パスワードからパスキーへ｜主要サービスの移行手順とつまずきポイント

最近、GoogleやAmazonにログインしようとして「パスキーを作成しますか？」という画面が出てきて、よく分からないまま「あとで」を押した——そんな経験はありませんか。

「パスワードで困っていないのに、また新しい仕組みを覚えるのは面倒」「設定して逆にログインできなくなったら怖い」という気持ち、よく分かります。実際、パスキーは便利な反面、仕組みを知らずに使い始めると機種変更のときに慌てることになります。

一方で、パスキーには見逃せないメリットがあります。フィッシング詐欺に強く、パスワードの「使い回し」「忘れた」「流出した」という三大トラブルから解放されるのです。パスワードを盗まれて不正利用される被害が続くなか、主要サービスは次々にパスキー対応を進めており、もはや「いつかは移行するもの」になりつつあります。

この記事では、パスキーの仕組みをやさしく整理したうえで、主要サービスごとの設定手順、そして実際にやってみてつまずきやすいポイントとその対処法を解説します。読み終わったら、まず1つのサービスで試せるようになっているはずです。

パスキーとは？パスワードと何が違うのか

パスキーは、パスワードの代わりに「スマホやパソコンの生体認証（指紋・顔）や画面ロック」でログインする仕組みです。技術的にはFIDOという国際標準に基づいていて、Google・Apple・Microsoftをはじめ多くの企業が共同で推進しています。

パスワードとの最大の違いは、「秘密の文字列をサービス側に預けない」ことです。パスワード方式では、あなたが決めた文字列がサービス側のサーバーにも保存されるため、サービスから流出する事故が起こり得ました。パスキーでは、認証に使う「秘密鍵」はあなたの端末の中にだけ保存され、サービス側には対になる「公開鍵」しか渡りません。つまり、サービス側から漏れても悪用できない構造になっています。

特に注目してほしいのが「フィッシング耐性」です。パスキーは、登録したサイトのドメインと紐づいて動作するため、見た目そっくりの偽サイトでは認証自体が始まりません。「偽サイトにうっかりパスワードを入力してしまう」という、人間の注意力に頼っていた部分を仕組みで解決してくれるのです。インターネット利用のセキュリティ対策については、総務省も国民向けの啓発情報を発信しています（2026年6月時点）。

移行前に確認すること｜端末と同期の仕組みを理解する

いきなり設定を始める前に、3つだけ確認してください。ここを飛ばすと後でつまずきます。

① 自分の端末がパスキーに対応しているか

ここ数年のiPhone（iOS 16以降）、Android（9以降）、Windows（10以降＋Windows Hello）、Mac（macOS Ventura以降）であれば、基本的に対応しています。OSをしばらく更新していない方は、先にOSアップデートを済ませておきましょう。

② パスキーが「どこに保存されるか」を知っておく

ここが一番大事なポイントです。パスキーは端末のなかの安全な領域に保存されますが、多くの環境では同じメーカーのクラウド経由で同期されます。

つまり「iPhoneで作ったパスキーは、同じApple IDのiPadにも同期されるが、会社のWindowsパソコンには同期されない」ということが起こります。複数のOSをまたいで使う方は、1Passwordのようなパスワード管理アプリにパスキーを保存する方法も選択肢になります。詳しくはパスワード管理を1Passwordで一元化も参考にしてください。

③ 同期元アカウントの保護を固めておく

パスキーがGoogleアカウントやApple IDに同期される以上、その大元のアカウントを乗っ取られたら意味がありません。移行前に、大元のアカウントに二段階認証を設定しておきましょう。手順は二段階認証を主要アカウントに設定する手順で解説しています。

主要サービスのパスキー設定手順

ここからは、利用者の多いサービスごとの設定手順です。メニュー名はアプリのバージョンによって多少変わることがあるため、見つからない場合は設定内の検索機能で「パスキー」と検索するのが早道です。

