パスワードレス認証とは、従来のパスワードやセキュリティーの質問、その他の知識要素を用いてユーザーの身元を確認しない認証方法です。代わりに、パスワードレス認証方式では、パスキー、物理セキュリティー・キー、生体認証など、盗難や偽造が困難なものを使用します。
パスワードは、おそらく最も一般的なユーザー認証方法です。最も弱いものでもあります。パスワードは、フィッシング攻撃やインフォスティーラー・マルウェアで盗まれ、ブルートフォース攻撃で推測され、ハッカーが1つ数ドルで販売するダークウェブから購入される可能性があります。
盗まれた認証情報を手にした脅威アクターは、正規のアカウントを乗っ取り、正当な権限を悪用し、検知を回避することができます。なぜなら、彼らのアクティビティは正規ユーザーのアクティビティのように見えるからです。IBM X-Force脅威インテリジェンス·インデックス2025によると、有効なアカウントの盗難は、X-Forceが分析したサイバー攻撃の32%で、最初のアクセス経路として最も一般的なものの 1 つでした。
他の知識要素、つまりユーザーが知っている秘密に依存する認証要素にも、同じ弱点があります。初めて飼ったペットの名前や幼馴染の名前など、よくあるセキュリティー質問への答えは、ソーシャルエンジニアリングや簡単なソーシャルメディアの監視によって、容易に突き止められる可能性があります。
名前に「パスワード」が含まれていますが、パスワードレス認証では、セキュリティー質問を含むすべての知識要素が排除されます。パスワードレス方式では、これらの知識要素をハードウェア・トークン、暗号化パスキー、指紋、顔スキャン、認証アプリなどに置き換えます。
これらのパスワードレス認証要素は、知識要素よりもはるかに安全であると考えられています。簡単に盗まれたり偽造されたりすることがないため、現在最も蔓延しているサイバー脅威の一部にも耐性があります。たとえば、サイバー犯罪者はフィッシング・リンクを通じてパスキーを盗んだり、高度に洗練されたテクノロジーがなしで偽の指紋を作成したりすることはできません。
AI、サイバーセキュリティ、データ、自動化に関する厳選されたニュースをThinkニュースレターで購読しているセキュリティリーダーに加わりましょう。専門家によるチュートリアルと解説をメールで直接配信することで、手軽に学ぶことができます。IBMプライバシー・ステートメントをご覧ください。
パスワードレス認証は、認証プロセスにおける知識要素を、知識ベースではない代替手段に置き換えることで機能します。したがって、パスワードを要求する代わりに、パスワードレスのログイン・プロセスでは、ユーザーにマジック・リンクのクリックや、プッシュ通知のタップが求められる場合があります。
パスワードレス認証のロジックを完全に理解するには、まず認証の一般的な仕組みを理解するのがよいでしょう。
一般的な認証プロセスでは、ユーザーは、自分が本人であることを証明する証拠を提供することで、自分の身元を証明します。この証拠は「認証要素」と呼ばれ、通常は次の4つのカテゴリーのいずれかに分類されます。
知識要素：パスワードやセキュリティー質問への回答など、ユーザーが知っていること。
所有要素：ユーザーが所有しているもの。例えば、個人のスマートフォンで生成されたワンタイムパスワードや秘密暗号鍵など。
固有要素：ユーザー自身に備わっているもので、一般的には指紋、顔、網膜スキャンなどの生体認証を指します。
行動要素：ユーザーが行う行動、例えば独自のタイピングパターンやマウス操作など。
パスワードレス認証ソリューションでは、所有要素、遺伝要素、行動要素のみを使用します。具体的には、一般的なパスワードの代替手段には次のようなものがあります。
パスキーは公開鍵暗号に基づいており、通常はFIDOまたはFIDO2として知られる一連の標準に従って実装されます。
パスキーは、暗号鍵ペアを生成することで機能します。このペアとは、ユーザーが登録するサービスと共有される公開鍵と、ユーザーのデバイス（例：個人のスマートフォン）に保存される秘密鍵のことです。秘密鍵がサービスと共有されることは決してありません。さらに、秘密鍵はPINまたは生体認証チャレンジの背後にロックされています。
