はじめに

日々の業務で多くの機密情報や依頼者の個人情報を取り扱う法律事務所にとって、システムのセキュリティ対策は最大の経営課題の一つです。 「パスワードを複雑にしているから大丈夫」 そう思っていませんか？ 実は、従来のパスワード管理だけでは防げない巧妙なサイバー犯罪が急増しています。 今回は、近年スタンダードになりつつある最新の安全なログイン方式「パスキー（Passkey）認証」について、その背景にある「二段階認証」や「フィッシング詐欺」の仕組みを交えて分かりやすく解説します。

パスワード認証の限界

インターネットを利用する際、いまだに多くのサービスで使われているのが「ID」と「パスワード」によるログイン方法です。 安全性を高めるために、私たちは長年以下のような面倒なルールを守るよう求められてきました。

• パスワードは複雑にする（大文字・小文字・数字・記号を混ぜる）
• 他のサイトで使い回さない（サービスごとに全て違うものにする）
• 定期的に変更する（数ヶ月に一度、強制的に変える）

しかし、ユーザーがこれだけ苦労してルールを守っていても、従来のパスワード認証では「パスワードを盗まれたら一発で終わり」という根本的な限界があります。 事実、以下のような手口でパスワードは日々狙われています。

• 使い回しの隙を突く「リスト型攻撃」 どこか別のマイナーなサイトから漏洩したIDとパスワードを使い、犯人が重要システムに片っ端からログインを試みる手口。
• 力技で見破る「総当たり攻撃」 コンピューターを使い、あり得る文字列を猛スピードで何万回も試して割り出す手口。
• アナログな「紛失・盗み見」 覚えきれずに書いた付箋や手帳を紛失したり、外出先のカフェで入力画面を後ろから盗み見られたりする手口。
• 本物そっくりの偽画面で盗む「フィッシング詐欺」 実在する銀行やWebサービスを装った偽のログイン画面（コピーサイト）を作り、そこに言葉巧みに誘導して、ユーザー自身にパスワードを入力させて盗み取る手口。

このように、人間の運用の努力だけでは大切なデータを守りきれなくなってきたため、万が一パスワードが漏れても本人になりすませない仕組みとして「二段階認証」が生まれました。

二段階認証とは？

二段階認証とは、「パスワードなどの本人の知っている情報」と、「スマートフォンなどの本人の所持しているモノ」、その両方が揃わないとログインできないようにする仕組みです。 例えるなら、金庫を開ける際、「金庫の番号（知っている情報）」を知っているだけでなく、「本人が持っている物理的な鍵（所持しているモノ）」も同時に必要にするようなイメージです。 万が一、金庫の番号が外部に漏れても、本物の鍵が手元になければ金庫を開けられるリスクを大幅に減らすことができます。 インターネットサービスにおいては、IDとパスワードを入力した後に、サービスごとに用意された以下のような「2つ目のステップ」のどれかをクリアすることを求められます。

• 【認証アプリ方式】Google Authenticatorなどに表示される、数十秒ごとに変わる使い捨てのコードの入力
• 【確認コード方式】手元のスマートフォンにSMSやメールで届くコードの入力
• 【プッシュ通知方式】スマートフォンの画面に表示される「はい、私です」というボタンのタップ

パスワードなどのデータを盗むのが得意なサイバー犯罪者であっても、手元に持っている「スマートフォンそのもの」を物理的に盗み取ることは極めて困難です。 そのため、二段階認証を導入することで、不正アクセスのリスクを劇的に下げることができます。 これまで、多くの銀行や主要なクラウドサービスでは、この二段階認証が安全なログインの「決定版」として広く導入されてきました。 しかし、この二段階認証すらも突破してしまう新たな手口が横行するようになります。

二段階認証の限界

二段階認証によってセキュリティは強固になりましたが、犯罪者側もさらに巧妙な手口を生み出しました。それが、先ほど触れたフィッシング詐欺の「進化系」です。 従来のフィッシング詐欺はパスワードを盗むだけでしたが、現在の巧妙なフィッシング詐欺は、パスワードと一緒に「二段階認証のコードや承認」までリアルタイムに盗み取ります。 「セキュリティ上の確認が必要です」「不審なアクセスがあったため、至急ログインして確認してください」といった緊急性を煽るメールで偽のログイン画面に誘導されるまでは従来のフィッシング詐欺と同じですが、ユーザーがそこにIDとパスワードを入力すると、偽サイトの裏で待機している犯罪者のシステムが、本物のサイトにその情報を一瞬で転送します。 ここからの動きは、設定している二段階認証の方式によって異なりますが、すべてリアルタイムに行われます。

