安全なパスキー導入を実現する身元確認手法

高度化するフィッシング攻撃の対策として有効な「パスキー（Passkeys）」について、既存Webサービスへ導入する際に生じる「登録時の身元確認の欠如」という課題と、その解決策をまとめた資料です 。パスキーは強力な当人認証手段ですが、すでに認証情報を窃取した攻撃者による不正登録（アカウント乗っ取り）を防ぐ仕組みが単体では備わっていません 。本資料では、UX（利便性）を極力損なわずにこの登録プロセスの穴を埋めるため、「サービス資産リスク」と「コンテキスト信頼度」の2軸を用いてeKYC等の要否を動的に判定する「リスクベース本人紐付けマトリクス」を提案しています 。 by Gemini3.1

Transcript

1. 安全なパスキー導入を実現する身元 確認手法 既存サービスへのeKYC適用に関する考察 情報経営イノベーション専門職大学 多田旭希 2026/3/7 1 / 11
2. 背景：高度化するフィッシングの脅威 リアルタイムフィッシングの台頭 ID/パスワードだけでなく、OTPも窃取する進化 したフィッシング攻撃。 ID/パスワード＋SMS認証やTOTP等の従来 の多要素認証では防御が困難。 攻撃の激化（フィッシング報告件数の推移） 攻撃者によるフィッシングの試行回数は年々増 加の一途をたどっている。 2025年のフィッシング報告件数は約245万件 を突破。2021年と比較すると約4.6倍に達し、 攻撃の激化が顕著である。 国内のフィッシング報告件数の推移 年 フィッシング報告件数 2021年 526,504件 2022年 968,832件 2023年 1,194,527件 2024年 1,718,036件 2025年 約2,450,000件 ※フィッシン��対策協議会 各年の「フィッシングレポート」および 「月次報告状況」のデータより筆者作成 1 / 11
3. 解決策：パスキー（Passkeys）によるフィッシング対策 パスキーは、原理的にフィッシングを防ぐ強力なパスワードレス認証規格です。 パスキーの仕組み（公開鍵暗号） 秘密鍵の非共有: サーバーには「公開鍵」のみ保存。秘密鍵はデバイスから出ない。 生体認証の活用: 指紋や顔認証などで、デバイス内で安全に署名を作成する。 なぜフィッシングに強いのか？ Originバインディング: 認証情報が正規ドメイン（URL）と暗号学的に紐づく。 偽サイトに誘導されても、ドメインが異なるため認証器自体が応答を拒否する。 圧倒的な有効性の実証 アカウント乗っ取り「ゼロ」: Googleが全社員（約8.5万人）にFIDO認証を導入した結果、フィッシング による被害が完全に無くなったと報告されている。 1 / 11
4. 研究動機：パスキーをデファクトスタンダードにするために パスキーへの期待（スマートな解決策） 「メールのリンクを安易に開かない」「必ずブックマークからアクセスする」といった、ユーザーの注意力に依存した対 策からの脱却。 トレードオフとされてきた「利便性」と「セキュリティ」を両立できる。 残された課題への着眼：登録時の「身元確認」の欠如 パスキーは強力な当人認証の手段だが、身元確認の機能は持たない。 既存のサービスでは、既に認証情報を窃取した攻撃者が、正規ユーザーになりすましてパスキーを登録できてし まう構造的な穴が存在する。 本研究の目的 既存サービス導入時に生じる「登録時の穴」を、UXを極力損なわずに埋める手法を提案し、パスキーの安全 な普及を後押しする。 1 / 11
5. 登録プロセスの対比：正規 vs 不正登録 正規ユーザーと攻撃者の動きがどのように異なるのか、視覚的に対比します。 【正規ユーザー】 1. 正常なログイン 2. 本人による登録 3. 自身のデバイスを登録 Web サービス 正規ユーザー Web サービス 正規ユーザー ID/ パスワードでログイン 登録設定へ 登録プロセス開始 自身の鍵を登録 【攻撃者（不正登録）】 1. 奪取した認証情報でのログイン 2. 攻撃者による登録 3. 攻撃者のデバイスを登録 Web サービス 攻撃者 Web サービス 攻撃者 奪取した認証情報でログイン 登録設定へ 登録プロセス開始 攻撃者の鍵を登録 1 / 11
