パスキーの死角はどこ？2026年に相次ぐ「認証の周辺」を狙う新手口を解説

📖 推定読了時間：約7分

「パスワードをやめてパスキーにしたから、もうアカウント乗っ取りの心配はない」——そう思っている方は少なくないはずです。実際、パスキーはフィッシング詐欺に非常に強い仕組みであり、その基本方針は今も揺らいでいません。しかし2026年に入り、海外のセキュリティ研究者たちから「パスキーそのものではなく、その周辺の仕組みを突く」新しい手口が相次いで報告されています。この記事では、何が起きているのかを整理し、個人でも企業でも今日からできる対策を紹介します。

「パスキーにしたから安心」、その理解で合っていますか？

パスキーは、公開鍵暗号を使ってパスワードを置き換える仕組みです。秘密鍵は端末や専用ハードウェアの中から外に出ることがなく、サーバー側が漏えいしても被害が及びにくいという強みがあります。長年悩まされてきたフィッシングサイトへのパスワード入力による乗っ取りは、この仕組みによって格段に起きにくくなりました。

ただし、「暗号が強い」ことと「認証プロセス全体が安全」であることは、実はイコールではありません。この違いこそが、2026年のセキュリティ研究で繰り返し指摘されているポイントです。

海外で報告が相次ぐ「認証の周辺」を狙う手口

2026年8月、米ラスベガスで開催されたセキュリティカンファレンス「Black Hat USA」では、複数の研究チームがパスキーに関する新しい攻撃手法を発表しました。中でも注目されたのが、セキュリティ企業SpecterOpsが発表した「Pass-the-Passkey」と呼ばれる一連の手口です。

これは、あらかじめ端末に感染したマルウェアが、正規のWindows認証の仕組み自体に「署名を作ってほしい」と依頼し、ユーザーが普段どおりに生体認証や画面操作を行うことで、その署名（アサーション）をそのまま攻撃者側が受け取ってしまう、という手口です。海外メディアはこの本質を次のように表現しています。

“FIDO2 can remain completely intact while the account is still compromised.”
（訳：FIDO2の暗号そのものは無傷のままでも、アカウントは乗っ取られうる）

秘密鍵は盗まれていません。暗号も破られていません。それでも認証は突破されてしまう——この一文が、今回の一連の研究が示す本質をよく表しています。「暗号方式が安全だから大丈夫」という考え方だけでは不十分になってきているという点は、覚えておく価値があります。

同期・エクスポートが生む、新たな攻撃面

スマートフォンとパソコンでパスキーを共有できる「同期パスキー」は非常に便利ですが、この利便性自体が新たなリスクになり得ます。Googleパスワードマネージャーを狙った「Pass-ta-key」という攻撃では、マルウェアに感染したWindows端末上で、正規のChromeの認証処理を模倣することで、ユーザーの同意なしに同期パスキーの署名を作り出せることが報告されました。

つまり、パスキーを預けるクラウドアカウントやパスワードマネージャーが乗っ取られると、そこに同期されているパスキーそのものが危険にさらされる可能性があるということです。「クラウドに同期しているから、どの端末でも使えて便利」という発想の裏側には、こうしたリスクも存在しています。

この点を踏まえると、特に重要なアカウントについては、クラウド同期に依存しないハードウェアセキュリティキー（FIDO2対応）のような、秘密鍵が専用デバイスの外に一切出ない仕組みを併用するという選択肢が改めて注目されています。専用ハードウェアには汎用OSやアプリストア、ブラウザ拡張機能といった攻撃対象になりうる要素自体が存在しないため、周辺経路からの攻撃が構造的に難しくなります。

• ✅FIDO2の暗号方式そのものは、現時点でも破られていない
• ⚠️狙われているのは、同期・復旧・UIなど暗号の「周辺」部分
• 👍重要なアカウントは専用ハードウェアキーとの併用で対策できる

意外と見落とされがち：最大の盲点は「登録・復旧」のプロセス

今回の一連の研究でもう一つ強調されているのが、「登録」や「復旧（リカバリ）」のプロセスそのものが狙われているという点です。既存のパスキーを盗み出すのではなく、正規のサービスを使って、攻撃者が管理する端末に新しいパスキーをまるごと登録させてしまう、という手口です。

例えば、サポート窓口に「パスキーの端末を紛失した」と偽って連絡し、本人確認の弱いリカバリ手順を突破して新しい認証情報を登録させる、といったケースが報告されています。この場合、既存のパスキー自体は一切壊されておらず、盗まれてもいません。それでも攻撃者はまったく正規の手続きを経て、有効な認証情報を手に入れてしまうのです。

表からも分かる通り、どの手口も暗号技術そのものへの攻撃ではありません。だからこそ、対策も「暗号を強くする」方向ではなく、周辺の運用ルールを見直す方向で考える必要があります。

今日からできる対策：個人にも企業にもできること

ここまで読むと不安になるかもしれませんが、パスキー自体をやめる必要は全くありません。むしろパスワードよりずっと安全な選択肢であることに変わりはなく、大切なのは周辺のリスクを理解した上で運用を見直すことです。

• ネットバンキングや主要なクラウドアカウントなど、特に重要なサービスはハードウェアセキュリティキーを併用し、クラウド同期に依存しない認証手段を一つ持っておく。
• NFC対応のセキュリティキーをスマートフォンにタップして使う場合、金属製やNFCを遮断しやすい厚手のケースを使っていると認識に失敗することがあります。日頃使う端末にはNFC対応の薄型スマホケースを選んでおくと、いざという時にスムーズに認証できます。
• 各サービスの「登録済みデバイス・パスキー一覧」を定期的に確認し、身に覚えのない登録がないかチェックする。
• アカウント復旧の手続きが、電話やメールだけで完結してしまわないか、一度自分自身で確認してみる。

体系的に理解を深めたい方は、情報セキュリティ入門書籍で認証の基礎から復習しておくと、今回のような新しい手口が出てきたときにも、落ち着いて仕組みを理解できるようになります。

なお、本記事の内容は2026年9月時点で報道・公開されている情報をもとにしています。攻撃手法や各サービスの対応状況は今後変化する可能性があるため、最新の情報は各サービスの公式セキュリティ情報もあわせてご確認ください。

まとめ

パスキーの暗号技術そのものは、2026年時点でも破られていません。しかし研究者たちが指摘するように、攻撃者の関心は「暗号を解読すること」から「認証を取り巻く同期・復旧・UIといった周辺部分をすり抜けること」へと移りつつあります。

大切なのはパスキーを怖がることではなく、重要なアカウントほどハードウェアキーを併用し、登録済みデバイスやリカバリ手続きを定期的に見直す習慣を持つことです。まずは今お使いの主要サービスで、登録済みのパスキー一覧を一度確認するところから始めてみてください。