「〇〇から顧客情報が流出しました」というニュースを見るたびに、自分のパスワードも漏れたのではと気になりますが、利用者の側からそれを確かめる手段はほとんどありません。そんななか、Yahoo! JAPANは2026年4月に、パスワードだけでのログインを2027年春ごろまでに終えて、パスキーに一本化する予定を発表しました。
パスキーはサービス側に公開鍵しか預けない仕組みなので、サイトから情報が漏れてもそれだけではログインに使えず、各サービスのログイン設定でパスキーを作って、スマホの指紋や顔でロックを解除すれば登録できます。
機種変更のときは、AndroidからAndroid、iPhoneからiPhoneのように同じOSどうしなら、GoogleパスワードマネージャーやiCloudキーチェーンが新しいスマホへ引き継ぎます。iPhoneとAndroidのあいだで乗り換えるときは、新しいスマホでログインし直して作り直すのが確実です。
流出そのものは個人では防げませんが、漏れても使えない鍵に替えておくのは、個人でできる対策のなかで手間のわりに効き目が大きいほうだと思います。Googleアカウントなら、パスキーでログインすると2段階認証の確認コードを待つ手間までなくなります！
パスキーとは？パスワードと何が違うのか
パスワードは、自分とサービスの両方が同じ文字列を知っていることで本人だと確かめる仕組みです。サービス側にもその情報が保存されているので、そこが漏れると、漏れた情報からログインされるおそれがあります。
パスキーは、鍵を2本に分けます。スマホやパソコンの中で「秘密鍵」と「公開鍵」の組を作り、秘密鍵は自分の端末に残したまま、サービスには公開鍵だけを渡します。ログインのときは、端末が秘密鍵を使って「本人の端末です」という証明を作り、サービスは手元の公開鍵でそれを確かめます。
端末に秘密鍵を使わせる合図が、画面ロックの解除。指紋や顔、PINでロックを外すと、ログインが通ります。Googleのヘルプによると、指紋や顔の生体データは端末に保存されていて、Googleと共有されることはありません。
二段階認証との関係も整理しておきます。Googleアカウントで2段階認証プロセスを有効にしている場合、パスキーでログインすると2つ目の確認は省かれます。パスキーそのものが「その端末を持っている本人」であることを確かめているからで、パスワードと確認コードの2回分を、ロック解除の1回にまとめた形です。
参考：パスワードの代わりにパスキーでログインする（Google アカウント ヘルプ）
サイトから情報が漏れても、パスキーが悪用されにくい理由
理由は2つあります。
1つ目は、漏れるものが公開鍵しかないこと。サービスのサーバーに保存されているのは公開鍵だけで、Googleの開発者向けの説明でも、攻撃者はサーバーに保存されたデータから秘密鍵を導き出せないとされています。公開鍵は、錠前の形だけを預けているようなもので、それを盗まれても鍵は作れません。
2つ目は、偽のサイトでは使えないこと。パスキーは作ったときのサイトやアプリに結びついていて、そのサイトにしか差し出されません。本物そっくりのログイン画面に誘導されても、ドメインが違えばパスキーは反応しないので、フィッシング詐欺でだまし取られる心配がありません。
パスワードと違って、パスキーは人に教えたり、コピーしたり、紙に書き留めたりできない作りになっています。電話やメールで「確認のためにパスワードを教えてください」と言われても、教えるものが手元にない、というわけです。
参考：パスキー（Google for Developers）
パスキーを作る前に確かめる2つのこと
1つ目は画面ロック。パスキーはロックの解除で本人を確かめるので、スマホにPIN・パターン・指紋・顔のどれかを設定していないと作れません。Googleアカウントのパスキーは、Android 9以降とiOS 16以降のスマホで使えます。
2つ目は、パスキーがどこに保存されるか。ここが機種変更のときの引き継ぎに関わります。
- Android＝Googleパスワードマネージャーに保存され、同じGoogleアカウントでログインしているAndroidやChromeと同期される
- iPhone＝iCloudキーチェーンに暗号化して保存され、同じApple Accountでサインインしているほかのデバイスでも使える
iPhoneでパスキーを使うには、iCloudキーチェーンと2ファクタ認証の両方がオンになっている必要があります。iCloudキーチェーンは次の順で確かめられます。
- ［設定］を開き、一番上の自分の名前をタップする
- ［iCloud］をタップする
- 「iCloudに保存済み」の［すべてを表示］をタップする
- ［パスワードとキーチェーン］をタップし、［このiPhoneと同期］をオンにする
家族と1台のタブレットを共有しているような場合は、その端末でパスキーを作らないでください。ロックを解除できる人なら誰でも、そのアカウントにログインできてしまいます。
参考：iPhoneでiCloudキーチェーンを使ってパスワードを安全に保管する（Apple サポート）
Googleアカウントにパスキーを作る手順
Googleアカウントのパスキーは、スマホのブラウザからでもパソコンからでも作れます。パスキーは作った端末に入るので、普段ログインに使うスマホで操作します。
- ブラウザで myaccount.google.com/signinoptions/passkeys を開き、Googleアカウントにログインする
