Microsoftがクラウド認証でパスキーを採用したことで、パスワードレス技術の普及が加速する見通しです。しかし多くの企業は、当面ハイブリッド型の認証方式を継続することになりそうです。
本日、企業向けMicrosoft認証は一つの時代の終わりの始まりを迎えました。
9月1日付けで、パスキーはMicrosoftのクラウドベースID・アクセス管理(IAM)サービスであるEntra IDのデフォルト認証方式になりました。そして2027年2月1日までに、Microsoft提供のSMS認証と音声認証は過去のものとなる予定です。
この動きは、企業をパスワードレス認証へと押し進めることを狙ったものだと見られています。パスワードレス認証はセキュリティ責任者の間で概ね支持されているものの、完全な導入には苦労しているケースが多いのが実情です。
Microsoftが企業向けパスキーに本腰を入れたことは、パスワードレス技術にとって転換点になるかもしれません。しかし、レガシーアプリケーションや特殊な用途は依然としてネックとなっています。
そのため、セキュリティ実務者や独立系の専門家たちは、当面の企業の姿として、パスワードとその固有のリスクが依然として色濃く残るハイブリッド認証の世界を思い描いています。
パスキーがフィッシングに強い理由
パスワードに対するパスキーの中核的な利点は、共有シークレットを完全に排除できる点にあります。推測可能な文字列を入力する代わりに、ユーザーはデバイスの生体認証やPINでローカルにロック解除される暗号鍵ペアを使って認証を行います。
パスキーは従来型のフィッシングに強い耐性を持ちます。組み込みの暗号チェック機構により、偽サイトがブラウザやOSを騙して誤ったドメイン向けにパスキーを使わせることができないためです。
現在では多くのコンシューマー向け・エンタープライズ向けサービスがサインイン手段としてパスキーを提供しており、この技術は英国のNational Cyber Security Centre(NCSC)といった政府系の技術保証機関からも支持を得ています。
現場の実情
企業のCISOの視点から見ると、パスキーはセキュリティの向上とユーザー体験の改善をもたらす一方で、ガバナンスやデバイスのライフサイクル管理に課題を生み、特定のエコシステムへの囲い込みへの懸念も伴います。
グローバルな認証局ベンダーSectigoのシニアフェロー、Jason Soroko氏は次のように述べています。「NCSCのこの後押しは、従来型のパスワードが多要素認証を併用してもなお、AIで強化された最新のフィッシングやクレデンシャルスタッフィング攻撃に対して脆弱なままであるという現実を反映しています」。
エンタープライズID・アクセス管理ベンダーPing IdentityでGTM CTOを務めるAlex Laurie氏は、パスワードは「盗まれたり使い回されたりしやすい」ため、依然として企業セキュリティにおける最も弱い環のひとつだと指摘します。
「パスキーは、認証を正規のアプリケーションやウェブサイトに紐付けることで、フィッシング攻撃の効果を劇的に低下させます。Microsoftがパスキーをデフォルトにするという決断は、業界全体でパスワードレス認証の成熟度が高まっていることの表れです」とLaurie氏は語ります。
とはいえ、SectigoのSoroko氏が指摘するように、パスキーはユーザーとの関係性が事前に分かっていないコンシューマー向けの用途には最適である一方、従業員認証には必ずしも最適とは言えません。
「企業から従業員へのパスキー普及が広範に進むには、依然として大きな障壁が存在します。主な要因は、アカウント復旧をめぐる運用上の複雑さ、企業の認証情報を個人のコンシューマー向けエコシステム(BYOD端末上のApple IDやGoogleアカウントなど)に紐付けることによるコンプライアンス上の頭痛の種、そしてレガシーインフラとの根本的な非互換性です」と同氏は説明します。
「関係性を厳格に管理する必要がある場面では、常によりふさわしいパスワードレス技術が別に存在するものです」とSoroko氏は述べています。
マネージド検知・対応(MDR)ベンダーHuntressでセキュリティオペレーション担当シニアマネージャーを務めるDray Agha氏は、Microsoftがパスキーを Entra IDのデフォルトにしたことを企業導入における「転換点」だと表現する一方、いくつかの潜在的な弱点も指摘しています。
