パスワードレス（パスキー）移行の現在地
以前の記事で、フィッシング対策や認証の話題で注目されている「AiTM（Adversary-in-the-Middle）攻撃」の仕組みと、その防御策となるFIDO2やパスキーの概要についてまとめました。
今回は視点を少し広げて、「実際のところ、パスワードレス（パスキー）の導入は世の中でどこまで普及しているのか？」というテーマで、2026年現在の最新トレンドや大手サービスの採用事例について調べた結果をご紹介します。
かつては「先進的な技術」という印象が強かったパスワードレスですが、ここ数年で単なる一機能から、認証における標準的な選択肢へと位置づけが変わりつつあります。その背景には、AiTM攻撃などの高度なフィッシング手法が増加し、従来のパスワードとSMSや認証アプリによる一般的なMFA（多要素認証）の組み合わせでは防御が難しくなってきたことがあります。認証時にアクセス先のドメインを自動検証する「フィッシング耐性」を持つパスキーが、現実的な解決策として急速に評価を高めたためです。
現在では、主要なOS（iOS、Android、Windows、macOS）やWebブラウザでのサポートが非常に成熟しています。GoogleやMicrosoft、Appleをはじめとする主要サービスでは、ログイン時やアカウント作成時にパスキーの作成を促す動きが標準化されており、意識せずにパスキーを利用しているユーザーも増えてきました。
大手B2Cサービスや金融機関などでは、パスキーを導入したことで「ログイン成功率の向上」や「ログイン完了までの時間の短縮」といった明確な効果が報告されています。パスワードの入力ミスや忘れによる離脱を防げるため、セキュリティの向上だけでなくユーザー体験（UX）の改善にも大きく貢献しているようです。
また、企業の社内ITや情シス（情報システム部門）の領域においても、OktaやMicrosoft Entra IDなどのID連携サービス（IdP）でパスキー対応が進んだことで、社内システムへの導入を検討・推進する企業が増加しています。特に、問い合わせ件数の多くを占める「パスワード忘れによるリセット対応」の手間やコストが削減される点は、管理者側にとっても大きなメリットとして注目されています。
一方で、完全にパスワードを廃止して「パスワードレス」へ移行するには、まだいくつかの現実的な課題も残されています。
たとえば、個人端末のクラウド機能（iCloudキーチェーンなど）で認証情報を同期できる「同期型パスキー」はユーザーにとって非常に便利ですが、企業側からすると「管理外の個人端末へ認証情報が渡ってしまう」というセキュリティ上の懸念が生じます。そのため企業によっては、鍵を端末内（TPM等）から外に出さないYubiKeyなどの物理的なセキュリティキー（デバイス固定型）の利用を推奨・指定するケースも見られます。
また、「スマートフォンを紛失した際の復元フロー（リカバリー設計）」や、「WebAuthn規格に対応していない古い社内システム（レガシーアプリ）が残っている問題」など、運用面での工夫が必要なポイントも少なくありません。
そのため、現在のトレンドとしては「ある日突然すべてのパスワードを全廃する」というよりは、「まずはパスキーを優先的なログイン手段として提供し、段階的に移行を進める（ハイブリッド運用）」というアプローチが現実解として選ばれているようです。
クラウドサービスの利用が日常化し、認証情報を狙った攻撃が巧妙化する中で、自社サービスや社内システムのセキュリティ向上を考える際、「フィッシング耐性のある認証（FIDO2/パスキー）」を選択肢に入れておくことが、今後のセキュリティ対策においてますます重要になっていくかもしれません。