パスキーとは？取引所のログインを「パスワードなし」で守る仕組み

「パスキーが設定されているかご確認をお願いいたします」。取引所のお知らせでこんな一文を見て、パスキーって何？　と調べに来た人に向けた記事です。

先に、この記事が渡すことを1つだけ書きます。

パスキーは、スマホやパソコンのロックを外すときと同じ指紋・顔・PINで、端末の中にある鍵を使ってログインする仕組みです。パスワードより盗まれにくい作りになっています。ただし万能ではないので、取引所の呼びかけどおり、ログイン通知などの設定と並べて使います。

根拠にしたのは、GMOコインが2026年10月23日に出したお知らせ、FIDOアライアンスのパスキーの解説、Googleアカウントのヘルプです。どれも記事の最後にリンクを置いています。

※ 情報提供のみを目的としています。特定の取引所やサービスの利用は勧めません。

塾長とミサキ

金曜の夜。ミサキから塾長に、お知らせの画面を写した画像つきのチャットが届いた。

ミサキ

「塾長、これ見ました？　GMOコインのお知らせです。『身に覚えのない取引』があったって。それで、『パスキーの設定』をお願いしますって」

塾長

「見た。ミサキはどう読んだ」

ミサキ

「パスキーを設定してなかった人が、被害にあったんですよね。じゃあ、設定さえしておけば大丈夫なのかなって。いつか口座を作ったら、それだけは忘れないようにします」

塾長

「お願いの欄、パスキーのほかに何が並んでる」

ミサキ

「えっと……取引履歴の確認と、ログイン通知と約定通知の設定と、APIキーの確認。……3つもある。パスキーだけじゃ、足りないってことですか」

塾長

「パスキーが固くするのは、ログインの入口だ。仕組みで言うと、公開鍵暗号を使った認証で——」

ミサキ

「待ってください。公開……それ、今は入ってこないです。そもそもパスキーって、パスワードと何が違うんですか」

塾長

「言い方を変える。スマホを開けるときの顔や指。あれと同じ操作で、取引所に入る仕組みだ」

ミサキ

「顔で、取引所に。……それって、私の顔のデータを取引所に渡すってことですか。それはそれで、ちょっと怖いんですけど」

塾長

「顔のことも含めて、パスキーで何が守れて、何は守れないのか。資料で分けてみよう」

1. きっかけ：GMOコインのお知らせに書いてあること

GMOコインは2026年10月23日、「自動売買ツールによるものと考えられる不正取引に関する注意喚起とお願い」というお知らせを出しました。書き出しはこうです。

今般、複数のFX業者において、自動売買ツールによるものと考えられる不正取引（お客さまに身に覚えのない取引）が行われている事例が報告されています。

お知らせが挙げている事例は、暗号資産の取引所ではなく、FX業者のものです。お知らせによると、これはGMOインターネットが提供する「お名前.com デスクトップクラウド」のサーバー上で使われていた取引ツールに関連して、取引口座で第三者による不正な操作が行われた、という報告がGMOインターネットに寄せられている件です。そのうえで、GMOコインは自社についてこう書いています。

なお、現段階では当社の口座における不正な操作は確認されておりません。

お知らせの時点で、GMOコインの口座で被害が確認された、という話ではありません。

お知らせは、利用者にお願いしたいこととして4つを並べています。

• 取引履歴・残高の確認（身に覚えのない取引がないか）
• パスキーの設定（設定されているかを確認し、まだなら早めに設定する）
• ログイン通知・約定通知の設定（会員ページの通知設定で有効にする）
• APIキーの確認（使っていないキーや心当たりのないキーを削除する）

そして、身に覚えのない取引やログインがあったときは、すぐにパスワードを変えたうえで、カスタマーサポートに連絡するよう書いています。

ここで、場面のミサキの読み方と比べてください。「パスキーを設定していなかった人が被害にあった」「パスキーを設定していれば防げた」とは、お知らせのどこにも書かれていません。 パスキーは、4つのお願いのうちの1つです。お知らせは、今回の件とパスキーがどう関係するかも書いていません。この記事は、パスキーを今回の件の対策としてではなく、ログインの入口を守る仕組みとして見ていきます。

この記事は、このうち「パスキー」と、それと並べる「通知」に絞ります。APIキー（お知らせによれば、外部のツールやサービスに登録するキー）は、この記事では扱いません。