「CISOにとっての落とし穴は、コントロールを失うことです。AppleやGoogle、Microsoftに鍵の同期・復旧を委ねることでセキュリティ上の負担は軽減されますが、その分、企業のセキュリティがコンシューマー向けエコシステムに強く縛られることになります」とAgha氏は言います。「従業員が個人アカウントからロックアウトされてしまうと、企業IDの復旧はIT部門にとってさらに厄介な作業になります」。
エコシステムの分断
パスキーに対応するプラットフォーム間のエコシステムの分断も、もう一つの障壁となっています。
「iPhoneで生成したパスキーを、共用の企業用Windowsマシンで使おうとしても、まだシームレスとは言えません」とAgha氏は説明します。「競合するプラットフォーム間でパスキーが支障なく行き来できるようになるまでは、ユーザー体験は断片的なものに感じられるでしょう」。
セキュリティチームが直面する最大級の課題は、すべてが想定どおりに機能している場合のユーザーのサインイン方法ではなく、従業員がデバイスを紛失したり役割が変わったりした際にどうアクセス権を回復するかという点です。
「CISOは、復旧プロセスがフィッシング耐性を備え、パスキー自体よりも弱いセキュリティを不用意に持ち込むことがないよう確保する必要があります」とPing IdentityのLaurie氏は述べます。「安全な復旧手段は、セキュリティと事業継続性の両方を維持するうえで不可欠です」。
パスキーはセキュリティ向上の可能性を秘めていますが、それはこの技術が堅牢かつ一貫した形で適用されて初めて実現するものです。
SpecterOpsのプリンシパルセキュリティアナリスト、Michael Grafnetter氏は次のように述べています。「Black Hat USA 2026における『Pass-the-Passkey』系攻撃に関する講演は、有益な教訓を与えてくれます。パスキーは一連の攻撃を大幅に軽減しますが、実装に欠陥があれば、依然としてリレー攻撃、リプレイ攻撃、なりすまし、偽装といった侵入経路が生まれ得るのです」。
ハイブリッドモデルがパスワードに執行猶予を与える
クラウドアプリへのアクセスにパスキーを導入することは、企業にとって分かりやすいセキュリティ上の成果をもたらします。しかしAgha氏は、パスキーへの完全な移行は現時点で「レガシー環境や中小企業にとっては幻想にすぎない」と主張します。
「パスキーは最新のウェブ標準に依存しています」と同氏は付け加えます。「カスタムの社内アプリケーションや古いオンプレミスインフラ、ニッチな産業用ワークフローとは相性がよくありません」。
Agha氏によれば、当面の間、現実的な戦略はハイブリッド型しかないといいます。
「CISOは、最新のクラウドアプリに対しては積極的にパスキーを導入して即座にセキュリティを底上げしつつ、レガシーシステムへの橋渡しとして、従来型のフィッシング耐性MFAや物理ハードウェアトークンも稼働させ続けるべきです」と同氏は助言します。
他の専門家たちもハイブリッドモデルを支持しています。
SANS Instituteのインストラクター、Rich Greene氏はCSOに次のように語りました。「レガシーアプリケーションや特殊な用途があるため、一部のシステムはまだパスキーに対応していない可能性があります。そのため多くの組織にとって、ハイブリッドモデルが最も現実的なアプローチとなります。準備が整った領域からパスキーを導入しつつ、いまだ旧来の認証方式に依存しているアプリケーションやワークフローについてはパスワードのサポートを続けられるからです」。
主流のアプリケーションにおいても、一度にすべてを切り替えるのではなく、段階的にパスキーを導入していく計画を立てる方が優れたロールアウト戦略だといえます。
「パイロットグループや特定のアプリケーションから始める段階的なロールアウトによって、組織はパスキー導入を企業全体に拡大する前に、小規模な範囲で問題を洗い出し解決することができます」とGreene氏は助言します。「レガシーシステムが段階的に廃止されていくにつれて、パスキーはより広範な環境へと導入を広げていけます」。
あらゆるアプリケーションを一夜にしてパスキーへ移行し、パスワードの利用を完全になくせる組織はほとんどありません。
Ping IdentityのLaurie氏は次のように指摘します。「レガシーアプリケーションや専門的な業務システム、サードパーティ製ソフトウェアは、今後もしばらくの間、従来型の認証方式に依存し続ける可能性があります。組織は即座かつ完全な移行を目指すのではなく、最大のセキュリティ効果が得られる領域からパスキーを導入しつつ、レガシー環境についても安全なサポートを維持する段階的な戦略を採るべきです」。
