金融機関のパスキー導入状況は？必要とされる理由と進め方を規制動向・事例から解説

金融機関でパスキー導入が求められているのは分かるものの、「なぜ今なのか」「規制はどうなっているのか」「具体的にどう進めればよいのか」「他社はどうしているのか」と悩む担当者の方は少なくありません。

実際、2025年には大手証券会社が相次いでパスキー認証を導入し、金融庁も認証方式の見直しを求める動きを強めています。この記事では、最新の被害統計と規制動向、実際の導入事例をもとに、金融機関がパスキー認証を導入する理由と具体的な進め方をわかりやすく解説します。

金融機関が直面する認証セキュリティの現状

なぜ今パスキーなのかを理解するには、まず金融機関を取り巻く被害の深刻さを把握する必要があります。ここでは最新の統計から、認証セキュリティの現状を確認します。

不正送金・口座乗っ取りが過去最悪ペースに

警察庁によれば、2025年上半期のインターネットバンキング不正送金被害額は約42億円に達し、上半期として過去最悪のペースで推移しました。その手口の約9割をフィッシングが占めています。さらに証券口座を狙った不正取引も深刻で、2025年1月から11月の11か月間で売買あわせて約7,191億円もの不正取引が発生しました。
出典：警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」／フィッシング対策協議会 月次報告書（2025年11月）

法人口座も標的です。地方銀行の法人口座では、2025年1月から3月の不正送金被害が約16億円と前年同期（約1,300万円）の120倍に膨らみ、このうち約13億円が「ボイスフィッシング」によるものでした。法人口座は送金限度額が高く設定されているため、犯罪者にとって狙い目とされています。
出典：日経クロステック「不正送金の被害額が120倍」（2025年7月25日）／警察庁

リアルタイムフィッシングでSMS認証も突破される

近年とりわけ問題になっているのが「リアルタイムフィッシング」です。フィッシングサイトで入力されたIDとパスワードを攻撃者がその場で正規サイトに入力し、利用者に届いたワンタイムパスワードまで偽サイトに入力させて盗み取ります。この手法に対しては、従来のSMSやメールによる多要素認証では防ぐことが困難です。NISTの最新ガイドライン（SP 800-63B rev.4）でも、利用者が手動入力するワンタイムパスワードはフィッシング耐性があるとはみなされていません。
出典：NIST SP 800-63B rev.4／デロイト トーマツ「金融機関向け パスキー導入時の論点」

規制動向｜金融庁・日証協がパスキー等の多要素認証を要請

被害の急増を受けて、規制当局の直接の動きもありました。金融機関にとってパスキー対応が「なぜ今必要か」を理解するうえで、この規制動向は重要です。

金融庁と日本証券業協会は2025年7月、「インターネット取引における不正アクセス等防止に向けたガイドライン」の改正案を公表しました。ログイン時・出金時・出金先口座の変更時などに「フィッシングに耐性のある多要素認証」の実装と必須化を求め、その例としてパスキー認証やPKI（公開鍵基盤）による認証を挙げています。
出典：日本証券業協会「インターネット取引における不正アクセス等防止に向けたガイドライン」改正（2025年）

さらに2025年10月には、金融庁の「金融商品取引業者等向けの総合的な監督指針」において、不正アクセス対策としてフィッシング耐性のある多要素認証が求められる形となりました。政府の「国民を詐欺から守るための総合対策2.0」（2025年4月）でも「パスキーの普及促進」が明記されています。金融機関にとってパスキー対応は、認証強化の選択肢として重要性が高まっています。
出典：金融庁「金融商品取引業者等向けの総合的な監督指針」（2025年10月）／犯罪対策閣僚会議「総合対策2.0」

金融機関のパスキー導入事例（2025〜2026年）

規制の後押しもあり、大手金融機関では2025年後半からパスキー導入が一気に進みました。他社の動きは、自社の検討を進めるうえで重要な判断材料になります。

FIDOアライアンスによれば、国内で導入済み・導入予定の企業は2025年12月時点で少なくとも55社に上り、前年から約2倍に増加しました。証券業が目立ち、日本郵政・リクルート・JR東日本など他業種にも広がっています。
出典：日本経済新聞「脱パスワード技術『パスキー』、国内導入が倍増」（2025年12月5日）

• マネックス証券：2025年10月31日より証券総合取引口座のログインにパスキー認証（FIDO2）を導入。
• 野村證券：2025年11月29日よりパスキー認証を原則必須化。
• SBI証券・楽天証券：2025年10月後半よりログイン認証にパスキーを採用。
• SMBC日興証券：2026年1月30日より個人顧客向けにパスキー生体認証を導入。富士通のFIDO2準拠サービスを用い約5か月で構築。
  出典：マネックス証券・SMBC日興証券 各社発表／Business Insider Japan（2025年11月28日）

これらの事例は、パスキー認証の導入が金融業界で広がりつつあることを示しています。導入が遅れると、利用者保護の面でも競争力の面でもリスクになると言えます。

金融機関がパスキーを導入する4つのメリット

規制対応という側面だけでなく、パスキーは金融機関の経営や顧客体験にも具体的なメリットをもたらします。ここでは主な4点を整理します。

①フィッシング詐欺による被害を構造的に防ぐ

パスキーは公開鍵暗号方式を採用しており、秘密鍵はデバイス内に保存され、登録されたドメインとのみ紐付いています。利用者がフィッシングサイトに誘導されても、ドメインが一致しない限り認証は成立しません。不正送金被害の根本原因となるフィッシング詐欺を構造的に防げる点が、金融機関にとって重要なメリットの一つです。

