認証コードも盗む偽サイト：警察庁が勧めるパスワード代わりの鍵「パスキー」

パスワードは、本人だけが知っているはずの文字の並びだよね。でも一度漏れると、誰でも打ち込めちゃうんだ。

そこで多くのサイトやアプリは、登録した電話へ認証コードも送る。正しく入れられたら、その電話を持っている人だと分かるよ。

パスワードだけよりはね。たとえるなら、パスワードは合鍵で、コードは1回だけ使える入場券かな。合鍵だけでは入れないってこと。

Microsoftの脅威分析チームは、偽サイトを作る道具一式を分解して調べたんだ。そのうちの1つは、被害者が認証コードやカード番号を打ち込むたびに、運営する側へ自動で知らせが届く作りだったよ。

たとえるなら、偽の窓口だね。書類に1つ書くたびに、奥にいる犯人へ書いた中身が回っていくんだ。

それだけじゃないんだ。運営する側が被害者ごとの進み具合を見ながら、次にどの画面を見せるかを手で切り替えられるようになっていたよ。

届いた認証コードを、犯人は本人のふりをしてサイトに入るのに使えるんだ。

ただ、窓口のたとえは、全部の偽サイトの話じゃないよ。調べた道具の1つの話なんだ。

そうなんだ。認証コードの数字には、どのサイトで入力されたかという印が付いていないよ。
だから偽サイト経由で渡った数字でも、本物のサイトに入れられたら区別がつかない。

たとえるなら、行き先が書いていない切符だね。どこの改札に入れても、同じように見えるんだ。

そう。でも偽サイトは、銀行や役所の画面をまねて作られているんだ。人の目で見抜くことは、難しいよ。

警察庁は、10月のサイバー警察局便りで、利用者に「パスキーその他多要素認証を活用する」よう呼びかけたよ。

多要素認証は、玄関に鍵と暗証番号の両方が要るような、2種類以上の手がかりで確かめるやり方だよ。知っていることや持っている物が、その手がかりになるんだ。

SMSのコードを足す方法もその仲間。でも警察庁が、その中で名前を出しているのはパスキーなんだ。パスワードを使わない方式のことだよ。

Microsoftも、ログインの守りの第一歩として、パスワードを使わない方式のパスキーと、多要素認証を挙げたよ。

想像しにくいよね。パスワードの代わりに、スマホなどの中で作る2つ1組の鍵でサイトに入る方式だよ。鍵って呼ばれるけど、働きは印鑑に近いんだ。

警察庁は、本人だけが持つ鍵を印鑑に、サービスに預ける鍵を印影にたとえているんだ。印影は、印鑑を紙に押した跡のことだね。

本人だけが持つ鍵は、スマホなどの安全な場所にしまわれて、サービスへは送られないんだ。

使うたびに、相手のサイトが文字列を送ってくる。顔や指紋で確かめたうえで、スマホが印を押して返すんだ。

ここで大事なのが、サイトの名前なんだ。

ドメインは、microsoft.comみたいな、サイトを示す文字列のことだよ。家でいえば、住所にあたる名前だね。

鍵は作るときに、このドメインと結び付けられるんだ。ウェブの標準を決めているW3Cのルールでは、登録したときと同じドメインの相手にしか使えないよ。

そんな感じだよ。ただ、このたとえには違う点もあるんだ。
実際の印鑑は誰が押しても同じ跡になるよね。警察庁の説明だと、パスキーは顔や指紋で確かめてから押すところが違うよ。

鍵を使う場面では、ブラウザが開いているページのドメインを、鍵をしまっている端末へ伝えるんだ。端末は、そのドメインが鍵を作ったときのものと完全に一致するかを確かめるよ。

たとえるなら、ビルの受付で、鍵に刻まれた会社名と、訪問先の会社名を照らし合わせるようなものだね。合わなければ、扉は開かないんだ。

偽サイトがどれほどそっくりでも、ドメインは本物とは別だよ。本物のドメインだと言い張っても、ブラウザは開いているページと照らして、合わなければ断るよ。

つまりパスキーは、行き先を見分ける役を、人の目からブラウザと端末に移したんだ。警察庁の9月の便りも、導入の利点に「偽サイトでは認証できない」ことを挙げているよ。

ただ、受付は1人だけど、実際はブラウザと端末の二者が一緒に確かめているよ。

そうとは限らないんだ。パスキーが守る範囲は、サイトに入るときの確認までだよ。偽サイトにカード番号を自分で打ち込めば、その番号が相手に届く点は変わらない。

それに、パスキーを登録しても、パスワードが消えるとは限らないんだ。W3Cのルールも、パスワードをなくすよう利用者に勧めるかどうかを、サービスの判断にしているよ。

パスワードでも入れる設定のままなら、偽サイトで打ち込めば、これまでどおり盗まれてしまう。

そう。たとえるなら、玄関の鍵だけ丈夫にしても、裏口が開いていたら入られるよね。この話の裏口は、残したパスワードだよ。

業界団体のFIDOアライアンスは2026年10月15日、世界で使われているパスキーを約70億個と見積もったよ。

ただ、人数じゃなくて鍵の数なんだ。1人がサイトごとに別の鍵を持つからね。
同じ日に出した15社の調査でも、偽サイトの被害を数えている会社はどこも、導入後に成功した攻撃が減ったと答えているよ。