2026年10月27日、Xで「認証アプリはYubico Authenticatorも検討を」という投稿があり、「1Passwordがやられたら終わり？」という声も出ています。当記事では、Yubico公式の情報をもとに、しくみ・ほかのアプリとの違い・注意点をAI初心者向けにわかりやすく解説します。
Yubico Authenticatorとは？コードの元を「物理キー」に入れるアプリ
YubiKeyとYubico Authenticatorの関係
YubiKey（ユビキー）は、Yubico（ユビコ）社が作っている、USBやNFC（かざして通信するしくみ）でつなぐ小さな認証用の機器です。Yubico Authenticatorは、このYubiKeyを使って、2段階認証の6桁などの確認コードを表示するアプリです。
ふつうの認証アプリは、コードを作る元になる情報（シークレット）をスマホの中やクラウドに保存します。Yubico Authenticatorでは、シークレットがスマホではなくYubiKeyの中に保存されるのが大きな違いです。公式の製品ページは、認証情報はキーの中の安全な領域から取り出せず、スマホを機種変更したり乗っ取られたりしても失われないとしています（編集部訳）。
>>Yubico Authenticator（Yubico 公式・英語）
対応する端末とYubiKeyの種類
アプリはWindows・macOS・Linux・iPhone/iPad・Androidで使えます（2026年10月28日時点）。iPhoneでは、NFC対応のキーをかざすか、Lightning（YubiKey 5Ci）やUSB-Cのキーを挿してつなぎます。ただしiPhone/iPadのUSB-C接続は、公式ガイドで「一部のみ対応」とされています。
注意したいのは、確認コードを作る機能（OATH）が使えるのはYubiKey 5シリーズなどで、FIDO2（パスキーなどのしくみ）専用の「Security Key」シリーズでは使えない点です。
1本のキーに登録できるアカウント数は、ファームウェア（キーの中のソフト）5.7以降で最大64件、それより前は32件です（公式ストアで売られている5シリーズは5.8）。アプリは、App StoreとGoogle Playで無料です。
>>Yubico Authenticator の対応プラットフォーム（Yubico 公式ドキュメント・英語）
>>OATH の仕様（YubiKey テクニカルマニュアル・英語）
Google認証システムなどと何が違う？4つの方法を比較
2段階認証のコードを作る方法を4つ比べると、守れるリスクが違います。
| 項目 | Google認証システム | Microsoft Authenticator | 1Passwordなど | Yubico |
|---|---|---|---|---|
| コードの元の保存先 | 同期オン：Googleアカウント／オフ：スマホだけ | スマホ（バックアップ先：iPhoneはiCloud、AndroidはMicrosoft個人用アカウント） | パスワード管理の保管庫（暗号化） | YubiKeyの中だけ |
| スマホをなくしたら | 同期オンなら戻せる | バックアップがあれば戻せる（職場・学校アカウントは再登録） | ほかの端末で使える | キーが無事なら影響なし |
| クラウドのアカウントが乗っ取られたら | 同期オンだと見られるおそれ | バックアップ先のアカウントの守りしだい | 後述 | キーには届かない |
| 手軽さ | 高い | 高い | 高い（自動入力） | キーが毎回必要 |
| 費用 | 無料 | 無料 | 有料プラン | アプリ無料・キーは有料 |
※2026年10月28日時点・各社の公式ヘルプより編集部が整理。Microsoft AuthenticatorのAndroid版は、2027年1月以降はGoogle Oneバックアップで有効にする方式に変わると案内されています。
▶ 関連記事：Google Authenticatorの同期は危険？Google認証システムのオン・オフのリスクと設定
YubiKeyでも「偽サイトにコードを入力」は防げない
Yubico Authenticatorが作るのも、ふつうの確認コード（TOTP）です。Yubicoの公式解説でも、認証アプリのコードは偽サイトを中継してリアルタイムに使われるフィッシングには弱いとされ、セキュリティキーが作るワンタイムコードも同じく弱いままだと書かれています（編集部訳）。
一方、同じYubiKeyでもFIDO2（パスキー・セキュリティキー）で登録したサイトでは、キーがサイトのドメインを確かめ、偽サイトには応答しません。対応サイトでは、そちらを優先しましょう。
「1Passwordがやられたら終わり？」への答え
Xでは、「パスワードも確認コードも1Passwordに入れると、1Passwordがやられたら終わりでは？」という声がありました。1Passwordの公式ヘルプによると、データはアカウントパスワードと「Secret Key」（自分の端末で作られる34文字の鍵）を組み合わせて暗号化されます。1Password社はSecret Keyを持っておらず、サーバーを攻撃されても、Secret Keyがなければ中身は解読できないとしています。
