パスワード認証はもう限界？その理由と、企業が今検討したい対策をわかりやすく解説

「パスワード認証はもう限界だ」とよく言われますが、それは本当なのでしょうか。そして限界だとすれば、なぜ限界なのか、代わりに何をすればよいのでしょうか。

この記事では、最新の被害統計をもとにパスワード認証が限界とされる理由を整理したうえで、現実的な対策である「パスキー認証」、そして事情があってパスワード認証を使い続ける場合にとるべき対策までをわかりやすく解説します。

会員サイトやWebフォームで利用者のIDとパスワードを預かるすべての企業の担当者に向けた内容です。

パスワード認証が限界と言われる4つの理由

パスワード認証が限界だと指摘される背景には、大きく4つの構造的な問題があります。

いずれも「パスワードを複雑にすれば防げる」という次元を超えた、認証方式そのものに根ざした課題です。まずはそれぞれを具体的な数字とともに見ていきましょう。

①フィッシング詐欺が「見抜けない」レベルまで高度化している

フィッシング詐欺とは、本物そっくりの偽サイトや偽メールを使って、利用者にIDとパスワードを入力させる攻撃手法です。フィッシング対策協議会への報告件数は2020年から2025年にかけて6年連続で増加し、直近5年で約10倍に膨らみました。2025年3月には月間で約24万9,936件に達し、月次の過去最高を記録しています。
出典：フィッシング対策協議会 月次報告書（2025年3月／2025年11月）

とりわけ深刻なのが、生成AIによる文面の巧妙化です。かつては不自然な日本語で見分けがついた偽メールが、いまや本物と区別できないほど自然な文章になっています。どれほど複雑なパスワードを設定しても、利用者が本物と信じて入力してしまえば、その情報は攻撃者の手に渡ります。パスワードの強度では防げないという点が、この問題の本質です。

②パスワードの使い回しを突くリスト型攻撃

利用者が複数のサービスで同じパスワードを使い回す行為は、依然として広く見られます。あるサービスから漏えいしたIDとパスワードの組み合わせを使って別のサービスへの不正ログインを試みる「リスト型攻撃（credential stuffing）」は、すでに国内でも大規模な被害が複数報告されています。

実際に、国内の大手ポータルサイトや旅行予約サイト、ECサイトなどでも、不正ログイン被害が繰り返し発生しています。これらの事例の多くは、対象サービスそのものの脆弱性ではなく、他サービスから流出した認証情報の悪用によるものでした。

自社のシステムに直接の脆弱性がなくても、他社から漏れた認証情報を使われることで被害に遭うおそれがあります。自社だけの努力ではリスクを完全にコントロールできない点も、パスワード認証の限界を示しています。

③闇市場で大量に売買される認証情報

漏えいしたパスワードは、ダークウェブ上で大量に売買されています。数百万件単位の認証情報が低価格で取引される実態があり、攻撃者はこれを使ってスクリプトによる自動ログイン試行を繰り返します。企業側がアカウントロックなどの対策を講じていても、試行を時間的に分散させる「低速（low and slow）攻撃」には対応しにくい面があります。

④SMS・メールのワンタイムパスワードも万全ではない

パスワードに加えてSMSやメールで送信される確認コードを入力させる多要素認証は、セキュリティ強化策として広く普及しました。しかし現在、この方式にも明確な限界が指摘されています。

フィッシングサイトで入力されたIDとパスワードを攻撃者がリアルタイムに正規サイトへ転送し、利用者に届いたワンタイムパスワードまで偽サイトに入力させて盗み取る「リアルタイムフィッシング」が増加しているためです。

米国国立標準技術研究所（NIST）の最新ガイドライン（SP 800-63B rev.4、2025年8月）でも、利用者が手動入力するタイプのワンタイムパスワードはフィッシング耐性があるとはみなされていません。実際、警察庁によれば2025年上半期のインターネットバンキング不正送金被害額は約42億円に達し、その手口の約9割をフィッシングが占めています。
出典：NIST SP 800-63B rev.4／警察庁「令和間をめぐる脅威の情勢等について」

情報漏えいが起きたとき、企業が問われる責任

パスワード認証の限界は、技術的なリスクにとどまりません。万一情報漏えいが起きれば、企業は法的・社会的な責任を問われます。「パスワードを設定させていたから大丈夫」という説明は、もはや通用しない時代になっています。

