二段階認証とパスキーの違い|結論は「足す」か「なくす」か

結論: 二段階認証は、パスワードにもう1つの確認を足す仕組み、パスキーは、パスワード自体をなくし、端末の顔・指紋認証でログインする仕組みです。どちらも、パスワードが漏れても、不正ログインを防ぎやすくなります。使える場合は、パスキーを優先し、対応していないサービスでは、二段階認証を設定します。

二段階認証とは「もう1つの確認」を追加する仕組み

二段階認証とは、パスワードによるログインに加えて、もう1つ別の確認手段を追加するセキュリティの仕組みです。代表的なものに、スマホに届く確認コードを入力する方法や、専用の認証アプリで生成される数字を入力する方法があります。

たとえパスワードが第三者に知られてしまっても、もう1つの確認(スマホの所持など)がなければログインできないため、不正アクセスのリスクを大きく下げることができます。

パスキーとは「パスワード自体をなくす」新しい仕組み

パスキーは、二段階認証よりもさらに新しい考え方の技術です。パスワードを入力する代わりに、スマホの顔認証や指紋認証といった、端末側の生体認証機能を使ってログインを完了させる仕組みです。

パスキーの大きな特徴は、そもそもパスワードという概念自体を使わないという点にあります。サービス側にもパスワードの情報を預ける必要がないため、サービス側から情報が漏れた場合のリスクも大幅に減らせるとされています。Googleのセーフティセンターでも、パスキーは端末上に非公開のまま保管され、Google側とも共有されない仕組みだと説明されています。

相談を受けていて、「パスワードが分からなくなった」というのは、いつも上位に挙がるトラブルの1つです。パスキーは、この“忘れる・分からなくなる”という悩みそのものを、仕組みごとなくしてしまうアプローチとも言えます。管理するパスワードの数自体を減らせるという意味で、パスワード管理の記事で紹介した「覚えるから管理するへ」という考え方の、もう一歩先にある選択肢だと捉えています。

なぜ今、パスキーが注目されているのか

これまで長らく使われてきたパスワードには、構造的な弱点があります。どれだけ複雑なパスワードを設定しても、フィッシング詐欺によって偽サイトに入力させられてしまえば、そのまま盗まれてしまいます。パスキーは、そもそも入力するパスワードという情報自体が存在しないため、この「フィッシングによる盗み見」という攻撃手法そのものが原理上成立しにくいという特徴があります。こうした背景から、大手のIT企業を中心に、パスキーへの対応が急速に広がってきています。

実際によくあるつまずきの例

たとえば、スマホを機種変更したタイミングで、「あるサービスにパスキーでログインしようとしたら、新しい端末にはパスキーが登録されておらず、ログインできなくなってしまった」というケースがあります。多くのサービスでは、こうした場合に備えて「パスワードでのログインに一時的に切り替える」救済手段が用意されていることが多いので、慌てずにログイン画面の「別の方法でログイン」といった選択肢を探してみましょう。

図で見る2つの違い

言葉だけだと混同しやすいので、それぞれの認証の流れを図で比べてみましょう。

2つの違いを整理する

つまり、二段階認証は「今あるパスワードの仕組みを守るための追加の鍵」であり、パスキーは「鍵(パスワード)という概念自体を、より安全な方法に置き換える」新しいアプローチと言えます。

設定時につまずきやすいポイント

• パスキーを1台の端末だけに登録してしまう:その端末を紛失・故障してしまうと、ログイン手段を失うリスクがあります。複数端末への登録や、クラウド経由での同期設定を確認しておきましょう。
• 二段階認証のバックアップコードを保存し忘れる:スマホの機種変更時に確認コードを受け取れなくなり、ログインできなくなるケースがあります。詳しくは認証アプリの記事でも解説しています。
• パスキー対応サービスなのに気づかず、古いパスワードのまま使っている:設定画面の「セキュリティ」項目を一度確認してみると、実は対応していたというケースも少なくありません。

どちらを使うべきか

現時点では、すべてのサービスがパスキーに対応しているわけではありません。パスキーに対応しているサービスではパスキーを積極的に使い、対応していないサービスでは二段階認証を有効にしておく、という併用が現実的な対策です。

面倒がられても勧める理由、そして機種変更の落とし穴

二段階認証を勧めると、最初はやはり「毎回確認するのが面倒そう」という反応が出ることがあります。ただ、一度アカウントを乗っ取られるリスクを具体的に説明すると、考え方が変わる方も多いです。特に重要なのは、「パスワードが漏れても、それだけでは入れない」という点です。

一方で、実際に困るのが機種変更です。古いスマホに認証アプリが入っていたり、二段階認証の確認先が古い電話番号だったりすると、新しい端末にした途端、「ログインできない。でも本人なのに、本人だと証明できない」という状況になります。パスキーでも、「設定したこと」だけで安心するのではなく、機種変更したときにどう引き継ぐのか、復旧手段は何なのかまで確認しておくことが大切です。セキュリティ対策は、単に「厳しくする」ことではありません。「安全にする」と「自分自身が入れなくならない」を両立させることが重要だと感じています。

結局のところ

どちらも「パスワードだけに頼らない」という考え方に基づいた仕組みです。仕組みの違いを理解したうえで、使えるサービスから少しずつ設定を進めてみることをおすすめします。

あわせて確認したい公式情報

• パスキーのパスワードレス認証 - Google セーフティセンター

※ 対応状況やUIはサービスごとに更新されることがあるため、最新の内容は各サービスの公式ヘルプもあわせてご確認ください。

関連記事:なぜ今、個人情報の流出が相次いでいるのか(2026年10月)

関連記事:自分の情報が流出したと通知が来たら

関連記事:個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表

関連記事:二段階認証はSMS・認証アプリ・パスキーのどれがいい?