2. パスキーとは：スマホのロック解除と同じ操作でログインする

FIDOアライアンスの日本語のページは、パスキーをこう説明しています。

FIDO標準に基づき、パスキーはパスワードに代わるもので、ユーザーのデバイスにまたがるウェブサイトやアプリへのサインインをより迅速、簡単、かつ安全に行うことができる。

使い方については、こう書いています。

ユーザーがアプリやウェブサイトへのサインインを求められると、ユーザーはデバイス（電話、コンピューター、セキュリティキー）のロックを解除するのと同じバイオメトリクスやPINでサインインを承認する。

バイオメトリクスは、指紋や顔などの生体認証のことです。つまり、文字列を覚えて打ち込むパスワードの代わりに、手元の端末のロックを外す操作で「このログインは自分です」と承認するのがパスキーです。

Googleのヘルプは、パスワードとの違いをこう書いています。

パスキーはパスワードとは異なり、共有したり、コピーしたり、書き留めたりすることはできず、誤って他人に渡してしまう心配もありません。

顔や指紋のデータは、取引所に送られるのか

場面でミサキが怖がったところです。Googleのヘルプには、こうあります。

指紋認証や顔認証に使用される生体認証データはデバイスに保存されており、Google と共有されることはありません。

これはGoogleの例ですが、FIDOアライアンスが運営する解説サイト「Passkey Central」も、仕組みとして同じことを書いています。

Any information about the local authentication method (such as biometric measurements or templates) never leaves the local device.

端末で行う本人確認の方法についての情報（生体の測定値やテンプレートなど）は、その端末の外に出ない（当校による訳）

顔や指紋は、端末のロックを外すために端末の中で使われるだけで、取引所に渡すものではありません。 では、取引所には何が渡るのか。次の章で見ます。

3. なぜ盗まれにくいのか：鍵は2つ、取引所に置かれるのは片方だけ

Passkey Centralは、パスキーの土台のFIDO標準が、公開鍵暗号（public key cryptography）という技術を使っていると書いています。中身を、登録するときとログインするときの2段に分けます。

① 登録するとき

端末が、そのサービスのそのアカウント専用の鍵を2つ1組で作ります。1つは秘密鍵、もう1つは公開鍵です。秘密鍵は端末（またはセキュリティキーという専用の機器）が持ち続け、公開鍵だけがサービスに送られます。

A public key is sent to the online service and associated with the user’s account.

公開鍵がオンラインサービスに送られ、利用者のアカウントに結び付けられる（当校による訳）

② ログインするとき

サービスが、ログインのたびにランダムな問題（チャレンジ）を端末に送ります。あなたが顔や指などで端末のロックを外して承認すると、端末が秘密鍵でその問題に署名して返します。サービスは、手元にある公開鍵でその署名を確かめ、ログインさせます。

ここで大事なのは、サービスの側に置かれるのは公開鍵だけだということです。Passkey Centralはこう書いています。

The online service only has the public key and it is not computationally feasible to extract the private key from the public key per the mathematics of cryptography.

オンラインサービスが持っているのは公開鍵だけで、暗号の数学上、公開鍵から秘密鍵を取り出すことは計算上できない（当校による訳）

同じ段落には、パスワードとの違いも書かれています。パスワードの場合、サービスの側にはパスワードを変換した値（パスワードのハッシュ）が置かれ、それがサーバーから盗まれて解読されることがあります。パスキーでは、サービスはそれに当たるものを持っていない、という説明です。

もう1つ、パスワードとの大きな違いがあります。先に予想してから読んでください。

先に予想してください

取引所を名乗るメールのリンクから、本物そっくりの偽サイトを開いてしまいました。ログイン画面で、いつものようにパスキーを使おうとして、顔で承認しようとします。どうなるでしょうか。

A いつもどおり顔で承認できてしまい、偽サイトにログインの情報が渡る（自分の顔で承認するのだから、止めようがない）

B 偽サイトには、本物の取引所に登録したパスキーは出されない

決めてから、先へ進んでください。

答えはBです。Passkey Centralは、こう書いています。

By design, a passkey is only presented to the site it was registered with. There is no way for the user to inadvertently type it on an attacker’s site.

