パスキーとは？パスワードとの違い・仕組み・作り方を初心者向け解説

Googleにログインしたとき、「パスキーを作成しますか？」と表示されて、よく分からないまま「スキップ」を押したことはありませんか。

パスキーは、パスワードの代わりに、スマホやパソコンのロック解除でログインする仕組みです。

パスキーは作ったサイトでしか使えないので、偽サイトに入力して盗まれる、ということが起きにくくなります。

この記事でわかること

• パスキーとは何か
• 「パスキーを作成しますか？」をスキップしても大丈夫か
• パスワードと何が違うのか
• 偽サイトに強い理由
• スマホを替えたり、なくしたりしたときのこと
• Googleアカウントでの作り方
• 共有パソコンや共用アカウントで気をつけたいこと

パスキーとは｜スマホやパソコンのロック解除でログインする仕組み

これまでのログインは、IDとパスワードを入力して、サイトに送る方法でした。

パスキーを使うと、ログインのたびにパスワードを入力しなくてよくなります。

代わりに、いつもスマホを開くときと同じように、指をあてるか、顔を向けるか、PIN（端末のロックを解除する暗証番号）を入れます。

指紋認証のないWindowsのパソコンなら、パソコンのPINで解除します。

指紋や顔のデータは端末の中だけに残り、Googleにもサイトにも送られません。

私も、パスキーでのログインを求められた業務用のWebシステムで、実際に使ってみました。

ログインの画面で、Macに登録されたパスキーを選ぶと、Macのログインパスワードの入力を求められました。

これは、Macのロックを解除するためのパスワードで、サイトに送られるものではありません。

Touch ID（指紋）が使えないときは、Macのログインパスワードが、ロック解除の代わりになります。

選んだパスキーには「iCloudキーチェーン」と書かれていました。

Appleのパスワード保存機能です。

このように、パスキーはGoogleだけの機能ではありません。

Apple・Microsoftなども対応している共通の仕組みで、Googleのほか、業務用のWebシステムや証券会社など、対応したサイトなら同じように使えます。

「パスキーを作成しますか？」をスキップしても大丈夫？

スキップしても困ることはなく、これまでどおりパスワードでログインできます。

あとから作りたくなったら、Googleアカウントの設定画面からいつでも作れます。

自分だけが使うスマホやパソコンがあるなら、作っておくと偽サイトへの備えになります。

パスワードとの違い｜サイトにパスワードを送らない

違いは、ログインのたびに何をサイトへ送るかです。

パスワードは、サイトとあなたが同じ文字列を知っていて、あなたが毎回送り、サイトが照らし合わせます。

そのため、サイトからパスワードが漏れたり、あなたが偽サイトに入力したりすると、他人に使われてしまいます。

パスキーを作ると、鍵が2本1組でできます。

• 1本は「秘密の鍵」で、あなたのスマホやパソコンに入る
• もう1本は「確かめる用の鍵」で、サイトに預ける

ログインのたびに、サイトは端末に、毎回ちがう「確認用の文字の並び」を送ります。

画面には表示されず、あなたが何かに答えるわけではありません。

あなたが端末のロックを解除すると、端末が秘密の鍵を使って、その文字の並びから自動で「答え」を作り、サイトに返します。

サイトは確かめる用の鍵で、その答えが本物の秘密の鍵で作られたものかを確かめます。

文字の並びは毎回ちがうので、一度使った答えを盗まれても、次のログインには使えません。

秘密の鍵そのものは、サイトに送られません。

確かめる用の鍵からは秘密の鍵も答えも作れないので、確かめる用の鍵がサイトから漏れても、それを使ってログインすることはできません。

偽サイトに強い理由｜作ったサイトでしか使えない

パスワードは、本物そっくりの偽サイトに入力すると盗まれます。

パスキーは、作ったときのサイトの住所（ドメイン）を覚えていて、同じ住所のサイトでしか使えません。

偽サイトは見た目を似せても、住所までは同じにできません。

偽サイトでは、スマホやパソコンが答えを作らないので、偽サイトに渡るものがありません。

金融庁は2025年10月、証券会社に、パスキーのような偽サイトに強いログイン方法を、原則2026年6月末までに必須にするよう求めました。

2026年4月には、銀行・信用金庫・証券会社と警察庁といっしょに、偽サイトに誘導されてもパスキーなら守れる、と呼びかけています。

ただし、Googleを含め、パスキーを作ったあともパスワードでログインできるサービスがあります。

偽サイトでパスワードや、SMSで届く確認コードを入力すれば、それは盗まれます。

多くのサービスでは、パスキーを作っても、それまでのパスワードは消えません。

そのため、情報漏洩の連絡が来たサービスでは、先にパスワードを変えて、そのあとパスキーを作り、次からはパスキーでログインします。

同じパスワードを使い回しているほかのサービスも、あわせて変えます。

漏れたパスワードは、変えるまで使えるままだからです。

パスキーでログインするようにすれば、そのあとに届く偽メールから偽サイトに飛んでも、パスワードを打つ場面がありません。

パスキーはどこに保存される？｜スマホを替えたり、なくしたりしたとき

パスキーは、iPhoneならiCloudキーチェーン、AndroidやChromeならGoogleパスワードマネージャーといった、パスワードをまとめて保存する機能の中に入ります。

iPhoneとMacのように同じApple IDの端末どうし、AndroidとパソコンのChromeのように同じGoogleアカウントの端末どうしなら、自動でコピーされるので、スマホを買い替えても作り直さずに使えます。