（FIDO標準は、ハードウェア・セキュリティー・キーもサポートしています。詳細については、「ハードウェア・トークン」を参照してください。）
パスキーを使用すると、認証フローは次のように機能します。
いくつかの理由で、パスキーはパスワードよりもはるかに安全であると考えられています。秘密鍵はユーザーのデバイスから離れることはないため、傍受されることはありません。攻撃者が秘密鍵を含むデバイスを盗んだ場合でも、キーを使用するためには、PINを入力するか、生体認証のチャレンジに合格する必要があります。
IBMのマスター・イベンターであり著名なエンジニアであるJeff Crumeは、IBM Security Intelligenceポッドキャストのあるエピソードで次のように述べています。
「2025年版IBMデータ侵害のコストに関する調査」によると、データ侵害の最大の原因はフィッシングです。フィッシングは何を狙っているのでしょうか。あなたの認証情報を狙っています。では、考えてみてください。パスワードがなければ、誰もあなたから認証情報を盗むことはできません。パスキーがあれば、話はずっと難しくなります。
生体認証はユーザーの身体的特徴に依存します。網膜スキャン、顔認識テクノロジー、指紋スキャンは、最も一般的な生体認証形式の一部です。
生体認証要素は、簡単に盗んだり偽造したりすることができないため、安全であると考えられています。また、ユーザーは生体認証情報を入力するために特別なことをする必要がなく、カメラを見たり、画面に親指を押し当てるだけで済むため、ユーザーフレンドリーであるとも考えられています。
欠点は、非常にまれなことですが、生体認証が盗まれる可能性があることです。例えば、2024年には、ハッカーがOutaboxというオーストラリアの企業から顔認識データを盗み出しました。また、生体認証は盗まれたとしても、パスワードのようにリセットすることはできません。指紋や網膜パターンを変えることはできないのです。
名前が示すように、ワンタイム・パスワード（OTP）は使い捨てのパスワードで、通常は短期間しか有効ではなく、既存の認証情報に代わるものです。ユーザーがサービスにログインする必要があるたびに、新しいOTPが生成されます。
OTPは複数の方法で生成できます。最も一般的な方法には、次のようなものがあります。
OTPは、長期間有効な秘密ではないため、知識要素とはみなされません。OTPは所有要素です。個人を認証するのはOTPの知識ではなく、OTPを生成した登録済みの認証アプリ、電話番号、またはセキュリティー・キーの所有権です。
OTPは通常、1回の使用または一定期間が経過すると期限切れとなるため、盗難または傍受された場合、その価値は制限されます。しかし、インフォスティーラーや中間者（MitM）攻撃などの巧妙な手段で盗まれることもあります。
セキュリティー・キーとも呼ばれるハードウェア・トークンは、認証情報を格納または生成する専用デバイスで、多くの場合はUSBドングルの形式をとっています。
一部のハードウェア・トークンはOTPを使用します。認証アプリのように、新しいOTPを定期的に作成するか、ユーザーがボタンを押したときにオンデマンドでOTPを生成します。その他のトークンは、デバイスに接続すると、認証情報をサービスに自動的に送信します。
ハードウェア・トークンはインターネットにまったく接続されていないことが多く、使用には物理的にトークンを所有している必要があるため、強力であると考えられています。
とはいえ、セキュリティー・キーは紛失したり盗まれたりする可能性があります。サービスのすべての従業員またはユーザーにキーを発行すると、コストがかかり、物流面のコストが法外なものになる可能性があります。
マジック・リンクは、認証トークンを含む特別なリンクです。
まず、ユーザーはEメール・アカウントまたは電話番号をサービスに登録します。そして、ログイン時にマジック・リンクをリクエストします。サービスは、登録されたEメールまたはモバイル・デバイスにリンクを送信します。ユーザーがクリックすると、アクセスしたいサービスに移動し、完全に認証されてログインします。