6. 提案手法：リスクベース本人紐付けマトリクス 一律な「厳格な身元確認」の弊害 登録前に常にeKYC(オンライン本人確認)を実施すれば身元確認の不在は解決するが、UXを損ないユーザーの離脱を招く。 本研究のアプローチ 以下の2軸を組み合わせ、状況に応じてeKYCの要否を動的に判定するモデルを提案する。 サービス資産リスク：サービスの扱う資産価値 コンテキスト信頼度：登録しようとするセッションの確からしさ 資産リスク \ 信頼度 低（不審なア��セス） 高（既知の環境等） 高 (金融・行政) ゾーン 3 (厳格な身元確認) 中 (EC・SNS) ゾーン 2 (動的検証) ゾーン 2 (利便性優先) 低 (一般サイト) ゾーン 1 (利便性優先) 1 / 11
7. ゾーン 3: 高リスク帯の対策 対象: 金融や行政など、資産リスクが高いサービス 対策: JPKI（公的個人認証）や対面での厳格な 身元確認を強制。 目的: 不正アクセス時の被害極小化、および犯罪 収益移転防止法などの業界法令で義務付けられた 厳格な身元確認要件への準拠。 具体例: マイナンバーカードのICチップ読み取り等。 資産 \ 信頼度 低 高 高 ゾーン 3 (厳格な身元確認) 中 ゾーン 2 ゾーン 1 低 ゾーン 1 1 / 11
8. ゾーン 2: 中リスク帯 対象: 一般的なSNSやSaaSなど、金銭的な消費 や個人情報に関わるが、金融機関ほど厳格な法的 規制を受けないサービス。 対策: コンテキストに応じて動的に対応。 信頼度 低: 初めての場所や疑わしいアクセスの場合 はeKYC要求。 信頼度 高: 既知の端末等ならeKYCを省略。 目的: 正規ユーザーの利便性を維持しつつ攻撃を防 ぐ。 資産 \ 信頼度 低 高 中 ゾーン 2 (動的検証) ゾーン 2 (利便性優先) 高 ゾーン 3 低 ゾーン 1 1 / 11
9. ゾーン 1: 低リスク帯の対策 対象: ニュースサイトやブログなど、金銭的資産や個 人情報を保持していないサービス。 対策: UXを最優先し、事前の身元確認ではなく 「事後通知」と「不正時のロールバック」で対処。 目的: セキュリティ対策の費用対効果が合わないた め、不正登録リスクを受容可能なものとして扱う。 資産 \ 信頼度 低 高 低 ゾー��� 1 (利便性優先) 高 ゾーン 3 中 ゾーン 2 ゾーン 1 1 / 11
10. 提案モデルの有効性についての考察 動的ポリシーの応用による最適化 行政・金融分野（厳格なガイドライン準拠）と、民間サービス（UX重視）の異なる要件を1つのモデルで吸収。 リスクベース認証の考え方を応用し、セッション（コンテキスト）の信頼性が高い場合はeKYCの省略を可能とした。 UXとセキュリティのトレードオフ解消 従来の画一的な対策で生じていた「ユーザーの離脱」や「正規ユーザーの排除」を防止。 サービスの特性に合わせた、実効性と継続性のあるセキュリティ対策として機能する。 1 / 11
11. まとめと今後の展望 本研究の成果：リスクベース本人確認モデルの構築 パスキー追加導入時の「不正登録リスク」という構造的課題を明確化。 「資産リスク」と「セッションの信頼度」の2軸に基づき、検証強度を動的に最適化する手法を提案した。 本手法の意義 パスキー最大の魅力である「UX（利便性）」を損なうことなく、導入の障壁となる「登録プロセスの穴（身元 確認の欠如）」を埋める現実的なアプローチを示した。 今後の展望 既存サービスへの安全な追加導入を容易にすることで、リアルタイムフィッシングに対する切り札であるパスキー の「デファクトスタンダード化」を後押しする一助となれば幸いである。 1 / 11