- ［パスキーを作成する］をタップする
- 確認の画面で［パスキーを作成］をタップする
- スマホの画面ロックを、指紋・顔・PINのどれかで解除する
1の画面は、Googleアカウントの［セキュリティとログイン］→［Google にログインする方法］→［パスキーとセキュリティ キー］からも開けます。作ったパスキーの一覧と削除もここ。Androidのスマホは、Googleアカウントでログインしたときにパスキーが自動で作られていることがあるので、まずこの一覧を見ておくと二重に作らずに済みます。
作ってすぐに使えないことがあり、Googleは「7日間ほど」待つ場合があると案内しています。
パスキーを作っても、パスワードは消えません。Googleアカウントは、作ったあとはパスキーを優先してログインする設定（［可能な場合はパスワードをスキップする］）に切り替わりますが、パスワードでのログインも引き続きできます。
パソコンでログインするときに、パソコンにパスキーがなければ、スマホのパスキーを使う流れになります。このときはパソコンのBluetoothをオンにしておく必要があります。私はWindowsのパソコンでこれをやろうとして、QRコードをスマホで読み取ったところから先へ進めず、しばらく画面を眺めていました…。原因は、パソコンのBluetoothを切っていたことでした。
参考：パスワードの代わりにパスキーでログインする（Google アカウント ヘルプ）
iPhoneでパスキーを作る・確かめる
iPhoneには「ここで全部のパスキーを作る」という画面はありません。パスキーに対応したサービスごとに、そのサービスの中で作ります。
- いつものパスワードで、そのサービスのアプリかサイトにサインインする
- アカウントの設定画面へ進み、パスキーを作る項目を選ぶ
- パスキーを保存するか聞かれたら［続ける］をタップする
- Face ID・Touch ID（設定していなければパスコード）で確認する
パスキーを保存する選択肢が出てこなければ、そのサービスはまだパスキーに対応していません。
作ったパスキーは、iOS 18以降なら［パスワード］アプリの［パスキー］に並びます。使わなくなったものを消すときは次の順です。
- ［パスワード］アプリを開き、［パスキー］をタップする
- 消したいアカウントをタップし、［編集］をタップする
- ［削除］→［パスキーを削除］をタップする
iPhoneでもChromeを使っている人は、iOS 17以降ならChromeを自動入力の提供元にすることで、GoogleパスワードマネージャーにiPhoneのパスキーを保存することもできます。Androidやパソコンと同じ保存先にまとめたいとき向けの選択肢です。
参考：iPhoneでパスキーを使ってAppとWebサイトにサインインする（Apple サポート）
主なサービスでパスキーを作る場所
サービスによって、メニューの名前も、作る前の本人確認のしかたも違います。日本でよく使われるサービスのうち、公式のヘルプで手順が案内されているものを並べます。
- Yahoo! JAPAN ID＝IDガイドの「パスキーでのログイン」から［今すぐ設定する］→［パスキーの追加］。Yahoo! JAPANのアプリからは「パスキーの設定」へ進める。登録は最大10件
- dアカウント（ドコモ）＝手続きページの「パスキー端末設定」から本人認証をしてパスキーを登録。ドコモ回線がある人は4桁のネットワーク暗証番号で本人認証する。iPhoneではiCloudプライベートリレーをオフにしてから操作する
- 楽天ID＝ログインしたあと「パスキーを設定する」を選び、メールで届く認証コードを入れて［認証して設定に進む］
- メルカリ＝［マイページ］→［設定］→［アカウント設定（個人情報設定）］→［パスキー設定］→［パスキーを登録する］。電話番号に届く認証番号を入れてから、生体認証で登録
- Amazon＝［アカウントサービス］→［ログインとセキュリティ］→「パスキー」の横の［設定］。パスキーはApple AccountやGoogleアカウントなどの保存先に入る
- Microsoftアカウント＝作る端末で account.live.com/proofs/manage にサインインし、［新しいサインイン方法の追加］から顔・指紋・PIN・セキュリティキーを選ぶ
Yahoo! JAPANは、パスキーを設定したあとでパスワードでのログインを止める設定もできます。パスワードが残っている限り、漏れたパスワードで入られる道も残るので、使えるなら止めておいたほうが安心でしょう。
参考：Yahoo! JAPAN IDのログイン方法をパスキーに一本化（LINEヤフー）
機種変更のとき、同じOSどうしならパスキーは引き継がれる
同期するパスキーは、端末ではなくアカウントの側に入っています。だからAndroidからAndroid、iPhoneからiPhoneへの機種変更なら、新しいスマホに同じアカウントでログインすれば、パスキーも一緒に移ります。
- Android＝古いスマホでGoogleパスワードマネージャーへの同期ができていること。新しいスマホで同じGoogleアカウントにログインし、古いAndroidの画面ロック（またはGoogleパスワードマネージャーのPIN）を入れると使えるようになる
- iPhone＝古いiPhoneでiCloudキーチェーンがオンになっていること。新しいiPhoneは、古いiPhoneでの承認かパスコードの入力で、同じiCloudキーチェーンに加わる
