2026年10月27日、Xで、パスキーを足してもパスワードを消せないならむしろマイナスではないか、という投稿が話題になりました。AIを使ったハッキングや乗っ取りのニュースが続き、パスキーが気になる人も多いはずです。当記事では、パスキーのしくみとこの議論への答えを、公式情報をもとにAI初心者向けにわかりやすく解説します。
パスキーとは？本物のサイトにしか合わない「鍵」
パスキーのしくみを一言でいうと
パスキーとは、パスワードの代わりに、スマホやパソコンの指紋認証・顔認証・画面ロックのPINでログインするしくみです。業界団体のFIDO Alliance（パスキーの普及を進める団体）などが定めた共通の規格にもとづいており、GoogleやApple、楽天証券などが対応しています。
たとえるなら、自分の端末の中にしまってある、本物のサイトの扉にしか合わない鍵です。ログインのときは、指紋や顔で端末の中の鍵を取り出して扉を開けるだけ。パスワードのように、秘密の文字を入力したり送ったりはしません。
Appleのサポートページによると、パスキーはサイトのアカウントごとに「公開鍵」と「秘密鍵」の1組で作られます。サイト側に預けるのは秘密ではない公開鍵だけで、秘密鍵の中身をサイト側が知ることはありません。また、Googleのヘルプによると、指紋や顔のデータは端末に保存され、Googleと共有されることはありません。
偽サイトではパスキーが使えない＝フィッシングに強い
フィッシングとは、本物そっくりの偽サイトでIDやパスワードを入力させ、だまし取る手口です。気づかなければパスワードは渡ってしまいます。
パスキーは作成された対象のアプリやウェブサイトのみと関連付けられるため、パスキーを使用して不正なアプリやウェブサイトにログインしてしまうことはありません。
出典：Google Chrome ヘルプ「Chrome でパスキーを管理する」
パスキーの開発者向けサイト（passkeys.dev）でも、正しいサイトかどうかの確認を人に任せるのではなく、ブラウザやOSがパスキーを本来のサービスにしか使わせないしくみだと説明しています（編集部訳）。つまり、見た目がそっくりな偽サイトでも、鍵が合わないのでログインに使えないのです。
| 項目 | パスワード | パスキー |
|---|---|---|
| ログインのしかた | 文字を入力する | 指紋・顔・画面ロックで承認 |
| 偽サイトに入力してしまう | ありうる | 鍵が合わず使えない |
| 使い回し | できてしまう | サイトごとに別の鍵 |
| サイト側に保存されるもの | パスワードの照合用データ | 秘密ではない公開鍵だけ |
※2026年10月28日時点・Google 公式ヘルプ、Apple 公式サポート、passkeys.dev より編集部が整理
>>パスワードの代わりにパスキーでログインする（Google 公式ヘルプ）
>>パスキーのセキュリティについて（Apple 公式サポート）
>>パスキーについて（FIDO Alliance 公式・英語）
「パスワードが残るならパスキーは意味ない？」Xの議論に答える
Xで話題になった投稿と返信の声
Xで話題になった投稿の主張は、パスキーを追加したあとも従来のパスワードでのログインを消せないなら、ログインの経路が増えるだけで、むしろマイナスではないか、というものです。
返信では、パスキーは偽サイトでは使えないので、パスワードを使う回数が減るだけでもプラスだ、という趣旨の声が出ました。一方で、パスワードが残っていればそのリスクは残る、残すなら長いランダムなパスワードに変えておく、という声もありました。
結論：偽サイト対策ではプラス。ただし残ったパスワードが弱点になる
Googleの公式ヘルプには、次のように書かれています。
Google アカウントにパスキーを追加しても、アカウントに現在設定されている認証要素や復元要素は変更または削除されません。
出典：Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」
つまり、パスキーを足しただけでは、パスワードという入り口は残ります。その点で投稿の指摘はもっともです。ただ、パスキーでログインしていれば、偽サイトにパスワードを入力してしまう場面そのものが減ります。
編集部の見方としては、パスキーを足すことは偽サイト対策として大きなプラスだが、残ったパスワードは弱点として残ると考えられます。パスワードを消せないサービスでは、そのパスワードをどう守るかが大切です。また、パスキーを保存しているGoogle・Appleのアカウントや、端末の画面ロックも新しい守りどころになります（後半で解説します）。
パスキーを登録したあとのパスワードの扱いはサービスごとに違う
パスキーを登録したあと、パスワードでのログインが残るかどうかは、サービスによって違います。公式の説明をまとめると次のとおりです（AppleはパスキーをiCloudキーチェーンに保存するときの、Apple Account側の守りの説明です）。
| サービス | パスキーとパスワードの関係 |
|---|---|
| 楽天証券 | パスワードでのログインはできなくなる（うまくログインできないときは、パスキーを一時的に停止するとパスワードで入れる） |
| Googleアカウント | パスキー優先になるが、パスワードでもログインできる |
| Google（高度な保護機能） | パスワードを使う場合はセキュリティキーも必要 |
| Apple Account（iCloudキーチェーン） | 2ファクタ認証が必須。新しい端末で初めてサインインするときはパスワード＋6桁の確認コード |
| AWS（開発者向け） | パスキーは多要素認証の1つ（2つ目の要素）として使う |
