パスキーとは？ パスワードとの違いを60代の私が南京錠で考えてみた

ハウル

みなさんこんにちは。ハウルブログです。今日も元気にお過ごしでしょうか。

人生100年と言われる時代です。還暦（60歳）を過ぎても、まだ残り40年あります。このブログが、還暦を過ぎたみなさまにとって何かのヒントになればと思い、書き続けています。

今日は「パスキーとは何か、パスワードとの違い」について書いてみます。

毎朝、リベ大（リベラルアーツ大学）のYouTubeを聞くのが日課になっています。

先日、いつものように聞いていたら、「パスキー」という言葉が出てきました。

実は、パスキーには少し苦い思い出があります。

最近、ConoHa WING（レンタルサーバーのサービス）にログインしようとしたら、パスキーの入力画面が出てきました。

ところが、そのパスキーがどこにあるのか分からない。

ちょっと飲んで、寝る前に設定した記憶はあるのですが、パスキーのありかが思い出せません（お酒はほどほどに、ですね）。

悩んだあげく、ConoHa WINGの電話サポートに電話して、パスキーを解除してもらいました。いまは、今までどおりのパスワードでログインしています。

一方、地元のJAバンクなどでは、ワンタイムパスワードのアプリを開いて、表示された数字を入力してログインしています。今でも2件はこのやり方です。

実はこのアプリの数字、パスキーではなく「2段階認証」のしくみだったのです。私は、この2つの区別がついていませんでした。

で、パスキーって何なの？

正直に言うと、意味がよく分かっていませんでした。

そこで、パスキーと、その周りの言葉をまとめて調べてみました。

結論から言うと、パスキーとは「パスワードの代わりに、自分のスマホやパソコンに入った『鍵』でログインするしくみ」です。

合言葉（パスワード）を打ち込むのではなく、スマホの指紋や顔、画面ロックの暗証番号で本人確認をします。

そして、ここが大事なところですが、偽サイトにだまされて入力してしまう、ということが起こりにくいのです。

パスキーとは？ ひとことで言うと「合言葉」から「鍵」へ

まず、言葉を整理します。

これまでのログインは、「表札（ID）」と「合言葉（パスワード）」の組み合わせでした。

合言葉を知っている人なら、だれでも入れてしまいます。

パスキーは、合言葉をやめて、自分の持っている端末（スマホなど）を鍵にするしくみです。

しかも、その鍵を使うには、指紋や顔などで「持ち主本人である」ことを確かめます。

つまり、

• 持っているもの（スマホ）
• 本人であること（指紋・顔、または画面ロックの暗証番号）

の2つがそろって、はじめて扉が開きます。

パスワードは「数字を合わせる南京錠」

パスワードを説明するのに、リベ大YouTubeでは、ダイヤル式の南京錠を例に出していました。

自転車やロッカーに付ける、数字を4つ合わせて開ける、あれです。

4けたのダイヤル錠は、0000から9999まで、1万通りしかありません。

1秒に1つずつ試しても、3時間足らずで全部チェックすると開いてしまいます。

パスワードも、考え方は同じです。

• 短いパスワード
• 誕生日や電話番号など、推測されやすいパスワード
• いろいろなサイトで同じものを使い回しているパスワード

こういうものは、コンピューターで次々と試されると、思ったより早く破られます。

人間なら3時間かかるところを、コンピューターは一瞬でやってのけます。

さらに困るのが「使い回し」です。

どこか1つのお店のサイトからパスワードが漏れると、同じ組み合わせで、ほかの銀行や証券会社のサイトにも入られてしまいます。

1つの合鍵で、家も車も金庫も開いてしまうようなものです。

最近の企業の個人情報流出、原因は何か

「でも、私のパスワードなんて、だれも狙わないでしょう」

そう思っていました。ところが、最近のニュースを見ると、そうも言っていられません。

東京商工リサーチの調べでは、上場企業とその子会社で、100万件以上の個人情報が漏れた事故が、2026年は10月5日までに10件。

2025年の1年間の6件を、すでに大きく上回っています。

