておけば、1台をなくしてももう1台からログインできます。ログインできたら、なくした端末のパスキーは削除しておきましょう。すべての方法が使えなくなったときは、サービスごとに用意されている復旧の手続きを利用します。
Googleアカウントに入れなくなったら、どうなりますか？
Googleでログインしているサービスにも入れなくなります。Googleアカウントの2段階認証や、再設定用の電話番号・メールアドレスを最新にしておくことが大切です。あわせてパスキーも登録しておくと、どちらかが使えなくなっても困りません。
一度設定したら、元に戻せないのでは？
登録したパスキーは、サービスの設定画面からいつでも削除できます。Googleとの連携も、サービス側またはGoogleアカウント側から解除できます。削除や解除をしても、サービスに保存しているデータが消えることはありません。
パスキーは「その端末を持っている人」だけが使える鍵です。では、スタッフ何人かで同じアカウントを使っている場合はどうなるのでしょうか。
1つのアカウントにパスキーを複数登録できるサービスで、運営元が複数人での利用を認めている場合は、一人ひとりが自分のスマホやパソコンでパスキーを登録すれば、それぞれがログインできます。パスワードを教え合う必要はありません。
共有の可否や登録できる数は、サービスの利用規約や設定によって異なります。事前に利用先の案内をご確認ください。Googleでログインを使う場合は、担当者個人のGoogleアカウントではなく、会社で管理しているGoogleアカウントで連携しておくと、担当者が替わっても困りません。
パスキーの登録やログインのときは、サービスではなく、スマホやパソコン自体（OSやブラウザ）が確認の画面を出します。ウイルスや広告ではありません。
あなたの端末に実印を作ってよいか、という確認です。「保存」や「続ける」を選びます。
Windowsパソコンの持ち主確認です。PINは、パソコンにサインインするときの暗証番号のことで、サービスのパスワードではありません。
パソコンにパスキーがないときに、スマホのパスキーを使うための画面です。スマホのカメラで読み取り、スマホで指紋や顔の確認をすると、パソコンでログインできます。スマホのBluetoothをオンにしておきます。
パスキーは、保存した場所（iCloud、Google、Windowsなど）にひもづいています。別のブラウザや端末では、上のQRコードを使う方法でログインできます。
この記事は、パスキーとGoogleでログインの一般的な仕組みを紹介したものです。実際の画面や手順は、お使いのサービスや端末によって異なります。
Copyright (C) Orange Spirits, Inc.