企業では、SSO（シングルサインオン）やMFA（多要素認証）の導入が進み、複数のクラウドサービスを安全かつ効率的に利用するための認証環境が整備されてきました。
その中で、近年注目されているのが「パスキー（Passkey）」です。
パスキーを利用すると、従来のようにパスワードを入力するのではなく、端末の生体認証やPINなどを利用して本人確認できます。
「パスワードを覚えなくてよい」という利便性だけでなく、フィッシングによる認証情報の窃取に強いことも大きな特徴です。
実際にMicrosoft Entra IDでも、2026年9月からパスキーをデフォルトの認証体験とする展開が始まっています。
では、パスキーは従来のパスワードやMFAと何が違うのでしょうか。
本記事では、パスキーの仕組みやメリット、SSOとの関係、企業が導入する際の注意点について解説します。
パスキーとは？
パスキーとは、パスワードを入力せずにWebサービスやシステムへログインするための認証方式です。
スマートフォンやPCなどに登録された認証情報を利用し、
- 指紋認証
- 顔認証
- 端末のPIN
などによって本人確認を行います。
利用者自身が複雑なパスワードを覚えたり、サービスごとに入力したりする必要がありません。
FIDO Allianceによる2026年の調査では、世界で約50億のパスキーが利用され、企業でもパスキーを導入・試験導入・展開中とする組織が増えています。
パスワード認証にはどんな課題がある？
従来のパスワード認証では、利用するサービスが増えるほど社員が管理するパスワードも増えていきます。
その結果、
「同じパスワードを複数サービスで使う」
「覚えやすい簡単なパスワードを設定する」
「パスワードを忘れて再設定する」
といった問題が起こりやすくなります。
さらに大きな問題がフィッシングです。
本物そっくりの偽ログイン画面へ利用者を誘導し、IDとパスワードを入力させれば、攻撃者に認証情報を取得される可能性があります。
そのため現在では、単に「複雑なパスワードを設定する」という対策だけではなく、そもそも盗まれるパスワードへの依存を減らすという考え方が重要になっています。
パスキーがフィッシングに強い理由
パスキーでは、公開鍵暗号方式を利用して認証を行います。
認証に必要な秘密情報そのものをWebサイトへ送信する仕組みではないため、偽サイトへパスワードを入力させて盗む従来型のフィッシング攻撃に強いことが特徴です。
また、パスキーは登録された正規のサービスと紐づいて認証するため、見た目がそっくりな偽ログインサイトを作っただけでは同じように認証できません。
このような特徴から、パスキーは「フィッシング耐性のある認証方法」として注目されています。
SSOとパスキーは何が違う？
SSOとパスキーは競合する仕組みではありません。
役割が異なります。
SSO
→ 一度の認証で複数のサービスを利用できるようにする仕組み
パスキー
→ その認証を安全かつ簡単に行うための方法
つまり、
パスキーで本人確認
↓
SSOで複数の業務サービスへアクセス
という組み合わせが可能です。
例えば、社員がPCの生体認証などを使って企業の認証基盤へログインし、その後Microsoft 365や勤怠管理、経費精算、CRMなどへSSOでアクセスするといった環境です。
パスワード入力を減らしながら、複数サービスへのアクセスもまとめることができます。
👉 内部リンク推奨
「シングルサインオン（SSO）は本当に必要？導入するメリット・デメリットをわかりやすく解説」
「SSO＋パスキー」で期待できるメリット
パスワード管理の負担を減らせる
パスワードを利用するサービスが多いほど、社員の管理負担も大きくなります。
パスキーとSSOを組み合わせることで、社員が日常的に入力・管理するパスワードを減らすことができます。
フィッシング対策を強化できる
SSOを導入していても、SSOへのログイン自体がID・パスワードだけであれば、その認証情報が狙われる可能性があります。
その入口をパスキーなどのフィッシング耐性のある認証にすることで、認証基盤そのものを強化できます。
パスワードリセット対応を減らせる
「パスワードを忘れた」という問い合わせは、利用者だけでなくIT管理者にとっても負担です。
パスワードへの依存を減らすことで、パスワードリセットやロック解除などの対応を減らせる可能性があります。
MFAとパスキーはどう違う？
ここで混同しやすいのがMFAです。
MFAとは、異なる要素を組み合わせて本人確認する考え方です。
一方、パスキーは認証を実現する具体的な方法の一つです。
重要なのは、「MFAを使っている＝すべてのフィッシングに強い」とは限らないことです。
SMSで送られてくる確認コードなどは、攻撃者が偽サイトを通じて利用者から取得する可能性があります。
そのため、現在は単にMFAを導入するだけでなく、「どの認証方式を利用するか」まで考えることが重要になっています。
👉 「MFA（多要素認証）だけで安全？企業が知っておきたい限界と対策」
Microsoft Entra IDでもパスキーへの移行が進む
企業の認証環境でも、パスキーへの移行が本格化しています。
Microsoftは2026年9月1日から、Microsoft Entra IDにおいてパスキーをデフォルトの認証体験とする展開を開始しました。
