iPhoneのパスキーは安全？フィッシングに強い理由と始め方

iPhoneでログインしようとしたときに「パスキーを作成しますか？」と表示されると、便利そうだと感じる一方で、「本当に使って大丈夫なのかな」と不安になる方も多いのではないでしょうか。

• iPhoneのパスキーとは何か、Face IDやTouch IDとの違いがわかります
• パスキーがフィッシングに強いとされる理由を理解できます
• 作成前に確認したい保存先、機種変更、紛失時の注意点がわかります

本記事では、iPhoneのパスキーは安全なのか、Face IDとの違い、フィッシングに強い理由、使い始める前の注意点をわかりやすく解説します。（専門知識は不要です！）

注：パスキーは安全性の高いログイン方法ですが、「絶対に乗っ取られない」「すべてのサービスで使える」という意味ではありません。対応サービスや復旧方法を確認しながら使うことが大切です。

iPhoneのパスキーとは？まず知っておきたい結論

iPhoneのパスキーは、対応しているWebサイトやアプリで、パスワードの代わりに使えるログイン方法です。Apple公式サポートでも、iPhoneではパスワードの代わりにパスキーを作成して保存し、対応するWebサイトやアプリへのサインインに使えると案内されています。

詳しい基本情報は、Apple公式のiPhoneでパスキーを使ってWebサイトやアプリにサインインするでも確認できます。

パスキーはパスワードの代わりに使うログイン方法

パスキーを使うと、対応サービスではパスワードを入力する代わりに、iPhone側で本人確認をしてログインできます。たとえば、対応アプリやWebサイトで「パスキーを作成」「パスキーでサインイン」などの表示が出る場合があります。

ただし、パスキーを作ったからといって、すべてのサービスでパスワードが完全になくなるわけではありません。サービスによっては、パスキーとパスワードを併用する場合や、復旧用にパスワードが残る場合もあります。

パスキーの基本やスマホ全体での使い方を先に整理したい場合は、パスキーの基本や対応サービスを詳しく知りたい場合はこちらも参考にしてください。

Face ID・Touch IDはパスキーそのものではない

誤解しやすいポイントですが、Face IDやTouch IDそのものがパスキーというわけではありません。Face IDやTouch IDは、iPhoneに保存されたパスキーを使うための本人確認の手段です。

Face IDが使えない場合でも、iPhoneのデバイスパスコードで承認できる場合があります。つまり、パスキーは「Face IDだけの機能」ではなく、iPhoneの安全な本人確認と組み合わせて使うログイン方法と考えると理解しやすくなります。

すべてのサイトやアプリで使えるわけではない

パスキーは便利ですが、すべてのWebサイトやアプリで使えるわけではありません。Apple公式でも、パスキーの作成や保存の手順はアプリ、Webサイト、ブラウザによって異なると案内されています。

そのため、パスキーの選択肢が表示されない場合は、サービス側がまだ対応していない可能性があります。表示がないのに無理に設定しようとする必要はありません。

パスキーがフィッシングに強い理由

パスキーが注目されている大きな理由は、フィッシングに強い仕組みであることです。Apple公式は、パスキーについて、フィッシング詐欺対策に優れた資格情報と説明しています。

詳しい仕組みは、Apple公式のパスキーのセキュリティについてでも確認できます。

偽サイトにパスワードを入力する流れを減らせる

従来のログインでは、ユーザー名やパスワードを画面に入力します。もし偽サイトに誘導されてしまうと、本物そっくりの画面にパスワードを入力してしまう危険があります。

一方、パスキーでは、対応する正規のWebサイトやアプリに対して、iPhone側で本人確認を行ってログインします。再利用できるパスワードを手入力する機会が減るため、偽サイトにパスワードを渡してしまうリスクを下げやすくなります。

秘密鍵はサービス側に送られない

パスキーは、公開鍵暗号と呼ばれる仕組みを使います。細かい技術用語を省いて説明すると、サービス側に置かれる情報と、iPhone側に安全に保存される情報が分かれているイメージです。