Google（Gmail・YouTube等）

1. スマホまたはパソコンで Googleアカウントの管理画面を開く
2. 「セキュリティ」タブを選ぶ
3. 「Googleにログインする方法」の中の「パスキー」を選ぶ
4. 「パスキーを作成する」を押し、指紋・顔・画面ロックで承認する
5. 「パスキーを作成しました」と表示されたら完了

次回のログインから、パスワード入力の代わりに生体認証の画面が出るようになります。

Apple ID（iPhone / iCloud）

iOS 17以降では、Apple IDへのサインインに自動的にパスキーが使えるようになっています。特別な作成操作は不要で、「設定」→ 一番上の自分の名前 →「サインインとセキュリティ」で状態を確認できます。iCloudキーチェーンがオンになっていることも、同じ画面系統から確認しておきましょう。

Amazon

1. アプリまたはブラウザで「アカウントサービス」を開く
2. 「ログインとセキュリティ」を選ぶ
3. 「パスキー」の項目で「設定」を押す
4. 端末の生体認証で承認して完了

買い物アカウントは不正ログインの標的になりやすいので、優先的に設定したいサービスです。

Yahoo! JAPAN

Yahoo! JAPANはパスキー対応を早くから進めてきたサービスのひとつです。ログイン画面やアカウントのセキュリティ設定から「パスキー」を選び、画面の案内に従って端末の認証を登録します。設定後はSMS認証の代わりにパスキーでのログインが基本になります。

Microsoft（Outlook / Windows）

Microsoftアカウントの「セキュリティ」設定から「サインイン方法」を開き、パスキー（顔・指紋・PIN）を追加します。Windowsパソコンを使っている方は、Windows Hello（顔認証・指紋・PIN）の設定が事実上のパスキー基盤になります。

銀行・証券などの金融サービス

金融機関もパスキーや生体認証ログインへの対応を順次進めていますが、サービスごとに方式や名称が異なります。必ず公式アプリ・公式サイトの案内に従って設定してください。「パスキー設定のご案内」を装ったフィッシングメールも想定されるため、メールのリンクからではなく、自分でアプリを開いて設定画面に進むのが鉄則です。

また、金融サービスでは「パスキー＋取引時の追加認証」のように複数の確認を組み合わせる設計が一般的です。ログインが簡単になっても送金時には別の確認が入る、という二段構えはそのまま活かしておきましょう。利便性のためにセキュリティ設定を緩める方向の変更は、金融アカウントでは避けるのが無難です。

どのサービスから移行する？優先順位の決め方

全部のサービスを一気に移行する必要はありません。むしろ一気にやろうとすると途中で疲れて挫折します。おすすめは「被害が大きい順」に3段階で進める方法です。

第1優先は「お金と本人確認に直結するアカウント」です。 Amazon・楽天などの買い物アカウント、ネット銀行・証券、そしてすべての起点になるGoogleアカウント・Apple IDがここに入ります。乗っ取られたときの実害が最も大きいグループなので、最初の週末にまとめて設定してしまいましょう。目安は5〜6サービスで30分程度です。

第2優先は「乗っ取られると周囲に迷惑がかかるアカウント」です。 LINEやX（旧Twitter）などのSNS、メールサービスがここに入ります。自分の被害だけでなく、友人へのなりすまし詐欺の踏み台にされるリスクがあるためです。対応状況はサービスによって差があるので、設定画面に「パスキー」の項目があるものから順に進めれば十分です。

第3優先は「それ以外の日常サービス」です。 動画配信、ポイントサイト、ニュースアプリなどは、対応していたら設定する、くらいの温度感で構いません。ログイン頻度の高いものから自然に切り替わっていきます。

この順番のよいところは、第1優先の数件を終えた時点で「自分のデジタル資産の本丸」が守られることです。完璧を目指して全アカウントのリストアップから始めるより、影響の大きい数件を今週中に終わらせる。これがセキュリティ対策を現実に前へ進めるコツです。