パスキーは、登録したサイトにしか出されない作りになっている。利用者がうっかり攻撃者のサイトに入力してしまうことは起こりようがない（当校による訳）

同じページは、パスキーがサイト（ドメイン）とアカウントごとに別々に作られるとも書いています。偽サイトは、見た目がそっくりでも、本物とは別のサイトです。本物の取引所に登録したパスキーは、そこでは出てきません。パスワードなら、偽サイトの入力欄に自分で打ち込めてしまいます。FIDOアライアンスのページも、パスワードの問題として「フィッシング」（偽サイトなどで情報をだまし取ること）がしやすいことを挙げ、パスキーを「フィッシングに強い」と書いています。

ここまでを表にすると、こうなります。

なお、FIDOアライアンスの言い方は「フィッシングに強い」です。「どんな攻撃も防げる」とは書いていません。次の章で、守れないことを見ます。

4. パスキーでも守れないこと

端末のロックを外せる人は、ログインできてしまう

パスキーで承認する操作は、端末のロックを外す操作と同じでした。Googleのヘルプは、パスキーを作るときの注意として、こう書いています。

いったんパスキーを作成すると、Google アカウントからログアウトしても、デバイスのロックを解除できる人なら誰でも Google アカウントにアクセスできます。

同じヘルプは、共有のデバイスではパスキーを作らないよう求めています。これはGoogleアカウントの例ですが、パスキーの守りは、端末のロックを他人に外されないことの上に成り立っている、と当校はまとめます。端末のロックには、顔や指紋だけでなく暗証番号（PIN）も使えます。Googleのヘルプも、パスキーでログインするときに使えるものとして「スマートフォンの画面ロック（PIN など）」を挙げています。

パスワードの入口が残っていることがある

この記事の題にある「パスワードなし」は、Googleのヘルプにも出てくる言い方です。Googleアカウントでは、パスキーを作ると「パスキー優先（パスワードなし）のログイン方法」に切り替わります。ただし同じヘルプによると、パスキーを足しても今の認証の方法は消えず、パスキーを作った後もパスワードでログインすることはできます。つまり、パスキーを設定しても、パスワードという別の入口が残る場合があります。

取引所でパスキーを作った後にパスワードでのログインがどうなるかは、取引所ごとの仕様で、この記事では確かめられていません。GMOコインのお知らせも、身に覚えのないログインがあったときは「すぐにパスワードを変更」するよう書いています。パスキーを設定しても、パスワードの管理が不要になるとは限りません。

今回の件を防げたかは、書かれていない

1章で見たとおり、お知らせが伝えているのは、取引ツールに関連した不正な操作の報告です。パスキーがそれを防げたかどうかは、お知らせに書かれていません。

端末をなくしたとき

Passkey Centralによると、パスキーには、同じ人の信頼できる端末どうしで同期されるもの（パスワードを管理する仕組みを通して、新しい端末でも使えるようになる）と、セキュリティキーのような1つの機器に結び付いたまま同期されないものがあります。

Googleのヘルプは、パスキーを設定した端末をなくしたときは、ほかに使える端末からGoogleアカウントにログインし、なくした端末のパスキーを削除するよう書いています。

取引所で同じことをする場所と手順は、取引所ごとに違いうるので、その取引所の案内で確かめてください。GMOコインのお知らせには、「パスキーについて」という同社のページへのリンクが付いています（この記事ではそのページの中身は確かめていません）。

5. 通知の設定と並べて使う

GMOコインのお知らせは、パスキーのすぐ後に、こう書いています。

ログイン通知・約定通知の設定：会員ページの通知設定で、ログイン通知・約定通知を有効にしてください。

お知らせの4つのお願いを、役割で分けると次のようになります（役割の言い方は当校の整理です）。

パスキーは入口を固くするもの、通知は何か起きたときに気づくためのものです。気づいたときにすることも、お知らせに書かれています。すぐにパスワードを変え、カスタマーサポートに連絡することです。GMOコインの場合、連絡はお問い合わせフォームかチャットで、電話では受け付けていない、とお知らせにあります。

6. まだ言えないこと

• パスキーを設定していれば、今回の不正取引を防げたか。 お知らせに書かれていません。
• 不正な操作が、どのように行われたか。 GMOインターネットの発表は、この記事では確かめていません。
• 国内のほかの取引所が、パスキーに対応しているか。設定の手順。 各社の公式ページの本文を確かめられていないため、書いていません。
• 取引所でパスキーを作った後も、パスワードでログインできるか。 Googleアカウントの例はありますが、取引所ごとの仕様は確かめていません。
• 端末をなくしたときの、取引所での手続き。 取引所の案内で確かめてください。