• 【確認コード方式】 犯人の情報転送によって本物のサイトからユーザーのスマートフォンへ確認コードが届きます。ユーザーがそれを「自分がログインするため」と思い込んで偽画面に入力してしまうと、そのコードが犯人に筒抜けになり、一瞬でログインされます。
• 【認証アプリ方式】 ユーザーが「いつも通りログインするから」と、アプリに表示されている数十秒間だけ有効なコードを偽画面に入力した瞬間、犯人のシステムがそのコードを本物のサイトへ一瞬で転送してログインを完了させます。
• 【プッシュ通知方式】 犯人が情報を転送した瞬間に、ユーザーの画面に「はい、私です」という通知が届きます。ユーザーは自分が偽画面を操作している最中なので、何の疑いもなくボタンをタップしてしまい、結果的に犯人のログインを承認することになります。

ここで恐ろしいのは、「どれだけ複雑なパスワードを設定していても、どの二段階認証を設定していても、ユーザー自身が偽画面で操作してしまえば防げない」という点です。 人間心理の隙を突くため、ITリテラシーに関わらず誰もが被害に遭うリスクがあります。 もちろん、こうしたフィッシング詐欺を防ぐ方法はいくつか存在します。

• アドレスバーを見て、URL（Webサイトの住所）が本物かどうか厳密に確認する
• 通信が暗号化されているか、SSLの証明書（鍵マーク）が正しいかを確認する
• そもそもメールやSMSのリンクからログインせず、あらかじめ登録した「ブックマーク（お気に入り）」からのみアクセスする

しかし、これらの確認を「アクセスするたびに毎回、1回も怠らずに実行する」のは、かつての面倒なパスワードのルールを守るよりもはるかに大変で、現実的ではありません。 業務に追われて急いでいる時や、スマートフォンなどの小さな画面で操作している時は、どうしても確認が漏れてしまうものです。 「人間の注意力を高めて対策する」という方法には、どうしても限界があるのです。 こういった「偽画面への入力による情報流出」を根本的に不可能にするために開発されたのが、最新技術である「パスキー認証」です。

パスキー認証とは？

一言でいうと、パスキーとは「あなたがお使いのスマートフォンやパソコンの中に、そのサイト専用の『デジタルな実印』を作る仕組み」です。 これまでのパスワード認証は、お互いに「同じキーワード（合言葉）」を覚えておく仕組みだったため、合言葉を盗まれたり、偽サイトに教えてしまったりすると終わりでした。 一方、パスキー認証では、そもそもパスワードを使いません。 サービスの最初の登録から、次回以降のログインまでは以下のような仕組みで動いています。

【最初の登録時】

• スマートフォンの中に「実印」を作る 最初にサービスの利用登録をする際、あなたがお使いのスマートフォンやパソコンに、そのサイト専用の「デジタルな実印（秘密鍵）」が安全に作成されます。
• サイト側には「印鑑証明」を預ける ログイン先のサイトには、実印の印影にあたる「印鑑証明（公開鍵）」だけが登録されます。

【次回以降のログイン時】

1. システムによる「URLの自動チェック」 ログイン画面を開くと、スマートフォンのシステムが、そのWebサイトの「URL（アドレス）」を自動で厳密にチェックします。
2. 顔や指紋による「本人確認」 URLが本物だと確認された後、スマートフォンが顔認証（Face ID）や指紋認証（Touch ID）を求めてきます。これは、「今スマホを操作しているのは、実印の持ち主である本人」であることを確認するためです。 本人であることが確認されれば、手元の実印が使われ、その「印影（電子署名）」が作成されてサイト側に送られます。 このとき、あなたの顔や指紋のデータ自体が、インターネットを通じてサイト側に送られることは一切ありません。
3. サイト側での「印影のチェック」 送られてきた印影を受け取ったサイト側は、あらかじめ登録されている「印鑑証明」と照合します。印影が一致することが確認できれば、ログインが許可されます。

つまり、ログインのたびにあなたがやっていることは、「システムが本物と確認したサイトに対して、スマホに顔や指紋をかざしてデジタル実印をポンと押しているだけ」なのです。 この「デジタル実印」の仕組みがあるからこそ、どれだけ巧妙に進化したフィッシング詐欺であっても100%防ぐことができます。理由は大きく分けて2つあります。