Apple公式の説明では、Touch IDやFace IDに対応したApple製デバイスでは、Touch IDやFace IDでパスキーの利用を承認でき、共有のシークレットが転送されることもなく、サーバーが秘密鍵を保護する必要もないと案内されています。

それでもSMSやメールのリンクを開かない習慣は必要

パスキーを使っていても、フィッシングSMSや偽メールのリンクを安易に開かない習慣は必要です。警察庁は、電子メールやSMS内のリンクを安易にクリックせず、公式サイトをブックマークに登録したり、公式アプリを活用したりして正しいサイトに接続するよう案内しています。

フィッシング対策の基本は、警察庁のフィッシング対策ページでも確認できます。

また、フィッシングSMSの見分け方やブロック方法を詳しく確認したい場合は、フィッシングSMSの見分け方とブロック方法もあわせて確認しておくと安心です。

iPhoneでパスキーを作成・ログインする基本の流れ

iPhoneでパスキーを使う流れは、サービスによって少しずつ異なります。ただし、多くの場合は「対応サービスにログインする」「アカウント設定でパスキーを作成する」「次回からFace IDやTouch IDで承認する」という流れです。

パスキーを作成するときの基本手順

Apple公式では、パスキーの作成と保存の手順はアプリやWebサイト、ブラウザによって異なるものの、通常は対応サービスのサインイン画面やアカウント設定から作成すると案内されています。

1. 対応しているWebサイトまたはアプリを開く
2. 既存アカウントでログインする、または新しいアカウントを作成する
3. アカウント設定やセキュリティ設定を開く
4. 「パスキーを作成」「パスキーを保存」などの項目を選ぶ
5. Face ID、Touch ID、またはiPhoneのデバイスパスコードで承認する

画面の文言はサービスごとに違います。「パスキー」「Passkey」「パスワードなしでログイン」など、似た表現で表示されることもあります。

次回ログイン時は候補を選んで承認する

パスキーを保存した後は、次回ログイン時にアカウント名の候補が表示される場合があります。候補を選び、Face IDやTouch IDで承認すると、保存済みのパスキーでログインできます。

Face IDやTouch IDを設定していない場合は、iPhoneのロック解除に使うデバイスパスコードで承認する場合があります。

パスキーの項目が表示されないときの理由

パスキーの項目が見つからない場合、必ずしもiPhone側に問題があるとは限りません。主な理由としては、サービスがパスキーに対応していない、アプリ版とWeb版で対応状況が違う、iOSやアプリが古い、iCloudキーチェーンが有効になっていない、などが考えられます。

パスキーはどこに保存される？機種変更前に確認すること

iPhoneで作成したパスキーは、基本的にiCloudキーチェーンに暗号化されて保存され、同じApple Accountでサインインしている承認済みデバイスで利用できます。機種変更時も、この仕組みを理解しておくと不安を減らせます。

iPhoneではパスワードアプリとiCloudキーチェーンで確認できる

Apple公式では、作成したパスキーはiPhoneのパスワードアプリに保存されると案内されています。iOSのバージョンによって表示場所が異なる場合がありますが、iOS 18以降では「パスワード」アプリから確認する流れが中心です。

iCloudキーチェーンの概要は、Apple公式のiCloudキーチェーンを設定するで確認できます。

機種変更前にiCloudキーチェーンと2ファクタ認証を確認する

パスキーを安心して使うには、機種変更前にiCloudキーチェーンとApple Accountの2ファクタ認証を確認しておくことが大切です。Apple公式でも、iPhoneでパスキーを使うにはiCloudキーチェーンと2ファクタ認証がオンになっている必要があると案内されています。

特に、古いiPhoneから新しいiPhoneへ移行する前には、次の点を確認しておくと安心です。

• 同じApple Accountでサインインできるか
• iCloudキーチェーンがオンになっているか
• Apple Accountの2ファクタ認証が有効か
• 信頼できる電話番号が現在も使える番号か
• 重要サービスの復旧方法を把握しているか

端末を紛失したときはApple Accountの復旧手段も関係する

パスキーをiCloudキーチェーンで使う場合、Apple Accountの安全性も重要です。Apple公式では、2ファクタ認証では信頼できる電話番号または信頼できるデバイスを使って、新しいデバイスやブラウザでサインインする際の本人確認を行うと説明されています。