つまり、新しい端末から入るには、アカウントパスワードとSecret Key、設定していれば2段階認証まで必要です。ただし、ふだん使う端末にはSecret Keyが保存されているので、その端末ごと乗っ取られると守りは弱くなります。
1Passwordは2023年6月の公式ブログで、コードを1Passwordに入れても安全だとしたうえで、別のアプリに分けて役立つのは「ごく限られた、起こりにくい場面」だと説明しています。また、パスワードと同じ端末にコードがあると本当の2要素ではなく、YubiKeyのような別の機器が本当の2つ目の要素になる、とも書いています（いずれも編集部訳）。
気になる人は、パスワードは1Password、確認コードはYubiKeyと分けるのも1つの方法です。1Passwordのアカウント自体の2段階認証にも、YubiKeyなどのセキュリティキーを使えます。
>>パスワードとワンタイムコードを一緒に保存するのは間違い？（1Password 公式ブログ・2023年・英語）
>>Secret Key について（1Password 公式サポート・英語）
>>セキュリティキーを 1Password アカウントの2段階認証に使う（1Password 公式サポート・英語）
Yubico Authenticatorの注意点4つ
1. キーは2本用意し、両方に登録する
シークレットはキーから取り出せないため、キーをなくすと、そのキーに入れたアカウントのコードは作れなくなります。Yubicoの公式ガイドは、各アカウントに少なくとも1本の予備のキーを登録することをすすめています。
キーの中身をあとから別のキーに写すことはできません。最初の登録のときにQRコード（または設定用の文字列）を控えておき、同じものを予備のキーにも登録して、両方でコードが出るか試しておきましょう。
>>Accounts: OATH（Yubico Authenticator ユーザーガイド・英語）
2. ログインのたびにキーが必要
コードを出すたびにキーを挿すか、かざします。キーを持っていないとログインできません。キーに設定するパスワード（Yubicoは設定を強く推奨）を忘れると、リセットするしかなく、確認コード用に登録したアカウントがすべて消えます。
3. キーは有料
2026年10月28日時点のYubico公式ストア（米国向けの表示）では、確認コードに使えるYubiKey 5シリーズは1本58〜85ドルです。2本必要なので、その倍かかります。日本での価格は販売店によります。
4. クラウドからの復旧はない
クラウドから戻すしくみはなく、2本ともなくすとキーからは戻せません。各サービスのバックアップコードも紙で保管しておきましょう。
Yubico Authenticatorが向いている人と始め方
向いている人・向いていない人
- 向いている人：証券口座・暗号資産の取引所・仕事のアカウントなど、乗っ取られたときの被害が大きいアカウントを強く守りたい人
- 向いていない人：キーを持ち歩くのが面倒な人、2本のキーを管理する自信がない人（認証アプリ＋アカウントの守りを固めるほうが現実的）
▶ 関連記事：SBI証券がパスキー悪用の疑いで注意喚起！Google・Appleで今すぐやる設定
始め方（おおまかな流れ）
- YubiKey 5シリーズを2本、Yubico公式ストアか正規の販売店で買う（編集部としては、前の持ち主の状態が分からない中古品は避けることをおすすめします）
- パソコンかスマホにYubico Authenticatorを入れ、キーにパスワードを設定する
- 守りたいサービスの2段階認証の設定画面でQRコードを出し、1本目のキーに登録する
- 同じQRコードで2本目のキーにも登録し、両方でコードが出るか確かめる
- サービスがパスキーやセキュリティキーに対応していれば、そちらも登録する
>>YubiKey のよくある質問（Yubico 公式ブログ・英語）
>>Yubico Authenticator（App Store）
>>Yubico Authenticator（Google Play）
【まとめ】Yubico Authenticatorは「2本のキー」が前提の強い守り
Yubico Authenticatorは、確認コードの元をYubiKeyの中だけに置くので、スマホやクラウドのアカウントが乗っ取られても、コードの元までは届きません。ただし偽サイトへの入力は防げず、キーは2本必要です。大事なアカウントから、パスキーとあわせて検討しましょう。
※2026年10月28日時点・Yubico 公式サイト・公式ドキュメント、App Store・Google Play、Google・Microsoft・1Password の公式ヘルプより。価格・対応状況は変わる場合があります。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月28日時点のものです。