SMSまたは音声認証が有効になっている対象ユーザーには、MFA利用時などにパスキー登録が促されるようになります。
さらにMicrosoftは、Microsoft提供のSMS・音声による認証について、2027年2月1日の提供終了予定も案内しています。
Microsoft Entra IDを利用している企業では、現在どの認証方式を利用している社員がいるのかを確認し、今後の認証方法を検討しておくことが重要です。
パスキーを装ったフィッシングにも注意
パスキー自体がフィッシングに強いからといって、「パスキー」という言葉が使われている案内を無条件に信用してよいわけではありません。
2026年9月、Microsoftは、パスキーやMFA、SSOの設定変更を装ったソーシャルエンジニアリングによるクラウド環境への侵害事例を報告しています。
攻撃者がIT担当者などを装って電話やメッセージを送り、
「パスキーを更新してください」
「SSOの設定変更が必要です」
などと利用者を誘導する手口です。
実際の狙いはパスキーそのものではなく、偽サイトや別の認証フローを利用して認証情報やセッションを乗っ取ることがあります。
つまり、パスキーを導入すれば社員教育が不要になるわけではありません。
認証方式を強化すると同時に、「IT担当者を名乗る相手から突然認証設定の変更を求められた場合は、社内の正式な窓口で確認する」といったルールも整備する必要があります。
「パスワードレス＝何もしなくても安全」ではない
パスキーは認証セキュリティを強化する有効な手段ですが、それだけですべての不正アクセスを防げるわけではありません。
現在の攻撃では、パスワードそのものではなく、
- セッショントークン
- OAuthなどの認可
- 不正に追加された認証方法
- 過剰なアクセス権限
- SaaS連携
などが狙われるケースもあります。
Google CloudのM-Trends 2026でも、従来型MFAを回避する対話型ソーシャルエンジニアリングへの対応として、最小権限、SaaS連携の監査、中央IdPを利用した認証、継続的なID検証などの重要性が指摘されています。
そのため企業では、
SSO＋パスキー＋アクセス制御＋ID管理
といった形で、認証だけに頼らない対策を考えることが重要です。
パスキー導入前に確認したいポイント
企業でパスキーを導入する場合は、単に機能を有効にするだけでなく、運用方法まで確認しておきましょう。
例えば、次のような項目です。
- 現在利用している認証方式を把握する
- パスキーを利用できる端末・環境を確認する
- 社員への登録方法を案内する
- スマートフォンやPCを紛失した場合の対応を決める
- 機種変更時の運用を決める
- パスキーを利用できない場合の代替手段を準備する
- 管理者アカウントの認証を強化する
- 不審な認証変更依頼への確認ルールを決める
特に重要なのは、通常時だけでなく「端末を紛失したとき」「認証できなくなったとき」の運用まで決めることです。
パスキーはSSOの次に考えたい認証強化策
これまで企業の認証対策では、
パスワード
↓
MFA
↓
SSO
という形で利便性やセキュリティを改善してきた企業も多いでしょう。
今後はさらに、
SSO＋フィッシング耐性のある認証
という考え方が重要になります。
FIDO Allianceの2026年調査では、企業でパスキーの導入・試験・展開が進む一方、本格的な全社展開にはまだ差があることも示されています。
「すぐにすべてのパスワードをなくす」と考える必要はありません。
まずは現在利用している認証方法を棚卸しし、重要なシステムや対象ユーザーから段階的にフィッシング耐性のある認証へ移行する方法もあります。
まとめ｜SSO＋パスキーで「パスワードに依存しない認証」へ
パスキーは、パスワードを入力せず、端末の生体認証やPINなどを利用して本人確認できる認証方法です。
フィッシングに強く、利用者のパスワード管理負担も軽減できることから、企業の認証環境でも導入が進んでいます。
特にSSOと組み合わせることで、
安全な本人確認
＋
複数サービスへのスムーズなアクセス
を実現しやすくなります。
一方で、パスキーを装ったソーシャルエンジニアリングやセッションの乗っ取りなど、認証を狙う攻撃も変化しています。
パスキーだけに頼るのではなく、SSO、ID管理、MFA、アクセス制御、ログ監視などを組み合わせ、認証環境全体を継続的に強化していくことが重要です。
パスワードに依存しない認証環境を検討しませんか？
クラウドサービスの利用が増えるほど、社員が管理するIDやパスワードも増え、認証環境は複雑になっていきます。
Smart Gateでは、SSOをはじめ、多要素認証（MFA）やアクセス制御などを組み合わせ、企業の利用環境に合わせた認証管理をご支援します。
「パスワード管理を減らしたい」「SSOとMFAを見直したい」「フィッシングに強い認証環境を検討したい」といった場合は、現在の認証方法を整理するところから始めてみましょう。
今後のパスワードレス化も見据え、自社に適した認証環境を検討したい場合は、ぜひお気軽にお問い合わせください。
執筆者：メディアマート株式会社 マーケティングチーム
クラウドPBX、セキュアブラウザ等のユニファイドコミュニケーションやネットワークセキュリティに関わる事業を15年運営。業界の最新常識やトレンド情報を発信しています。