信頼できる電話番号やデバイスの管理については、Apple公式のApple Accountの信頼できる電話番号と信頼できるデバイスについてで確認できます。

重要アカウントで使う前に確認したい注意点

金融機関、証券口座、Apple Account、メールアカウントなどの重要アカウントでは、パスキーは有力な選択肢です。ただし、設定前に「どこまで対応しているか」「ログインできなくなったときにどう復旧するか」を公式情報で確認しておくことが大切です。

金融機関や証券口座では「対応範囲」を公式情報で確認する

金融機関や証券口座でパスキーが使える場合でも、対応範囲はサービスによって異なります。ログインだけに使える場合、重要な取引や登録情報の変更にも関係する場合、アプリ版だけ対応している場合などがあります。

そのため、金融機関や証券口座で使うときは、次の点を公式ヘルプで確認してから設定しましょう。

• パスキーがログインだけに使われるのか
• アプリ版、Web版のどちらで使えるのか
• 機種変更時の再設定方法が案内されているか
• パスキーを削除した場合のログイン方法があるか
• 不正アクセスが疑われる場合の連絡先が明記されているか

証券口座の不正アクセス対策を広く確認したい場合は、証券口座の不正アクセス対策もあわせて確認すると、スマホ側で見直すべき設定を整理しやすくなります。

Apple Accountを守る設定も同時に見直す

iPhoneでパスキーを使う場合、iCloudキーチェーンやApple Accountの管理も関係します。Apple Accountのパスワードが弱い、信頼できる電話番号が古い、使っていない端末が残っている、といった状態では不安が残ります。

パスキーだけでなく、フィッシングSMS対策も続ける

パスキーはフィッシングに強いログイン方法ですが、フィッシング対策が不要になるわけではありません。偽SMSや偽メールは、ログイン情報だけでなく、個人情報、クレジットカード情報、ワンタイムパスワードなどの入力を狙うことがあります。

フィッシング対策協議会の月次報告でも、フィッシング報告は継続しており、利用者向けにパスキーなどの認証強化が案内される場面があります。最新の傾向は、フィッシング対策協議会の月次報告書でも確認できます。

パスキーを使っていても、メールやSMSのリンクからログインするのではなく、公式アプリやブックマークから開く習慣を続けましょう。

パスキーを使わない・後回しにした方がよい場面

パスキーは便利で安全性の高い仕組みですが、どんな場面でもすぐ作ればよいわけではありません。特に、復旧方法が分からない重要アカウントや、自分で管理していない端末では慎重に判断しましょう。

復旧方法が分からない重要アカウントでは先に確認する

銀行、証券、メール、Apple Accountなどの重要アカウントでは、ログインできなくなったときの復旧方法が非常に重要です。パスキーを作成する前に、サービス公式のヘルプで復旧方法を確認しておきましょう。

特に、パスワードを忘れた場合、端末を紛失した場合、電話番号が変わった場合、海外滞在中の場合など、通常とは違う状況でも復旧できるかを見ておくと安心です。

共有端末や管理外の端末では慎重に扱う

家族と共有している端末、職場や学校の管理端末、公共施設のパソコンなどでは、パスキーの保存先に注意が必要です。自分のApple Accountに紐づいたiPhoneへ保存するつもりでも、画面の選択肢を誤ると、意図しない端末側に情報が残る可能性があります。

自分のものではないデバイスでログインする場合は、iPhoneを使ったQRコード認証など、サービス側が案内している方法を慎重に確認しましょう。

古いiOSや未更新アプリでは表示や手順が違う場合がある

パスキーの表示や管理画面は、iOSのバージョンやアプリの対応状況によって変わることがあります。たとえば、iOS 18以降では「パスワード」アプリから確認する流れが中心ですが、古いiOSでは設定内の表示が異なる場合があります。

手順が記事や公式ヘルプと違う場合は、無理に進めず、iOSやアプリのアップデート状況、サービス公式ヘルプの最新情報を確認してください。

よくある質問（FAQ）