① 偽サイトには「絶対に実印を押せない」から

パスキー認証の最初のステップである「URLの自動チェック」が極めて強力に働きます。 パソコンやスマートフォンは、あらかじめ登録された本物のURL以外には、絶対に実印（パスキー）を使えないようにガチガチにロックされています。 人間がどれだけ本物そっくりの偽画面に騙されて、ログインしようと顔認証や指紋認証を構えても、システム側が「ここはURLが違う偽サイトだ」と瞬時に見抜きます。そのため、画面に生体認証の要求すら出てこず、実印が押される（印影が作られる）こと自体がありません。

② 犯人が盗める「文字の情報」がそもそも存在しないから

従来のフィッシング詐欺は、人間が画面に入力した「パスワード」や「二段階認証の確認コード」という「文字の情報」を盗み取る手口でした。これらは一度盗まれてしまえば、犯人が後から何度でも悪用できてしまいます。 しかし、パスキー認証で送られるデジタルな印影は、現実のハンコとは異なり、「ログインするその瞬間の日時や、アクセスしているサイトの情報が自動で練り込まれた、1回限りの使い捨ての印影」です。 仮に犯人が偽サイトを使ってその印影を盗み出したとしても、その印影には「偽サイトのデータ」や「過去の時刻」が刻印されてしまっているため、本物のサイトに持って行っても「この印影は無効です」と一瞬で拒絶されます。パスワードのように「盗んで後から使い回す」ということが、技術的に絶対にできない仕組みになっています。 ユーザー自身すらパスワードを知らない（そもそも存在しない）上に、送られるデータも使い捨てのため、犯人側は盗めるものが何一つないのです。

パスキー認証の弱点

このように、フィッシング詐欺に対しては無類の強さを誇るパスキーですが、決して「100%万能で、何の注意もいらない」というわけではありません。 唯一とも言える弱点があります。 それは、「スマートフォンやパソコンなどの端末そのものを紛失し、さらにその端末のロックが『誰でも開けられる簡単な数字（1111など）』になっていた場合」です。 パスキーでログインする際、デバイスは必ず顔認証（Face ID）や指紋認証（Touch ID）を求めてきます。これは「本人の体」がないと絶対に突破できないため、生体認証をしっかり設定してある端末であれば、万が一どこかに落としたり盗まれたりしても、他人に悪用される心配はまずありません。 しかし、もし生体認証がうまく反応しなかったときの予備として、画面ロック解除用のパスコード（数字）を「1111」や「1234」のような誰でも破れるものに設定していた場合、端末を拾った悪意ある第三者にロックを突破され、デジタル実印を使われてしまう恐れがあります。 そのため、パスキーを利用するにあたっては、「生体認証を必ず設定すること」と「予備のパスコードを推測されにくいものにしておくこと」が、唯一にして最大の注意点となります。 「少しでもリスクがあるなら、やっぱり危ないのでは？」と思われるかもしれません。しかし、実務におけるリスクの確率を天秤にかけると、話は変わってきます。

• 端末のロックを突破されて悪用される確率 生体認証を設定し、予備のパスコードを複雑にしておけば、物理的に盗まれても突破される確率はほぼゼロに抑えられます。
• フィッシング詐欺に遭遇する確率 毎日大量に送られてくる迷惑メールや、業務の隙を突く巧妙な手口により、どれだけ注意していても、誰もがいつでも騙されてしまう高確率なリスクです。

つまり、人間の注意力だけでは対策が不可能な「巧妙なフィッシング詐欺」に日々怯えるよりも、手元のスマートフォンの設定だけで確実にリスクをゼロにできる「端末の管理（生体認証とパスコード）」に集中する方が、セキュリティリスクは圧倒的に低くなります。

「Armana」はパスキー認証対応

弁護士の先生方が扱うデータは、一瞬の漏洩も許されない極めて機密性の高いものです。 事件管理・顧客管理を円滑に行うプラットフォーム「Armana（アルマナ）」では、先生方の大切なデータと依頼者のプライバシーを守るため、パスキー認証に対応しています。 面倒なパスワード管理の手間をなくし、かつ、現在考えられる最高峰のセキュリティ環境をボタン一つで実現できます。 安全でストレスのない事務所経営のために、ぜひArmanaのパスキー認証機能をご活用ください。