メールアドレス約1,223万件が漏れた例や、飲食店のアプリの会員情報約1,078万件が漏れた例もありました。

原因として目立つのは、外部からの不正アクセスです。

会社のシステムのすき間を突かれたり、社員や取引先のIDとパスワードを盗まれたりして、中に入られています。

10月に入ると、「ドコモの顧客情報1億1,000万件が、闇サイト（ダークウェブ）で売られている」という話がSNSで広まりました。

1億件と聞いて、私も驚きました。

ただ、ドコモは10月9日に「調査の結果、そのような事実は確認されていない」と発表しています。

見本として出回ったデータは作り物らしい、という専門家の声もあります。

一方で、ドコモは9月に、契約者約34万人分の情報を、本人の同意なくアマゾンの日本法人に渡していたことを明らかにしました（こちらは流出とは別の問題です）。

「1億件流出」のような大きな話は、本当かどうか分からないまま、あっという間に広がります。

こうした騒ぎに便乗して、「あなたの情報が漏れました。こちらで確認してください」という偽メールが届くこともありえます。

慌ててリンクを押さないことも、大事な守りです。

私たちの手元でいちばん多いのは、フィッシング詐欺です。

本物そっくりのメールやSMSが届き、リンクを押すと、本物そっくりのログイン画面が出てきます。

そこにIDとパスワードを打ち込むと、それがそのまま犯人の手に渡ります。

ネット証券では、2025年に乗っ取りが相次ぎました。

報道によると、不正アクセスは1年で約1万8千件。

本人の知らないうちに株が売買される被害が出て、証券会社はパスキーなどの導入を急いでいます。

たとえばマネックス証券は、2026年6月30日から、ログインにパスキーを必須にしました。

私の場合は、リベ大YouTubeの両学長のすすめで、メールをGmail一本にしています。迷惑メールをよけてくれるので、フィッシング詐欺のメールが目に入ることは、ほとんどありません。

中国のAIを使ったハッカーは増えているのか？

調べていて気になったのが、「AIを使ったハッカー」の話です。

2025年11月、AIの会社のAnthropic（アンソロピック）が、「中国の国家が支援しているとみられるグループが、AIを使って、世界の約30の組織にサイバー攻撃を仕掛けた」と発表しました。

攻撃の作業の8〜9割を、AIがほぼ自動でこなしていたそうです。

成功したのはごく一部だったとのことですが、「AIが攻撃の手間を大きく減らす」ことがはっきりした出来事でした。

では、中国のAIハッカーが増えているのか。

国ごとの数字までは、はっきりしたものは見つかりませんでした。

ただ、言えることが2つあります。

1. AIで、偽メールや偽サイトが上手になった
   以前の詐欺メールは、日本語がどこか不自然で、すぐに見破れました。
   いまは生成AIで、自然な日本語の文章や、本物そっくりのサイトが簡単に作れます。
2. AIで、たくさんの相手を一度に狙えるようになった
   南京錠を1つずつ試す人が、何千人もの手を持つようになった、というイメージです。

どこの国の犯人であっても、こちらが打つ手は同じです。

「合言葉を盗まれても、入られない」しくみにしておくこと。

そこで出てくるのが、2段階認証とパスキーです。

2段階認証とパスキーの違い

2段階認証は、パスワードを入れたあとに、もう1つ確認をするしくみです。

スマホにSMSで届く数字や、専用アプリに出る数字（ワンタイムパスワード）を入れる、という形がよくあります。私がJAバンクなどで使っているのも、このアプリ型です。

南京錠のほかに、もう1つ鍵を付けるようなもので、パスワードだけよりずっと安全です。

ところが、最近はこれもすり抜けられています。

偽サイトが、パスワードだけでなく、6けたの数字の入力画面まで用意しているのです。

こちらが入れた数字を、犯人がその場で本物のサイトに打ち込んでしまいます（「リアルタイムフィッシング」と呼ばれます）。

パスキーは、ここが違います。

• パスキーの鍵は、本物のサイトにしか合わないように作られている
• 偽サイトでは、そもそもパスキーでのログインが動かない
• 鍵そのもの（秘密鍵）は自分のスマホの中にあり、外に送られない