個人情報保護法の改正（2022年4月施行）によって、一定の個人データ漏えいが発生した場合、企業は個人情報保護委員会への報告と本人への通知が義務付けられました。

とりわけ「送金や決済機能のあるWebサービスのIDとパスワードの組み合わせ」が漏えいした場合や、本人の数が1,000人を超える場合などは報告対象です。報告は発覚からおおむね3〜5日以内に速報、30日以内（不正目的の場合は60日以内）に確報を行う必要があります。
出典：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」／個人情報保護法施行規則7条

委員会の命令に違反した場合は、1年以下の拘禁刑または100万円以下の罰金の対象となり得ます（個人情報保護法178条）。加えて、社会的信用の失墜や損害賠償リスクも生じます。漏えいが起きた以上「安全管理措置義務違反があった」と認定されやすく、どの認証方式を選んでいたかそのものが問われる時代になっています。特に金融機関、医療機関、会員制サービスなど個人の機微情報を扱う事業者では、認証セキュリティの水準が組織の信頼性評価に直結します。

今後の有力な選択肢となるパスキー認証

では、パスワード認証の限界に対して、企業は何を選べばよいのでしょうか。いま最も現実的な選択肢として注目されているのが「パスキー認証」です。ここでは、パスキーとは何かを説明したうえで、なぜ現実的な対策と言えるのかを3つの観点から見ていきます。

パスキーは、パスワードを使わない次世代の認証方式です。スマートフォンの生体認証（指紋・顔認証）やデバイスのPINを使って本人確認を行い、国際標準規格「FIDO2/WebAuthn」に準拠しています。技術的には公開鍵暗号方式を採用しており、ログインに使う秘密鍵はデバイス内に安全に保管され、サービス側のサーバーには公開鍵のみが保存されます。つまり、サーバー側に「破られる可能性のあるパスワード」が存在しません。

この仕組みによって、パスワード認証が抱えていた問題が根本から解消されます。具体的に、パスキーには次のような強みがあります。

フィッシングに対して原理的に強い

パスキーの秘密鍵は、登録したドメイン（URLの一致）と紐付いています。そのため偽サイトにアクセスしても、ドメインが一致しなければ認証が成立しません。利用者がだまされて偽サイトを開いても、パスキーそのものを盗み取ることができない設計です。IDとパスワードを「入力させる」ことを前提とするフィッシング攻撃に対して、原理的に有効な対抗策になります。前章で触れたリアルタイムフィッシングにも強い点が、SMS認証との決定的な違いです。

ここで、パスワード認証・多要素認証（SMS等のワンタイムパスワード併用）・パスキー認証の3方式を比較して整理しておきましょう。

こうして並べると、パスキーがフィッシング・リスト型攻撃・サーバー漏えいのいずれに対しても構造的に強く、かつ利用者の手間も少ないことがわかります。

利用者の利便性も向上する

一般にセキュリティを強化すると操作は複雑になりがちですが、パスキーは逆にログイン体験をシンプルにします。パスワードの記憶も入力も不要で、スマートフォンをかざして生体認証するだけでログインが完了します。結果として、パスワード忘れによる問い合わせやリセット対応といった運用コストの削減にもつながります。セキュリティと利便性を両立できる点は、企業にとって大きなメリットです。

国も「パスキーの普及促進」を後押ししている

パスキーは民間の流行にとどまりません。政府が2025年4月に決定した「国民を詐欺から守るための総合対策2.0」（犯罪対策閣僚会議）では、IDとパスワードの窃取対策の一環として「パスキーの普及促進」が明記されました。金融機関やEC事業者へのパスキー導入促進が、国の施策として位置づけられています。こうした後押しもあり、今後さまざまなサービスでパスキー対応が標準になっていくと考えられます。
出典：犯罪対策閣僚会議「国民を詐欺から守るための総合対策2.0」（2025年4月22日）