塾長とミサキ（続き）

しばらくして、ミサキからまたチャットが届いた。

ミサキ

「読みました。メモ、こうなりました。『パスキーは入口の鍵。顔はスマホの外に出ない。通知は、気づくため』」

塾長

「守れない方は書いたか」

ミサキ

「『スマホを開けられたら、入られる』。……それで気づいたんですけど。私のスマホ、顔がだめなとき用の暗証番号、すぐ当てられそうなやつなんですよ」

塾長

「なら、パスキーより先に、そこだな」

ミサキ

「明日やります。……いや、今やります。口座を作ることになったら、パスキーと通知は最初に見ます。あと、お知らせにあった『APIキー』って、パスキーとは別の話なんですよね」

塾長

「別だ。外のツールに登録するキーの話になる。今日の入口の話とは分けて、次に見よう」

今日できること

取引所からパスキーの設定を求められたら、次の4つを見てください。

• 使っている取引所で、パスキーを設定できるか・設定済みかを、その取引所の公式の案内で確かめる。（GMOコインの利用者なら、お知らせに「パスキーについて」のページへのリンクがあります）
• ログイン通知・約定通知（またはそれに当たる通知）が有効になっているかを見る。
• パスキーを使う端末のロックを、他人に外されない状態にしておく。 顔や指紋が使えないときの暗証番号も含みます。共有の端末ではパスキーを作らないでください。
• 端末をなくしたときに、パスキーを消す場所を先に見ておく。

口座をまだ持っていない人は、口座を作るときに確かめることとして覚えておいてください。

この記事の一次情報と確認日

下の資料は、本文を取得して保存した写しと引用を照合しています（確認日：2026年10月26日）。英語の資料の訳は当校によるものです。

一次情報

• 【重要】自動売買ツールによるものと考えられる不正取引に関する注意喚起とお願い（GMOコイン、2026年10月23日）：複数のFX業者で報告された不正取引、「お名前.com デスクトップクラウド」上の取引ツールに関連する報告、GMOコインの口座では現段階で不正な操作は確認されていないこと、お願い4つ（取引履歴・残高、パスキー、ログイン通知・約定通知、APIキー）、身に覚えのない取引やログインがあったときの対応、問い合わせの方法、「パスキーについて」のページへのリンク。
• パスキー（FIDOアライアンス、日本語ページ）：パスキーの定義、端末のロック解除と同じ生体認証やPINで承認すること、フィッシングに強いこと、パスワードの問題としてフィッシングがしやすいこと。
• How passkeys work（Passkey Central、FIDOアライアンス運営、英語）：公開鍵暗号を使うこと、サービスとアカウントごとに鍵の対を作ること、秘密鍵は端末が持ち公開鍵だけがサービスに送られること、毎回の問題への署名と公開鍵での確認、サービスには公開鍵しかなく秘密鍵を取り出せないこと、パスワードのハッシュに当たるものがないこと、登録したサイトにしか出されないこと、本人確認の情報が端末の外に出ないこと、同期されるパスキーとセキュリティキーに結び付いたパスキー。
• パスワードの代わりにパスキーでログインする（Google アカウント ヘルプ）：生体認証データは端末に保存されGoogleと共有されないこと、共有・コピー・書き留めができないこと、端末のロックを解除できる人はアクセスできること、共有の端末で作らないこと、パスキーを足しても今の認証の方法は消えずパスワードでもログインできること、端末をなくしたときにパスキーを削除すること。

この記事が確認していないこと

• パスキーを設定していれば今回の不正取引を防げたか
• 不正な操作がどのように行われたか（GMOインターネットの発表の本文）
• 国内の各取引所のパスキー対応と設定手順（公式ページの本文）
• GMOコインの「パスキーについて」のページの中身
• パスキーの鍵の仕組みを説明した日本語の一次情報の文面（英語のPasskey Centralで確かめました）

当校の関連記事

• 秘密鍵と公開鍵の解説記事

この記事は情報提供のみを目的としており、特定の取引所やサービスへの登録・利用を勧めるものではありません。