本物そっくりの偽の家に連れて行かれても、私の鍵は、本物の自分の家の扉にしか合いません。

だから、だまされて鍵を渡してしまう、ということが起こりにくいのです。

ひとことで比べると、こうなります。

「警察です」の電話も、同じ考え方で守る

フィッシング詐欺と並んで、いま増えているのが、警察官を名乗る詐欺（ニセ警察詐欺）です。

「あなたの口座が犯罪に使われています」と電話がかかってきて、LINEのビデオ通話で偽の警察手帳を見せられ、最後はお金を振り込まされる、という手口です。

警察庁のまとめ（暫定値）では、2026年の上半期だけで、ニセ警察詐欺の被害は約508億円。

前の年の同じ時期より、100億円以上増えています。

これはパスキーでは防げません。

でも、守り方の考え方は同じです。

• 向こうから来たメール・SMS・電話の「リンク」や「指示」には乗らない
• 自分から、公式のアプリや、知っている電話番号に確かめる
• 本物の警察が、電話でお金の振り込みや、口座の暗証番号を求めることはない

「向こうから来たものは、まず疑う」。

パスキーが偽サイトでは動かないのと同じで、自分の側の「正しい扉」からしか入らないことが大事です。

パスキーは設定したほうがいい？ 60代の私の結論

調べてみて、私の結論は「大事なサービスから、パスキーを設定する」です。

順番は、こう考えました。

1. お金に関わるもの：証券会社、ネット銀行、クレジットカード
2. ほかのサービスの「親」になるもの：GoogleアカウントやApple ID
3. 買い物や毎日使うもの：Amazon、楽天、LINEなど

とくに2番目は見落としがちです。

パスキーは、GoogleやAppleのアカウントを通じて、スマホを買い替えても引き継げるようになっています。

裏を返すと、GoogleやAppleのアカウントそのものが乗っ取られると、まとめて危ないということです。

実際に、Googleなどのアカウントがフィッシングで盗まれ、そこから証券口座に入られたとみられる例も報告されています。

親になるアカウントこそ、先にしっかり守っておきたいところです。

設定するときの注意も、書いておきます。

• 設定は、メールのリンクからではなく、公式アプリや、自分でブックマークした公式サイトから行う（「パスキーを設定してください」という偽メールもあります）
• スマホの画面ロック（指紋・顔・暗証番号）を、先に設定しておく
• スマホをなくしたときのために、パスワードや予備のログイン方法も、きちんと残しておく
• どの端末（スマホ、パソコン、1Passwordなど）にパスキーを保存したか、メモしておく。私のConoHa WINGのように、ありかが分からなくなると困ります

パスワード管理アプリ「1Password」も使っています

パスキーに対応していないサイトも、まだたくさんあります。

そこで役に立つのが、パスワード管理アプリです。

私は「1Password」を使っています。

サイトごとに、長くてバラバラのパスワードを作って、アプリの中にしまっておけます。

覚えておくのは、アプリを開けるための1つだけ。

南京錠で言えば、「全部の番号を書いた手帳を、丈夫な金庫に入れておく」ようなものです。

1Passwordはパスキーもしまっておけるので、パソコンとスマホのどちらからでも使えます。

1Passwordを使い始めたのは、両学長が主宰するリベシティで知ったのがきっかけです。

なお、AIを相手に記事づくりをしていると、こうしたログインの場面がよく出てきます。

AIとの付き合い方は、＃（いげた）と♯（シャープ）の違いの記事にも書きました。

まとめ

今日は「パスキーとは何か」を、パスワードとの違いから考えてみました。

• パスキーは、合言葉の代わりに、スマホの中の「鍵」と指紋・顔でログインするしくみ
• パスワードは数字合わせの南京錠。全部試せば開くし、使い回すと被害が広がる
• 2段階認証はパスワードより安全だが、偽サイトですり抜けられることがある
• パスキーは偽サイトでは動かないので、フィッシング詐欺に強い
• 企業の流出やAIを使った攻撃は増えている。どこの犯人でも、こちらの守り方は同じ
• まずは、お金のサービスと、GoogleやAppleのアカウントからパスキーを設定する

毎朝のYouTubeで、ふと耳に入った言葉ひとつ。

「よく分からないけど、まあいいか」で流していたら、今日の記事はありませんでした。

人生100年、あと35年。

大事な財産と情報は、自分で守る。

まずは今日、証券会社のアプリを開いて、「あとで」ではなく「設定する」を押してみようと思います。

ハウル

自由を目指すアラカン

「人生100年時代」をともに生きるあなたへ。
何かヒントになればと思い2022年11月にブログをスタートしました。
旅（神社仏閣巡り）・還暦野球・ゴルフやってます。