※2026年10月28日時点・各社の公式ページより編集部が整理
楽天証券は、2026年6月以降、ログイン時のパスキー認証を順次必須にしています（時期はお客様ごとに個別に案内）。パスキーを作成したあとはパスワードによるログインはできなくなると案内しています（どうしてもログインできないときはパスキーの利用を一時的に停止でき、その場合は速やかな再作成を求めています）。AWS（アマゾンのクラウドサービス）は、パスキーを多要素認証（複数の方法で本人確認するしくみ）の1つとして扱っています。
>>「パスキー認証」を段階的に必須化します（楽天証券 公式）
>>パスキーやセキュリティキーを割り当てる（AWS 公式ドキュメント）
パスキーを登録したらやること3つ
パスキーを登録したあとは、次の順番で確認しておくと安心です。
1. パスワードをオフにできるサービスはオフにする
設定画面に、パスワードでのログインを止める項目があるか確認しましょう。楽天証券のように自動で止まるサービスもあります。
Googleの「可能な場合はパスワードをスキップする」は、パスワードを無効にする設定ではありません。ヘルプによると、オフにするとログイン時にパスワードの入力を求められるようになる、つまりどちらを先に使うかの切り替えです。
さらに固めたい人向けに、Googleには無料の「高度な保護機能プログラム」があります（セキュリティキーを使う場合は、購入が必要になることがあります）。ログインにはパスキーかセキュリティキーが必要で、パスワードを使う場合もセキュリティキー（USBやNFCでつなぐ小型の認証用の機器）が求められます。
>>高度な保護機能プログラムに関するよくある質問（Google 公式ヘルプ）
2. 残るパスワードは長く・使い回さず、2段階認証も
Googleのヘルプでは、パスワードは12文字以上にし、重要なアカウントで使い回さず、覚えきれなければ信頼できるパスワードマネージャー（パスワードを保存・自動入力するアプリ）を検討するよう案内しています。返信では20〜40文字のランダムな文字列にする方法も挙がっていました。自動生成した長いパスワードなら、覚える必要もありません。
あわせて2段階認証（パスワードに加えて別の方法で本人確認するしくみ）もオンにします。GoogleはSMSや音声通話のコードは電話番号を利用するハッキングに弱いおそれがあると注意しているので、選べるならGoogleからのメッセージ（スマホに届く確認の通知）や認証アプリなど、SMS以外の方法にしましょう。
>>2 段階認証プロセスを有効にする（Google 公式ヘルプ）
▶ 関連記事：Google Authenticatorの同期は危険？Google認証システムのオン・オフのリスクと設定
3. パスキーの保存先（Google・Apple）を固める
パスキーは、Googleパスワードマネージャーや、AppleのiCloudキーチェーン（パスワードなどを端末間で同期する機能）に保存されることが多いです。パスキーを預けているGoogle・Appleのアカウントが、すべての鍵の金庫になると考えておきましょう。
2026年10月には、SBI証券が、Google・Appleなどのアカウント情報が不正に取得され、クラウド上のパスキーなどが悪用された疑いのある事案について注意を呼びかけました。具体的な設定の手順は、次の記事で紹介しています。
▶ 関連記事：SBI証券がパスキー悪用の疑いで注意喚起！Google・Appleで今すぐやる設定
パスキーの注意点：同期の安全と端末の紛失
同期したパスキーは、保存先のアカウントの守り次第
Googleパスワードマネージャーに保存したパスキーは、ChromeやAndroidで同じGoogleアカウントにログインしている端末なら、どれでも使えます。Appleは、iCloudキーチェーンを使うApple Accountでは2ファクタ認証が必須と説明しています。
便利な反面、Googleは、パスキーを作成すると、その端末のロックを解除できる人なら誰でもGoogleアカウントにアクセスできるとも注意しています。家族と共有している端末ではパスキーを作らず、画面ロックのPINも人に知られないようにしましょう。
スマホをなくしたら、まずその端末のパスキーを削除
Googleのヘルプでは、パスキーを設定した端末をなくしたり盗まれたりした場合、使える別の端末でGoogleアカウントにログインし、その端末のパスキーを削除するよう案内しています。
同期していない、端末だけに保存したパスキーは、その端末をなくすと使えなくなります。楽天証券は、違うOSへの機種変更などでは、新しい端末でパスキーを追加するよう案内しています（同じOSなら基本的に作り直しは不要）。各サービスの復旧の方法も確認しておきましょう。
▶ 関連記事：Amazonアカウントの乗っ取り対策！ギフトカード・カードの補償範囲と今すぐできる設定
【まとめ】パスキーは「足して終わり」ではなくパスワードの扱いまで
パスキーは、偽サイトでは使えない鍵なので、パスワードより安全にログインできます。パスキーを足すことはマイナスではありませんが、残ったパスワードは弱点になります。オフにできるならオフに、できないなら長く使い回さないパスワードと2段階認証で守っておきましょう。
※2026年10月28日時点・FIDO Alliance、passkeys.dev、Google 公式ヘルプ、Apple 公式サポート、楽天証券・AWS 公式ページより。画面や項目名は、端末やバージョンによって異なる場合があります。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月28日時点のものです。
