フィッシング詐欺はセキュリティキーで防げる？仕組みと使い方
結論
セキュリティキーは、偽サイトで正規サービス用の認証を成立させにくくする対策です。対応するサービスへ事前に登録し、そのログインでキーを使う設定が必要です。送金を促す電話や、すでに乗っ取られた端末まで守るものではありません。
いつものサービスにそっくりな画面が届いたとき、見た目だけで本物を見分けるのは難しいものです。物理キーを使うと何が変わるのか、SecuXを例に確認します。 SecuX（MS-FIDO2CU）の商品仕様を見る
1. フィッシングでログイン情報を盗まれる流れ
「支払い方法を更新してください」などのメールやSMSから偽サイトへ誘導し、入力されたIDやパスワードを盗むのが典型的な手口です。入力した情報をその場で正規サービスに使い、続けて届いたSMS認証コードまで偽画面へ入力させることがあります。
- 利用者が偽メール・偽SMSのリンクを開く。
- 正規サービスをまねた画面で、IDやパスワードを入力する。
- 求められるままに認証コードも入力すると、第三者に使われるおそれがある。
フィッシング対策協議会には2026年9月に94,661件の報告が寄せられ、前月より12,323件増えました。これは協議会が受け付けた報告の件数で、被害に遭った人数や金額ではありません。メール内のリンクではなく、登録済みのブックマークなどから公式サイトを開く習慣も大切です。
2. 正規サイトと偽サイトで認証結果が違う理由
WebAuthnでは、認証に使う鍵が登録先のサービスに結び付いています。ブラウザとサービス側も、認証の要求元や応答が正しいかを確認します。偽サイトが画面や文言をまねても、別のサイトでは正規サービス用の鍵で同じ認証を成立させられません。キーがページの見た目や安全性全体を判定しているわけではありません。
正規サービスのログイン画面
登録先の条件に合う認証要求
↓
案内に沿ってキーを操作
↓
認証が成立する
別のサイトに作られた偽画面
登録先の条件に合わない認証要求
↓
正規サービス用の鍵を使えない
↓
その認証は成立しない
パスワードが漏れても、そのログインにキーが必須ならパスワードだけでは認証できません。ただし、別のログイン方法や復旧方法が残っていると、そこが狙われる場合があります。キーを登録した事実だけで判断せず、実際にどの経路でログインできるかを確認してください。
3. SMS認証・認証アプリ・物理キーを比べる
| 方式 | 偽サイトに対する違い | 端末の紛失・手間・費用 |
|---|---|---|
| SMSの確認コード | コードを偽画面に入力すると、第三者が利用するおそれがある | 受信用の電話番号を管理。紛失時は代替手段を確認。専用キーは不要 |
| 認証アプリのコード | アプリの表示でも、入力式コードは盗まれるおそれがある | アプリの設定・移行が必要。専用キーは不要。アプリの費用は提供元による |
| FIDO方式の物理キー | 登録先に結び付いた認証。偽サイトで正規サイト用の認証が成立しにくい | キーの購入費がかかる。登録・携帯が必要。紛失前に代替手段を用意 |
表の「認証アプリ」は数字を入力するタイプの例です。アプリによる認証には他の方式もあり、一律に同じ性質ではありません。費用や追加の本人確認はサービスによって異なります。
4. 購入前に使いたいサービスと端末を確認する
公式サイトのセキュリティ設定で「セキュリティキー」などの登録項目を探します。サービス名だけでなく、個人用か会社用か、使うブラウザと端末、管理者が許可している認証方法まで確認します。GoogleやMicrosoftが対応機能を案内していても、すべてのアカウント・認証方式でSecuXが使えるとは限りません。
- パソコン：Windows・Macの対応するWebブラウザ。USB-C接続、または付属のUSB-A変換アダプタを使います。
- iPhone：iPhone 15以降のUSB-C搭載モデルと最新ソフトウェアが条件です。
- Android：USB-CとOTG（USB機器を接続する機能）に対応するモデルが条件です。
- 各サービスの専用アプリ単体でのログインには対応しません。
5. SecuXを登録してログインするまで
- 公式サイトを開き、現在利用できる方法でログインする。
- セキュリティ設定でキーの追加を選ぶ。既存の復旧手段は先に消さない。
- 画面の指示に従いSecuXを挿す。求められたらブラウザ・OSの認証画面でキーのPINを設定または入力し、本体をタップする。
- 登録したキーを識別できる名前にする。対応する範囲で、正規サイトから再ログインを試す。
PINはSecuX本体のロック解除用で、サービスのサーバーに送るためのパスワードではありません。一般のWebフォームやメール・チャットからPINを求められても入力・送信しないでください。認証の順序はサービスによって異なります。
SecuXはFIDO認証品として案内され、電池・充電は不要です。チップの個体差を使うPUF技術を搭載していますが、これは物理的な複製を困難にする技術であり、アカウントへの不正アクセスすべてを防ぐ意味ではありません。
6. キーだけでは防げない被害も確認する
- キーを登録していないサービスや、キーを求めない別のログイン経路。
- 端末がマルウェアに感染し、ログイン後に操作やセッションを奪われるケース。
- 電話やメッセージで送金や個人情報の提供を求められるケース。
端末を更新し、不審な通知や取引履歴も確認します。すでに情報を入力したり不審な取引があったりする場合は、製品の購入を待たず、正規の窓口からサービス事業者へ連絡してください。金融機関で使える対策は、その機関が案内する認証と手続きに従います。
7. よくある質問
キーを買えばパスワードは不要になりますか？
サービスがキーを追加認証に使うのか、パスワードの代わりに使うのかで異なります。SecuXのパスキーとしての動作条件は未確認のため、本記事ではパスワードなしで使えるとは案内していません。
1本を複数サービスで使えますか？
利用できるサービスごとに登録して使う方式です。すべてのサービスや、登録件数の上限まで保証するものではありません。
スマホの専用アプリでも使えますか？
SecuXは対応端末でのブラウザログイン用です。専用アプリ単体のログインには非対応です。
なくした時に備えるには？
対応サービスで予備のキーや別の復旧方法を事前に登録してください。紛失後は、入れる方法でログインして、なくしたキーだけを各サービスから削除します。
8. 関連記事
- パスキーの仕組みとWindows Helloの指紋認証：パスキーの基本を詳しく知りたい方へ。本記事のSecuXと同じ用途・互換性を示すものではありません。