気をつけたいのは、古いスマホのPINを聞かれる点です。新しいスマホの準備ができてから古いスマホを初期化するまでのあいだに、古いほうのPINを忘れてしまうと引き継ぎで止まります。機種変更は次の順で進めると確実です。
- 古いスマホで、GoogleパスワードマネージャーかiCloudキーチェーンの同期がオンになっているか確かめる
- 新しいスマホに、同じGoogleアカウント（iPhoneなら同じApple Account）でログインする
- 新しいスマホで、パスキーを使っているサービスに1つログインしてみる
- ログインできたのを確かめてから、古いスマホを初期化する
サービスによっては、同期しない種類のパスキーも作れます。Yahoo! JAPAN IDは同期するものとしないものを合わせて登録できて、機種変更や初期化の前には、使えるパスキーが残っているかを確かめるよう案内しています。
参考：パスキーとは？設定方法や機種変更時の注意点（楽天モバイル）
iPhoneとAndroidを乗り換えるときは作り直す
iPhoneのパスキーはiCloudキーチェーン、AndroidのパスキーはGoogleパスワードマネージャーと、保存先が違います。AppleとGoogleのヘルプには、iPhoneとAndroidのあいだでパスキーをそのまま移す手順が無いので、乗り換えたら新しいスマホで作り直します。
- 新しいスマホで、パスワードやメールの確認コードなど、パスキー以外の方法でそのサービスにログインする
- そのサービスの設定から、新しいスマホのパスキーを作る
- サービスのパスキー一覧で、古いスマホのパスキーを削除する
ここで1の「パスキー以外の方法」が要ります。パスキーに切り替えたあとも、パスワードを忘れていいわけではありません。乗り換えの前に、パスキーを使っているサービスの一覧と、それぞれのパスワードかログインの代わりの方法を控えておきます。
パスワード管理アプリどうしでパスキーを受け渡す仕組みは、2026年に入って広がってきました。GoogleパスワードマネージャーはGoogle Play開発者サービスの2026年6月の更新で、ほかのパスワード管理アプリとのパスキーの読み込み・書き出しに対応しています。Appleも、iOS 26からApple製品の中のパスワード管理アプリどうしで受け渡せるようにしました。ただ、iPhoneからAndroidへそのまま持っていく手順まではどちらも案内していないので、乗り換えのときは作り直しを前提にしておくのが無難です。
参考：パスワードの読み込み（Google Chrome ヘルプ）
パスキーにしても残る注意点
スマホをなくしたときは、別の端末からそのアカウントにログインして、なくした端末のパスキーを削除します。Googleアカウントなら［パスキーとセキュリティ キー］の一覧から消せます。iPhoneで手元のApple製品をすべてなくした場合は、あらかじめ登録しておいた復旧用連絡先か、iCloudキーチェーンの復旧の手続きで戻すことになります。
パスワードは、パスキーを作ったあとも残ったまま。流出で使われるのは、パスキーではなくこの残ったパスワードのほうなので、同じパスワードをほかのサービスで使い回していると、1か所から漏れた組み合わせで別のサービスにも入られてしまいます。パスキーを作ったサービスでも、パスワードはほかと違うものにしておいてください。定期的に変える必要はなく、変えるのは漏れたと分かったときで足ります。
ほかにも、パスキーがうまく使えない場面がいくつかあります。
- ブラウザのシークレットモードでは、パスキーを作れない・使えないことがある
- 勤務先や学校から配られたGoogleアカウントは、パスキーだけでログインできないことがある
- パスキーを削除したのにログインのたびに使うよう聞かれるときは、別のパスワード管理アプリにも残っていないか見る
まとめ
パスキーは、端末に秘密鍵を残してサービスには公開鍵だけを渡す仕組みです。サービス側から情報が漏れても公開鍵から秘密鍵は作れず、作ったときのサイトにしか反応しないので、偽のログイン画面でだまし取られることもありません。
作り方はどのサービスも、ログインの設定からパスキーを選んで、スマホの画面ロックを解除する流れです。Googleアカウントは myaccount.google.com/signinoptions/passkeys から、iPhoneはサービスごとに作って、［パスワード］アプリで確かめる形。Yahoo! JAPAN ID、dアカウント、楽天ID、メルカリ、Amazon、Microsoftアカウントも、それぞれの設定画面から作れます。
機種変更では、同じOSどうしならGoogleパスワードマネージャーかiCloudキーチェーンが引き継ぎ、新しいスマホで古いスマホのPINやパスコードを聞かれます。iPhoneとAndroidのあいだで乗り換えるなら、パスワードなどでログインし直して作り直し、古いパスキーは一覧から消しておきます。
パスキーを作っても、パスワードはアカウントに残ります。漏れて使われるのはこちらなので、使い回しだけはやめておいたほうがいいでしょう。
どこから手をつけるか迷ったら、普段のメールに使っているGoogleアカウントかApple Accountを先にします。ほかのサービスのパスワードの再設定メールはそのメールに届くので、ここを乗っ取られると、ほかのアカウントまで芋づる式に再設定されかねないからです。