SPIRAL® ver.1 なら既存サイトに段階的に導入できる

「パスキーは技術的に難しそう」と感じる方もいるかもしれませんが、SPIRAL® ver.1を使えば、複雑な独自開発なしにパスキー認証を既存の会員サイトやWebフォームに組み込めます。ローコード設計で開発工数を抑えられ、既存のID/パスワード認証と併用しながら段階的に移行することも可能です。最短2週間での導入実績があり、金融機関・協会団体・会員制Webサービスなど幅広い業種で採用されています。

それでもパスワード認証を使い続ける場合にすべき対策

とはいえ、システムの都合や利用者層の事情から、当面はパスワード認証を使い続けざるを得ない企業も少なくありません。その場合でも、被害リスクを下げるためにとれる対策があります。ここでは実務的に有効な4つの対策を紹介します。

• フィッシング耐性のある多要素認証を併用する：
  SMSのワンタイムパスワードだけに頼らず、認証アプリやセキュリティキーなど、より耐性の高い要素を組み合わせる。

• 定期的なパスワード変更を強制しない：
  NISTは、定期変更の強制がかえって単純なパスワードや使い回しを招くとして推奨していない。漏えいの兆候があった場合にのみ変更を求める運用が望ましい。

• パスワードマネージャーの利用を促す：
  正規サイトのドメインでしか自動入力されないため、フィッシングサイトでの誤入力を防ぐ効果がある。フィッシング対策協議会も有効な対策として案内している。

• リスクベース認証やログイン監視を導入する：
  普段と異なる端末・地域からのログインを検知し、追加認証を求めることで不正ログインの成立を防ぐ。
  
  出典：NIST SP 800-63B rev.4／フィッシング対策協議会 月次報告書

まとめ

パスワード認証は「ただちに使えない」わけではありませんが、月間約25万件に迫るフィッシング報告、約42億円（2025年上半期）の不正送金被害、リアルタイムフィッシングによるワンタイムパスワードの突破といった事実が示すとおり、単体では安全性を保ちにくい方式になっています。加えて、個人情報保護法による企業責任の明確化と、国によるパスキー普及促進の後押しも進んでいます。

事情によりパスワード認証を続ける場合は、多要素認証やパスワードマネージャーなどの対策で当面のリスクを緩和しつつ、中長期的には、パスキーへの段階的な移行を選択肢の一つとして検討することが望まれます。

SPIRAL® ver.1 なら、既存サイトへローコードで、最短2週間から段階的にパスキーを導入できます。

パスワード認証に関するよくある質問

パスワード認証とパスキーについて、企業の担当者からよく寄せられる質問をまとめます。

Q：パスワード認証は本当にもう使えないのですか？

A：ただちに使えなくなるわけではありません。ただし、フィッシングやリスト型攻撃に対して構造的に弱く、パスワード単体では安全性を担保しにくいのが実情です。使い続ける場合も、多要素認証やパスワードマネージャーなどの補強策を併用し、中長期的にはパスキーへの移行を検討する企業が増えています。

Q：SMS認証だけでフィッシング対策になりますか？

A：SMS認証は何もしないよりは有効ですが、万全ではありません。フィッシングサイトで入力させたコードをリアルタイムに悪用する「リアルタイムフィッシング」で突破される事例が増えており、NISTの最新ガイドラインでも手動入力型のワンタイムパスワードはフィッシング耐性があるとはみなされていません。より耐性の高い認証方式との併用が望まれます。

Q：パスキーに完全移行しないといけませんか？既存のパスワードと併用できますか？

A：完全移行は必須ではありません。SPIRAL® ver.1 のパスキー認証機能なら、既存のID/パスワード認証と併用しながら段階的に移行できます。「新規登録者から」「スマートフォン利用者から」といった部分的な導入も可能で、利用者への影響を抑えながら移行を進められます。

Q：定期的なパスワード変更は必要ですか？

A：現在は、定期的な変更を一律に強制することは推奨されていません。NISTは、強制的な定期変更がかえって単純なパスワードや使い回しを誘発すると指摘しています。漏えいの兆候が確認された場合に変更を求める運用が、より安全とされています。

Q：パスキーは高齢者でも利用できますか？

A：はい、利用できます。パスキーは、指紋認証や顔認証などを使うため、複雑なパスワードを覚える必要がありません。スマートフォンのロック解除と同じような操作で利用できるため、分かりやすい認証方式として導入が進んでいます。

SPIRAL®のパスキー認証対応会員サイトの詳細はこちら