マジック・リンクは一種の所有要素ですが、ユーザーの身元を証明するのはリンク自体の所有ではありません。むしろ、以前に登録したEメール・アカウントまたは電話番号の所有です。
OTPと同様に、マジック・リンクは短期間しか有効ではなく、1回使用すると自動的に期限切れになります。
しかし、攻撃者がユーザーのEメールの受信トレイや電話番号にアクセスした場合、マジック・リンクは簡単に悪用されてしまいます。攻撃者は、突破したいサービスに移動し、リンクを要求するだけで侵入できます。
このメソッドはマジック・リンクとやや似ており、ユーザーがサービスにログインしようとすると、以前に登録したモバイル・デバイスにプッシュ通知を送信します。ユーザーがアクセスするには、プッシュ通知の「承認」（またはそれに相当するもの）をタップする必要があります。
プッシュ通知はもう1つの所有要素です。タップする操作により、ユーザーが登録されたデバイスを所有していることが確認され、確認が行われます。
プッシュ通知は便利で概ね安全ですが、「プッシュ通知フラッド」（「MFA 疲労」、「MFA ボンディング」、「プロンプト・スパム」とも呼ばれます）と呼ばれる攻撃の影響を受けやすくなります。
この攻撃では、脅威アクターは侵入したいサービスに移動し、ターゲットのユーザーIDを入力し、プッシュ通知による認証を繰り返し要求します。ターゲットのデバイスに突然大量の通知が届くのは、デバイスが圧倒され、被害者が偶然に1つの通知を承認するか、ただ停止させるために意図的に承認することを意図しています。その承認があれば、ハッカーはユーザーのアカウントに侵入できます。
QRベースのログインにはQRコードが表示されます。ユーザーは通常、認証アプリまたはアクセスしているサービスに固有のアプリを使用してコードをスキャンして、ログインします。
ここでの基本メカニズムはセッション転送です。たとえば、ユーザーがQRコードを使用してノートPCでウェブサイトにログインしたいとします。
攻撃者がQRコードを取得したとしても、ユーザーの事前認証されたデバイスがなければ、多くのことはできません。とはいえ、仮定として攻撃者はユーザーの電話セッションを乗っ取り、アカウントに侵入することができます。
QRベース認証は、QRフィッシングまたはQRジャッキングとも呼ばれるクイッシングの影響を受けやすく、攻撃者は被害者に偽のQRコードを提示し、スキャンされると正規のセッションではなく攻撃者が管理したセッションを承認します。
行動要素は、ユーザーの典型的なIPアドレス範囲、普段いる場所、平均的なタイピング速度などの行動パターンに基づいてユーザーの身元を確認するデジタル・アーティファクトです。
これらの要素は、それだけで十分な身元証明の証拠として使用されることはほとんどありません。これらは、ユーザーのセキュリティー体制を継続的に評価し、リスクレベルに基づいて動的に認証要件を決定するリスクベースの認証スキームの一部として、より一般的に用いられます。
例えば、ユーザーが通常のデバイスから通常の時間にログインする場合、指定する認証要素は1つだけの場合があります。同じユーザーが新しいデバイスや馴染みのない場所からログインする場合は、追加の要素を指定する必要がある場合があります。
クラウド・サービス、人工知能、機械学習の台頭により、近年平均的な企業ネットワークで活動する非人間アイデンティティ（NHI）の数は劇的に増加しています。AIエージェントがますます高度なオートメーションを可能にするにつれ、NHIの権限管理と認証情報の保護は、サイバーセキュリティー・チームにとって重要な課題となっています。
非人間のアカウントも、人間のものと同じように乗っ取ることができます。これらのシステムは、多くの場合、高い権限（最も機密性の高い企業データベースを読み取ることができるバックアップ・プロセスなど）を持ち、認証に単一の認証情報を使用しているため、魅力的であると同時に、潜在的に脆弱な標的となります。
NHIは人間と同じようにパスワードを使用するわけではありませんが、多くの場合、パスワードと同様に盗難、偽造、または解読できる証明書やトークンに依存しています。
