警察庁「パスワードだけの認証は限界」パスキー導入を呼びかけ、二段階認証は38.3%どまり

警察庁が「パスワードだけの認証はもう限界」と表明し、パスキー導入の検討を呼びかけた。背景には、フィッシングや情報窃取型マルウェアによる認証情報の大量流出が常態化し、パスワード単体では防御しきれない現実がある。同時期に発表された別の調査では、「設定可能なサービスすべてに二段階認証を設定している」利用者はわずか38.3%にとどまることも明らかになった。呼びかけと実態のギャップが浮き彫りになった格好だ。

なぜ「パスワードの限界」なのか #

攻撃者にとってパスワードは、フィッシングサイトへの入力、インフォスティーラーによるブラウザ保存情報の窃取、他サービスからの漏洩情報を使い回すクレデンシャルスタッフィングなど、複数の経路で狙える「共通鍵」だ。二段階認証(SMS・アプリ通知)を足しても、リアルタイムでコードを中継するフィッシングキットの前では突破されるケースが増えている。パスキーはこの構造そのものを変える。秘密鍵は端末内のセキュアな領域から外に出ず、サーバー側が保持するのは公開鍵のみなので、漏洩したデータベースから使い回せる「共有の秘密」自体が存在しなくなる。

「呼びかけ」だけでは変わらない現実 #

パスキーはApple・Google・Microsoftが主要プラットフォームで対応済みだが、普及の壁は技術ではなく運用にある。機種変更時の引き継ぎ、複数デバイス間の同期、法人アカウントでの一括管理など、既存のID基盤を持つ組織ほど移行コストが重くのしかかる。警察庁のような公的機関が旗を振ること自体は歓迎すべきだが、実際に導入判断をするのは各サービス事業者だ。攻撃者はすでにパスキー非対応の窓口(パスワードリセットや旧式ログイン経路)を迂回路として狙い始めており、「一部だけパスキー化」は新たな穴を生みかねない。中途半端な移行より、全経路を段階的に塞ぐ設計が問われている。