パスキーって何？重要性と落とし穴について解説

証券会社や銀行など、金融機関を中心に「パスキー」でログインできるサイトが増えています。ログインの動きはほとんど変わらないのに、セキュリティはぐっと上がる。それがパスキーです。

ところが最近、パスキーを設定していたのに不正利用の被害に遭った、という話も出てきました。今回は、パスキーって何？ なぜ重要なの？ という基本から、見落としがちな「落とし穴」、そして、いますぐスマホでできるチェックまでを、iPhoneとAndroidに分けて解説します。

この話は、FM徳島「マネーの寺子屋」（2026年10月9日放送）でもお話ししました。

IDとパスワードの最大の弱点は「入力すること」

IDとパスワードの関係は、銀行の通帳と印鑑に似ています。IDは通帳、パスワードは印鑑です。通帳を人に見られても、それだけでお金を盗まれることはありません。でも、通帳と印鑑がそろうと、窓口でお金を引き出せてしまいます。

IDとパスワードを入力するのは、窓口に通帳と印鑑を差し出すようなもの。その窓口が本物そっくりの偽物（フィッシングサイト）だったら、通帳と印鑑をまるごと渡してしまうことになります。

一度そろって盗まれると、相手はいつでもあなたになりすましてログインできます。入力するたびにこの危険がある。これが、IDとパスワードの最大の弱点です。

パスキーって何？ パスワードそのものを送らない仕組み

パスキーは、印鑑を窓口に渡さない仕組みです。パスキーを作ると、スマホの中に、そのサイト専用の印鑑ができます。ログインするときは、印鑑そのものは出さず、「正しい印鑑を持っている証明書」を見せるだけです。

印鑑（パスワードにあたるもの）を渡さないので、相手が偽の窓口でも、盗まれるものがありません。証明書もそのログインのためだけのもので、使い回せません。だから、フィッシング詐欺に非常に強いのです。

しかも、ログインの操作は顔認証や指紋認証、スマホのロック解除と同じ。いつもの流れはほとんど変わらないのに、セキュリティは爆上がり。これが、パスキーが重要と言われる理由です。

設定していたのに被害に…落とし穴は「保存先」の管理

作ったパスキー（印鑑）は、iPhoneならApple Account（以前の Apple ID）、AndroidならGoogle アカウントという「金庫」にしまって管理するのが基本です。

ということは、その金庫（Apple AccountやGoogle アカウント）が開けられると、印鑑もまとめて相手の手に渡るおそれがあります。

どれだけ立派な印鑑を作っても、しまっておく金庫の鍵が甘ければ意味がありません。

最低限これだけは：2つのアカウントを守る

パスワードを使い回していると、たとえば買い物サイトからIDとパスワードが漏れただけで、スマホのアカウントまで狙われてしまいます。

パスワードは、本当はすべて別々にするのがベストです。それが大変なら、せめて次の2つだけは、ほかで使っていない独自のパスワードにしてください。

これだけでも、守りはまったく違います。

もうひとつ大事なのが、スマホのアカウントに登録しているメールアドレスです。ここが、ふだん使っていない古いアドレスのままになっていると、不正なログインや、その試みがあったという知らせが見ていないアドレスに届くので、気づけません。はっきり言って最悪です。

ここからは、iPhoneとAndroidに分けて、確かめ方と変え方を見ていきます。いますぐスマホを出して、一緒にチェックしてみましょう。

いますぐチェック！ スマホのアカウント

iPhoneの場合：Apple Accountを確かめる

アドレスの確かめ方

1. 「設定」アプリを開き、いちばん上の自分の名前をタップします。

2. 「Apple Account」の画面に出る、名前の下のメールアドレスを確かめます。

ここに出ているのが、ふだんから使っていて、メールが届いたらすぐ気づけるアドレスなら「いったんセーフ」です。これで万全というわけではなく、「最低限ここだけは」というチェックです。

iPhoneで作ったパスキーは、iCloud キーチェーンを使っていれば、同じApple AccountのiPhone・iPad・Macで共有されます。だからこそ、この金庫（Apple Account）の守りが大切です。

古いアドレスだったら

同じ画面の「サインインとセキュリティ」から、主要メールアドレスを変えられます。

Androidの場合：Google アカウントを確かめる

アドレスの確かめ方

1. 「設定」アプリを開き、「Googleサービス」をタップします。

2. 「Googleサービス」の画面のいちばん上（①）に出るメールアドレスを確かめます。

iPhoneと同じく、ふだんから使っていて、メールが届いたらすぐ気づけるアドレスなら「いったんセーフ」です。

パスキーの保存先も見ておきましょう

3. 同じ画面で「すべてのサービス」（②）をタップし、「Google 自動入力」（③）をタップします。

4. 「Google パスワード マネージャー」に、パスワードとパスキーが保存されています。

ここが、印鑑（パスキー）をしまってある金庫です。Google アカウントが乗っ取られると、ここにあるものがまとめて危なくなる、ということです。

古いアドレスだったら

Google アカウントのアドレスが「@gmail.com」なら、別の「@gmail.com」のアドレスに変えられることがあります。前のアドレスは予備として残り、メールは新旧どちらにも届きます。

アドレスを変えない場合も、「再設定用のメールアドレス」をふだん使うアドレスにしておくと、不審な動きがあったときの知らせがそこに届きます。

直すのは面倒でも、放っておかない

アドレスやパスワードを直すのは少し面倒です。でも放っておくのは、不正に使われたクレジットカードをそのまま使い続けるくらい危ない状態です。ぜひ、このタイミングで見直してください。

最後に、今回のポイントをまとめます。

※ この記事の画面と手順は、2026年10月9日時点のものです。OSの版や機種によって、画面の名前や並びが違うことがあります。