人間のユーザーのパスワードレス認証は、盗まれたり偽造されたりしやすい長期の認証情報を削除することを目的としています。組織はセキュリティーのライフサイクル管理プロセスで見られるように、ジャストインタイム・アクセスと認証情報の保管を組み合わせることで、NHIにも同様のメリットが得られます。
セキュリティー・ライフサイクル管理は、NHI認証情報の作成、ローテーション、安全なストレージを自動化し、永続的なハードコード化された機密を、中央の安全な保管領域に保管される一時的なまたはジャストインタイムの認証情報に置き換えます。保管領域は暗号化と強力な認証手段によって保護されており、許可されたユーザーのみが必要なときにこれらの認証情報にアクセスできるようになります。
HashiCorp社の現地CTOであるJake Lundberg氏は、Security Intelligenceのエピソードで、超一時的なNHI認証情報に関するビジョンを次のように述べました。
最良のシナリオは、セッションベースの認証情報に移行することです。セッションが終了すると、ジャストインタイムの認証情報が得られます。セッションが中止されるとすぐに、私はそれらの認証情報を破棄します。そのため、セッションが終了すると、たとえそのセッションが5分間しかなかったとしても、システムから認証情報を削除します。
SPIFFE/SPIREなどのワークロード識別仕様は、NHI識別子を暗号学的に検証可能なランタイム属性に結びつけることができます。これらのフレームワークにより、ワークロードが実行されている場所と方法に基づいて確認できるようになり、NHIはパスワードやAPIキーを使用せずに認証できるようになります。
パスワードレスログインは、単一認証（1つの非知識要素を要する）または多要素認証（MFA）（2つ以上の非知識要素を擁する）として実装されます。パスワードレスMFAは、通常パスワードを最初の認証要素として使用する標準的なMFAや二要素認証（2FA）よりも安全性が高いと考えられています。
（パスワードとその他の非知識要素の両方を要求するMFA実装は、依然としてパスワードが含まれるため、パスワードレスではありません。真のパスワードレスログインのためには、関連するすべての要素が非知識要素である必要があります。）
すべてのアプリが完全にパスワードレスのオプションをネイティブにサポートしているわけではありません。企業ネットワーク全体でパスワードレス認証を実装するために、組織はしばしばIDオーケストレーション・プラットフォームを使用します。これらのツールは、複数のIDプロバイダーの異なるIDおよびアクセス管理（IAM）システムを、単一の摩擦のないIDワークフローで包括的なIDファブリックに結びつけ、調整します。IDオーケストレーションは、多くのシングル・サインオン（SSO）システムの背後にある技術です。
基本的に、IDオーケストレーションは、代わりに個々のサービスのログイン・リクエストを集中プロセスを通じてルーティングすることで機能し、多くのIDオーケストレーション・プラットフォームは、一元化したパスワードレス認証プロセスをサポートしています。したがって、技術スタック内の個々のアプリやサービスがサポートしていなくても、企業全体のパスワードレス化が可能です。
パスワードベースの認証は、長い間、ユーザーの身元を確認するためのデフォルトの方法でした。残念ながら、安全性が最も低いものでもあります。パスワードレス方式では、最新のネットワークの最も弱いリンクの1つを削除でき、企業の攻撃対象領域で広く悪用されているギャップを埋めることができます。
パスワードは、フィッシングなどのソーシャル・エンジニアリング攻撃や、スパイウェアやインフォスティーラーなどのマルウェアによって簡単に盗まれます。パスワードは、ヘルプデスク攻撃にも特に脆弱です。ヘルプデスク攻撃とは、悪意のある攻撃者がパスワードのリセットを必要とするユーザーや従業員になりすましてヘルプデスクに電話をかけるソーシャル・エンジニアリング詐欺です。これらの攻撃は非常に高い効果を上げるため、ますます一般的になっています。IBM X-Force の元Chief People Hackerである Stephanie Carruthers がかつて述べたように：
