パスキー認証は倍増、それでも普及は遅々として進まず

ログイン画面でパスキーを目にする機会は増えていますが、広く普及したとは言いがたい状況です。Dashlaneが公表した新たなデータで明らかになりました。

認証情報セキュリティを手がける同社は、2025年7月から2026年6月までに処理した数百万件の匿名化・集計済みパスキー認証を分析し、3回目となる年次レポート「Passkey Power 20」をまとめました。

それによると、Dashlaneユーザーによるパスキー認証は前年比でほぼ倍増し、2026年には月間250万件に達しました。

また、少なくとも1つのパスキーを保存しているユーザーは全体の57%に上り、前年の40%から増えました。

一方で、フィッシングに強いこの認証技術が占める割合は、主要サイトでも少数派にとどまっています。Googleは28%、PayPalは18%、Amazonは17%、eBayは8%でした。

パスキーは、推測や窃取の対象となるパスワードが存在しないため、詐欺師にとって突破がはるかに困難です。ユーザーはデバイスのPINや顔スキャンなどの生体認証でログインします。

パスキーは正規のウェブサイトと暗号技術によって結び付けられています。仮にそのサイトが侵害されても、攻撃者はデバイス上に保管されたユーザーの秘密鍵を入手できません。

こうした理由から、Report Fraudなどの機関も、パスキーを推奨しています。アカウント乗っ取り攻撃を抑える最も効果的な手段の1つとされているためです。

対応と普及のギャップを埋めるには

企業にとって、パスキーは機密性の高い社内データやシステムを守り、ITサポートのパスワードリセット対応を減らす効果があります。

この分野でDashlaneは、ログイン方式に対応するアプリケーションが増えたと指摘しています。

認証件数ではHubSpotとCisco Duoが首位を占めました。上位20件には新たに、isolved HCMやBambooHRといった人事・給与管理プラットフォームのほか、AWSやDropboxも加わりました。

Dashlaneは、パスキーへの対応と実際の利用との間にあるギャップを埋められるかどうかが鍵になると主張しています。

同社は次の4つのアプローチを挙げました。

ユーザーにパスキーの利用を強制するアプリ開発者はごくわずかです。ただ、日本のインターネット企業LY Corporationは、Yahoo! JAPANのユーザーを対象に2027年春を期限とすることを発表したと、レポートは指摘しています。

少なくとも、ユーザーログインの既定の方式にパスキーを据える事業者をもっと増やすべきだと、DashlaneのCPO（最高製品責任者）であるChristophe Frenet氏は主張します。

「着実に成長しているとはいえ、まだ道半ばです」と同氏は語りました。「パスキーをもっと使いやすくするための取り組みは残っています。さらに、多くの企業が緩やかな導入から、変更の強制へと踏み出す必要があります。そうなって初めて、パスキーは今のような二次的な手段ではなく、主要な認証方式になるでしょう」