②利用者の操作負担を軽減し、ログイン離脱を減らせる

パスワードの記憶・入力が不要になることで、利用者のログイン体験が大幅にシンプルになります。スマートフォンの指紋認証や顔認証でログインが完了するため、高齢者など利用者によっては、パスワードを記憶する必要がなくなることで利便性向上が期待でき、デジタル金融サービスの利用促進につながります。パスワード忘れによるコールセンターへの問い合わせ件数の削減効果も期待できます。

③情報漏えいリスクと企業責任を軽減できる

パスキーはサーバー側に「破られる可能性のあるパスワード」を保存しません。仮にサーバーのデータが漏えいしても、公開鍵のみのため認証突破には使えません。個人情報保護法では、送金・決済機能のあるWebサービスのIDとパスワードの組み合わせ漏えいは報告対象とされており、認証方式を適切に選ぶことは「安全管理措置」の観点からも重要です。
出典：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」

④既存システムへ段階的に組み込める

パスキー導入に「既存システムの全面刷新」は必須ではありません。SPIRAL® ver.1 のパスキー認証機能であれば、既存のID/パスワード認証と併用しながら段階的に移行できます。新規登録ユーザーから対応させる、スマートフォン利用者を優先するなど、影響を最小限に抑えながらセキュリティ水準を引き上げられます。

金融機関がパスキーを導入する具体的なステップ

最後に、実際にパスキーを導入する際の進め方を5つのステップで解説します。自社での検討をイメージしながら読み進めてください。

①現状の認証方式と課題の棚卸し

現在のインターネットバンキングや会員サイトの認証方式を整理します。パスワードのみか、SMS認証併用か、ハードウェアトークン利用かによって移行方針は異なります。不正ログイン件数やパスワード関連の問い合わせ件数を数値で把握しておくと、導入後の効果測定に役立ちます。

②同期型かデバイス固定型かを含め、対象範囲を決める

全サービス・全ユーザーを一斉に切り替えるのではなく、パイロット対象を決めます。あわせて、複数端末で使える「同期型パスキー」と、端末に鍵を固定する「デバイス固定型」のどちらを採用するかを検討します。金融機関ではセキュリティを重視してデバイス固定型を選ぶ事業者が多い一方、利用者の利便性とのバランスや丁寧な説明が求められます。
出典：デロイト トーマツ「金融機関向け パスキー導入時の論点」（2025年12月）

③導入プラットフォームを選定する

FIDO2/WebAuthnを一から実装するには専門的な開発リソースが必要です。SPIRAL® ver.1 のパスキー認証機能を活用すれば、ローコードで既存の会員サイトやWebフォームにパスキー認証を追加でき、最短2週間での稼働実績があります。既存のID/パスワード認証との併用・段階移行にも対応します。

④利用者への案内・サポートを準備する

パスキーはまだ認知度が高いとは言えず、導入時には案内ページやFAQの整備、コールセンターのトレーニングが重要です。実際、先行導入した証券会社では問い合わせが集中し、待ち時間が長くなった例も報告されています。「生体認証への不安」「機種変更時の再登録」といった質問を想定したサポート体制を事前に整えることで、混乱を防げます。
出典：corbado「パスキー日本 2026」

⑤稼働後の効果測定と継続改善

移行後は、不正ログイン試行件数、パスワード関連の問い合わせ件数、ログイン完了率などを定期的にモニタリングします。これらのデータをもとに、全面移行の時期や追加施策を判断します。

まとめ

金融機関を取り巻く認証セキュリティは、約42億円（2025年上半期）の不正送金、約7,191億円の証券口座不正取引、リアルタイムフィッシングの台頭によって転換点を迎えています。金融庁・日本証券業協会のガイドライン改正と大手証券会社の相次ぐ導入により、パスキー対応は金融業界全体で広がりつつあります。

パスキーは、フィッシング耐性・利用者利便性・サーバー漏えいリスクの低減を同時に実現できるソリューションです。SPIRAL® ver.1 を使えば、複雑な開発工数をかけずにパスキー認証を既存の会員サイトやログイン画面に組み込むことが可能です。
パスキー認証に興味をお持ちの方は、お気軽にお問い合わせください。

SPIRAL®のパスキー認証対応会員サイトの詳細はこちら

金融機関のパスキー導入に関するよくある質問

金融機関のパスキー導入について、よく寄せられる質問をまとめました。

Q：なぜ今、金融機関にパスキー導入が求められているのですか？

A：フィッシングによる不正送金・口座乗っ取りが過去最悪ペースで増え、従来のSMS認証では防げないリアルタイムフィッシングが台頭しているためです。加えて、金融庁・日本証券業協会がフィッシング耐性のある多要素認証（パスキー等）の実装・必須化を求めており、規制対応の面からも導入を検討する金融機関が増えています。

Q：パスキーの導入は義務なのですか？

A：現時点ではガイドラインや監督指針で「フィッシングに耐性のある多要素認証」の実装が求められ、その例としてパスキーが挙げられている段階です。パスキー単一が法的に義務化されているわけではありませんが、対応すべき要件として位置づけられており、大手金融機関では導入が広がっています。

Q：スマートフォンを持たない顧客にはどう対応すればよいですか？

A：PCのWindows Helloや外付けのセキュリティキーで補完できるほか、当面は既存の認証方式との併用を選択するケースもありますが、段階的な移行設計により、幅広い顧客層に配慮した導入が必要です。

Q：既存のインターネットバンキングにどれくらいの改修が必要ですか？

A：先行事例では、FIDO2準拠サービスの活用により約5か月で構築した金融機関もあります。SPIRAL® ver.1 のパスキー認証機能を使えば、ローコードで既存システムに追加できるため、短期間での稼働実績もあります。既存の認証フローと並行して動作させられるため、段階的な移行が可能です。