私たちはクライアント向けにソーシャルエンジニアリング・キャンペーンを行っています。その目的は、ヘルプデスクに電話して、従業員になりすましてパスワードをリセットできるのかどうか検証することです。これまでのところ、私たちは毎回成功を収めてきました。
人々は多くの場合、攻撃者がブルートフォース攻撃や辞書攻撃（つまり、機能するまで一般的なパスワードを試す）によって解読できる弱いパスワードを使用しています。人々はまた、複数のサービスでパスワードを再利用しており、クレデンシャル・スタッフィングを可能にしています。攻撃者が1つのサービスのパスワードを取得すると、他のサービスのパスワードも試すことができます。
サービスごとに推測されにくい異なるパスワードを使用するなど、パスワード管理のベスト・プラクティスに従っていても、問題は発生します。人々が所有するアカウントの数を考えると、これらのパスワードを忘れがちです。APIキーなどのNHI認証情報は、アプリにハードコードされたままになったり、共有ドライブにプレーンテキストのまま保護されずに保存されたりする可能性があります。
パスワード管理ツールは、こうしたパスワード・ハイジーンの課題を解決するために生まれましたが、それぞれに独自の脆弱性があります。その理由は、ほとんどのパスワード・マネージャーがマスター・パスワードによって保護されており、そのマスター・パスワード自体が盗まれる可能性があるためです。つまり、ハッカーは保存されたパスワードを適切な手段で盗むことができます。
NHIの普及も、パスワードレス認証の優先事項となる一因となっています。
アプリケーション、システム・プロセス、その他の非人間ユーザーは従来のパスワードを持っていませんが、OAuthトークン、APIキー、証明書、その他のシークレットを使用して認証を行います。AIエージェントは、従来の人間と非人間の機能の境界線にまたがり、自動化されたタスクを実行するために人間のユーザーの認証情報を「借用」する場合もあります。これらすべてのシークレットは、パスワードと同じように盗まれたり悪用されたりする可能性があります。
従来のIAMシステムはNHIのシークレット管理を目的として設計されておらず、アイデンティティー・セキュリティーのギャップを生み出していました。
IDおよびセキュリティーの専門家は、かなり前からこれらのプレッシャーを認識していました。しかし、テクノロジーがようやく追いついてきたことで、パスワードレスのアプローチが勢いを増しています。スマートフォンを使用すると、日常のユーザーは生体認証や時間ベースのワンタイム・パスワードを採用することが容易になります。FIDO標準と基盤となるWebAuthnおよびCTAP2プロトコルの開発により、パスキーベースの認証がWebサイトやWebアプリで広く利用できるようになりました。また、新しいセキュリティー・ライフサイクル管理ツールにより、組織はNHIの認証情報の作成、ローテーション、保管、およびアクセス管理を自動化できます。
パスワードレス認証は、パスワード・ベースのアプローチよりも安全で便利であると広く考えられています。欠点は主に、そもそもパスワードレス認証を導入する際の複雑さやコストにあります。
フィッシングはデータ侵害の主な原因の1つであり、IBMの「データ侵害のコストに関する調査」で分析された侵害の16%を占めています。ほとんどのフィッシング攻撃の目的は、ユーザーの認証情報（通常はパスワード）を盗むことです。
パスワードレス認証は、パスワードを簡単には盗まれないフィッシング耐性のある認証情報に置き換えることで、データ・セキュリティーに対する最大の脅威の1つを防ぐことができます。
パスワードレス認証情報は、インフォスティーラーやスパイウェアなどの一般的なマルウェアに対する防御も強化できます。例えば、パスキーは送信されたり入力されたりすることがなく、OTPも読み取られる可能性はありますが、一度使用すると無効になります。
パスワードがサイバーセキュリティーの重大な弱点となる理由の一つは、多くのユーザーがパスワード管理に関する確立されたベスト・プラクティスに従っていないことである。パスワードレス認証の最も魅力的なユースケースの1つは、パスワード・ハイジーンの問題を完全に解消できることです。