つまずきポイントと対処法｜実際にやって分かった注意点

やってみると分かるのですが、パスキーの設定自体は5分もかかりません。つまずくのはむしろ「設定したあと」です。よくあるトラブルと対処法をまとめます。

QRコード方式を覚えておくと安心

表の中に何度か出てきた「QRコード方式」は、パスキーの隠れた便利機能です。手元のスマホにパスキーがあれば、同期されていないパソコンでログインするときに、画面に表示されたQRコードをスマホで読み取って認証できます。Bluetoothがオンになっている必要がある点だけ注意してください。「スマホが認証の鍵になる」と覚えておくと、どの環境でも応用が利きます。

ただし、その分スマホの電池切れは死活問題になります。外出先でスマホの電池が切れると、ログインできない場面が出てくるため、モバイルバッテリーを1本持ち歩く習慣はパスキー時代の地味に重要な備えです。

パスワードはまだ捨てない｜併用期間の管理方法

パスキーを設定したからといって、すぐにパスワードを削除するのはおすすめしません。理由は2つあります。

1つ目は、多くのサービスでパスワードが「予備のログイン手段」として残る設計になっているからです。端末トラブル時の復旧経路として、当面はパスワードが安全網になります。2つ目は、まだパスキー非対応のサービスが残っているからです。移行は「対応サービスから順番に」が現実的です。

併用期間の管理は、次の3ルールで運用すると混乱しません。

1. パスキーを設定したサービスをメモする：パスワード管理アプリのメモ欄に「パスキー設定済み」と書いておく
2. 残るパスワードは強いものに変える：パスキー設定済みでも、予備手段のパスワードが弱ければ意味が半減します
3. ログインは常にパスキー優先：日常的にパスキーでログインする癖をつけ、フィッシングに強い動線を標準にする

なお、「ログイン画面でパスワードを聞かれた」こと自体を警戒材料にできるのもパスキー生活の利点です。普段パスキーでログインしているサービスが急にパスワードを求めてきたら、偽サイトの可能性を疑う——そんな防御感覚が自然と身につきます。

機種変更・紛失に備える｜事前にやる3つのこと

パスキー移行で一番不安なのが「スマホをなくしたら全部ログインできなくなるのでは？」という点でしょう。結論としては、事前準備さえしておけば大丈夫です。

① クラウド同期をオンにしておく。 iCloudキーチェーンやGoogleパスワードマネージャーの同期が有効なら、新しい端末にサインインするだけでパスキーも戻ってきます。逆に言えば、同期を切ってローカルだけに保存していると、端末の故障＝パスキー消失になります。

② 復旧手段を2系統用意しておく。 大元のApple ID・Googleアカウントに入るための復旧用電話番号・予備メールアドレスを最新の状態にしておきましょう。古い電話番号のままになっている方が意外と多く、ここが機種変更時の最大の落とし穴です。

③ 可能なら2台目の端末にもパスキーを置く。 タブレットや古いスマホが手元にあるなら、同じアカウントで同期しておくと、メイン端末を紛失しても2台目から復旧できます。

機種変更の当日は、「旧端末を初期化する前に、新端末でログインできることを確認する」という順番だけ守ってください。これさえ守れば、パスキー移行で詰むことはまずありません。

あわせて読みたい

• パスワード管理を1Passwordで一元化
• 二段階認証を主要アカウントに設定する手順

まとめ｜最初の一歩は「Googleアカウントで1つ作る」

パスキーは「便利になる」だけでなく、「フィッシングに引っかかりにくい仕組みに乗り換える」というセキュリティ上の大きな前進です。ポイントを振り返ります。

• パスキーは端末の生体認証でログインする仕組み。秘密情報をサービス側に預けない
• 偽サイトでは認証が動かないため、フィッシング耐性が高い
• 保存先と同期の仕組み（iCloud / Google）を先に理解しておく
• 設定後しばらくはパスワードと併用し、予備手段を残す
• 機種変更前に「同期オン」「復旧手段の更新」「新端末での動作確認」

今日やる最初の一歩はこれだけです。Googleアカウントの設定画面を開いて、パスキーを1つ作ってみる。 所要時間は5分。1つ作って「指紋だけでログインできる」体験をすれば、他のサービスへの展開は驚くほどスムーズに進むはずです。

暮らしとお金のカフェでは、生活に役立つお金の情報をやさしくお届けしています。