【パスキー解説】IDとパスワードが流出したら不正アクセスされる？仕組みと保存先を徹底解説

「パスキー（Passkey）を設定したけれど、もしIDやパスワードが流出したらアカウントを乗っ取られてしまうのでは？」

そんな疑問や不安を感じたことはありませんか？

結論から言うと、パスキーが正しく機能しているサイトであれば、従来のIDやパスワードが流出しても不正アクセスされる心配は基本的にありません。

今回は、なぜパスキーなら安全なのかという理由と、iPhoneやMac、Windowsといったデバイスごとの「パスキーの保存先」、そして知っておくべき注意点をわかりやすく解説します。

なぜID・パスワードが漏れても大丈夫なのか？

従来のログイン方式とパスキーでは、セキュリティの仕組みが根本的に異なります。

① サーバーに「パスワード」が存在しない

従来のログインは、サービス側のサーバーに登録されたパスワードと、自分が入力したパスワードを照合する仕組みでした。そのため、サービス側から情報が漏洩すると一発でアカウントが危険に晒されていました。

一方、パスキーは「公開鍵暗号」という技術を使っています。

• サーバー側：「鍵穴（公開鍵）」だけを保存
• 自分の端末（スマホやPC）：「本物の鍵（秘密鍵）」を安全に保存

認証時は、端末側で顔認証（Face ID）や指紋認証（Touch ID）、PINコードを使って「本物の鍵」を呼び出します。

サーバーには最初からパスワードが存在しないため、サービス側からデータが流出しても攻撃者はログインできません。

② 偽サイト（フィッシング）に騙されない

本物そっくりの偽ログイン画面に騙されてIDやパスワードを入力してしまう「フィッシング詐欺」も、パスキーには通用しません。

パスキーはアクセスしているWebサイトのURLを自動で厳密に判定します。

偽サイトでパスキーを使おうとしても、端末側の鍵が作動しない仕組みになっているため、認証情報が盗まれるリスクを防ぐことができます。

パスキーはどこに保存されているの？（デバイス別の保存先）

「パスキーを作ったけれど、一体どこに保存されているの？」と疑問に思う方も多いはずです。

実は、お使いの端末やブラウザによって保存先が異なります。

iPhoneやMacでChromeを使っている場合でも、iOS/macOSの仕様上、基本的にはAppleの「iCloudキーチェーン」に保護されます。

Windowsの場合は「Windows Hello（生体認証・PIN）」やGoogleアカウントに紐づいて保存されます。

パスキーを使っていても注意すべき「2つの例外」

非常に安全なパスキーですが、万全を期すために以下の2点には注意が必要です。

① 「パスワードログイン」が残っている場合

サイトによっては、パスキーを登録しても「従来のパスワードでのログイン」が残されていることがあります。

この場合、流出したパスワードを使って裏口から侵入されるリスクが残ってしまいます。

• 対策： パスキー登録後、サイト側で「パスワードログインの無効化」ができる場合は設定しておきましょう。

「パスワードをオフにする設定は、Google・Microsoft・Yahoo!などの「アカウント設定（セキュリティ画面）」から行えます。 対応しているサービス（Google・Microsoft・Yahoo!など）なら「パスワードの無効化」をオンにしておくのが一番安全です！」

② メールアドレスやSMSまで乗っ取られた場合

スマホの紛失などに備えて、多くのサイトには「メールやSMSで認証コードを受け取ってアカウントを復旧する機能」があります。

もし攻撃者にログインID・パスワードだけでなく、連携しているメールアカウントまで乗っ取られている場合、アカウント復旧機能を使われて新しいパスキーを勝手に作成される可能性があります。

• 対策： 連携しているメインのメールアカウント（GoogleやYahoo!など）自体も、パスキーや2段階認証で厳重に保護しておきましょう。

まとめ

【パスキー解説】IDとパスワードが流出したら不正アクセスされる？仕組みと保存先を徹底解説について紹介させて頂きました。

パスキーは、従来のパスワードが抱えていた「漏洩リスク」や「フィッシングリスク」を根本から解決してくれる非常に強力なセキュリティ機能です。

• ID・パスワードが漏れてもパスキーがあれば安全
• 端末（iCloudやWindows Helloなど）に安全に保管されている
• 念のため、メールアカウントのセキュリティも強化しておく

Google、Amazon、Apple、Yahoo! JAPANなど、身近なサービスでも導入が進んでいます。まだ設定していない方は、ぜひこの機会にパスキー認証へ切り替えてみてください！