ユーザーは、パスワードを思い付く必要がまったくないため、サービスごとに一意で複雑なパスワードを設定する必要はありません。パスワードが不要になることでユーザー・エクスペリエンスも向上し、パスワードレス認証はセキュリティーと使いやすさを両立できる数少ない例の1つになります。
ほとんどの組織では、パスワードを忘れると、ITヘルプデスクに連絡することになります。これらの通話はコストがかかり、IT担当者がより価値のある仕事に集中できなくなり、従業員のワークフローも中断されます。また、前述のように、ヘルプデスクへの問い合わせは脅威アクターにとって有力な攻撃経路にもなります。
パスワードレス認証では、パスワードのリセットが不要なので、ヘルプデスクへの問い合わせを減らし、ITサポートにかかる費用を削減し、危険な脅威ベクトルを軽減できます。
盗まれた認証情報は、ネットワークへの主要な侵入経路の1つであることに加え、ハッカーが侵入した場合の最大の標的でもあります。最新の IBM X-Force 脅威インテリジェンス·インデックスによると、分析対象となった攻撃のうち最も多く確認された影響は認証情報の窃取であり、全体の26%を占めていました。
攻撃者はこれらの認証情報を入手すると、ラテラル・ムーブメントや権限昇格に利用したり、ダークウェブで他の攻撃者に販売したりします。いずれにせよ、パスワードの盗難は大きな被害につながります。
パスワードレス認証情報は、そもそも盗まれにくいだけでなく、盗まれたとしても利用価値が低い、あるいはまったく売り物になりません。例えば、サービスにはパスキーが保管されていないため、サービスに侵入してパスキーを盗むことはできません。各パスキーは個々のユーザーのデバイスに保存されます。すでに期限が切れたOTPの代金を支払う人はいません。
こうした利点がある一方で、パスワードレス認証にも、導入の複雑さ、紛失または盗難された認証情報の復旧の難しさ、パスワードレス・ログイン特有のサイバー攻撃などの課題があります。
一般的な企業ネットワークには、オンプレミスとクラウド・ベースのアプリや資産が混在しており、ベンダーも複数あり、アクセス管理システムもそれぞれ若干異なり、必ずしもパスワードレス認証をサポートしているとは限りません。
また、一部の専門家は、バイブコーディングによって生成される一時的なソフトウェアが企業ネットワークで今後さらに普及し、それに伴って、より多様なIAMシステムが導入されるようになると予測しています。
多くの組織では、パスワードレス認証を導入する前に、まずすべてのリソースを共通のIDワークフローで統合するIDファブリックを構築する必要があります。包括的なIDファブリックは、現在ではアイデンティティー・セキュリティーのベスト・プラクティスと考えられていますが、その構築には時間、コスト、ツール、そして専門知識が必要です。
パスワードレス認証プロセスへのユーザーの登録は、組織がサポートしたい種類の認証情報によっては課題をもたらす可能性もあります。パスキーや認証アプリケーションは比較的単純ですが、ハードウェア・セキュリティー・キーや生体認証はより複雑になる可能性があります。
パスワードレス認証要素は、リセットが必要になることはほとんどありません。しかし、そうなると、プロセスが困難になる場合があります。
たとえば、ハードウェアキーを紛失した場合、交換には費用がかかり、ユーザーに物理的に配布する必要があります。盗まれた生体認証は変更できません。認証アプリを含むスマートフォンの紛失や盗難は、脅威アクターにユーザーのデジタル・ライフ全体へのアクセスを与える可能性があります。
パスワードレス認証方式は解読が困難ですが、特定の高度な攻撃に対しては脆弱です。
たとえば、高度な中間者攻撃（Man-in-the-Middle攻撃）では、OTPが正規のWebサイトに入力される前、かつ有効期限が切れる前に傍受される可能性があり、その結果、攻撃者が正規のユーザーより先にOTPを使用できるようになります。SIMスワッピング方式（詐欺師が被害者を装い、通信プロバイダーに自分の番号を詐欺師が管理する電話に転送するよう仕向ける）は、攻撃者にOTP、プッシュ通知、マジック・リンク、その他の一般的な認証要素を傍受する手段を与える可能性があります。