保管もコピーも暗号化されていて、AppleやGoogleにも中身は読めない仕組みです。

iCloudキーチェーンに保存したiPhoneと、Windowsのパソコンのように、保存先が違う端末どうしではコピーされないので、その端末でも作るか、パソコンの画面に出るQRコードをスマホで読み取ってログインします。

パスキーを作ったら、スマホをなくしたときに使える別のログイン方法も確かめておきます。

Googleでは、ログイン画面の「別の方法を試す」から、パスワードなどほかの方法を選べます。

そのパスワードは、ほかのサイトと使い回さないものにしておきます。

スマホをなくしたら、別の端末からGoogleアカウントにログインし、設定画面のパスキーの一覧から、なくしたスマホで使っていたものを削除します。

削除すると、そのパスキーではログインできなくなります。

Googleアカウントでパスキーを作る手順

1. 自分だけが使うスマホかパソコンで操作する
2. Googleアカウントのパスキーの設定画面を開く
3. 「＋ パスキーを作成」を押す
4. スマホやパソコンのロックを解除する

手順1は、自分だけがロックを解除できるスマホやパソコンで行うという意味です。

事務所の共有パソコンでは作りません。

手順2では、本人確認のためにパスワードの入力を求められることがあります。

設定画面を開くと、次の画面が出ます。

手順3では、上にある「パスキーを使用」ではなく、下の「＋ パスキーを作成」を押します。

Androidのスマホを使っていると、画面の下のように「Android によって自動的に作成されました」と書かれたパスキーが、すでに並んでいることがあります。

そのスマホでGoogleにログインしたときに、自動で作られたものです。

会社用のGoogleサービス「Google Workspace」のアカウントでは、管理者の設定によって、パスキーを作ったあともパスワードを聞かれることがあります。

そのときは、会社のGoogleアカウントを管理している人に確かめてください。

手順4は、いつもの指紋・顔・PINです。

Windowsのパソコンでロック解除の設定をしていないと、PINを決める画面が出ることがあります。

証券会社や銀行でパスキーを作るときは、メールやSMSのリンクから開かず、公式アプリか自分で登録したブックマークから開きます。

リンク先が偽サイトだと、作る前に入れたパスワードが盗まれます。

共有パソコンや共用アカウントで気をつけたいこと

1. 共有のパソコンやスマホでは作らない
2. 何人かで使うアカウントは、人ごとに分ける
3. 分けられないうちは、誰のどの端末に作ったかを決めて残しておく
4. パスワードでのログインが残っているなら、使い回しをやめる
5. 社員が辞めるときは、アカウントの一覧からその人のパスキーを削除し、パスワードも変える

共有のパソコンでパスキーを作ると、ログアウトしても、そのパソコンのロックを解除できる人なら誰でも、作った人のアカウントに入れてしまいます。

社長と事務担当で1つのGoogleアカウントを使っていると、それぞれが自分の端末でパスキーを作り、辞めた人の分がどれか分からなくなります。

辞めた人のスマホやiCloudに残ったパスキーは、会社からは消せません。

それでも、Googleアカウントの設定画面のパスキー一覧から削除すれば、そのパスキーではログインできなくなります。

2026年10月には、パスキーを設定していた広告代理店のGoogleアカウントが不正アクセスを受け、顧客の広告アカウントからカジノ広告が無断で配信された例が報じられました。

報道の時点では、どこから入られたかは特定できていないとされています。

パスキーが防げるのは、偽サイトでの盗み取りと、サイトから漏れたパスキーの情報の悪用です。

端末そのものを乗っ取られたときや、パスワードなどほかのログイン方法が残っているときまでは、パスキーだけでは防げません。

まとめ：パスワードとパスキーの違いを1枚で

パスキーは、パスワードを送る代わりに、手元の端末が作った答えをサイトが確かめる仕組みです。

共有の端末では作らないことと、スマホをなくしたときに使う別のログイン方法は、会社のルールとして決めておきます。

あなたの会社の共有パソコンで、誰かがパスキーを作っていませんか。

今年の大企業の情報漏洩の例と、中小企業が確かめておきたいことは、こちらの記事にまとめています。

今何が起こっているのか？情報漏洩の事例2026｜大企業で何が起きたか、中小企業が見直すこと

パソコンや社内の機器を守る話も、メルマガで届けています。

メルマガに登録して特典を受け取る

参考にした情報

• Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」
• Google for Developers「Android と Chrome でのパスキーのサポート」
• Apple サポート「パスキーのセキュリティについて」
• FIDO Alliance「World Passkey Day 2026」の発表（2026年5月7日・英語）
• 金融庁「業界団体との意見交換会において金融庁が提起した主な論点」（2025年11月18日・日本証券業協会）
• 金融庁「フィッシング耐性のある多要素認証等に係る官民一体・業界横断的な広報について」（2026年4月16日）
• ITmedia NEWS「Google広告の代理店アカウントに不正アクセス　顧客アカウントからカジノ広告無断配信　パスキー設定も侵入許す」（2026年10月7日）