Microsoft

Microsoft、パスキー全面移行へパスワードと決別

Microsoftが「パスワードはもはや十分ではない」と踏み込んだ。AIを使った大量フィッシング、ヘルプデスクを狙う本人なりすまし、ディープフェイク。攻撃者の道具立てが変わった以上、防御もパスワードのまま留まるわけにはいかない、というのが今回の論調だ。

情報の灯台

2026年5月8日 23:0800

「パスワードでは守りきれない」というMicrosoftの立場

5月7日、World Passkey Dayに合わせてMicrosoftがパスキー戦略をまとめたブログを公開した。執筆はセキュリティ担当のヴァス・ジャッカル(Vasu Jakkal)氏と、ID・ネットワークアクセス担当のナディム・アブド(Nadim Abdo)氏。両氏ともMicrosoftのコーポレートバイスプレジデントだ。要点は「パスワードを強化する時代は終わった。パスワード自体を取り除く段階に入った」というものだ。

これまでもMicrosoftはパスキー推進を続けてきたから、姿勢自体は新しくない。新しいのは、パスワードや「いざという時の」リセット用セキュリティ質問を、改善対象ではなく取り除くべき攻撃面として明確に位置づけた点にある。「もう一段の強化」ではなく「弱い選択肢を残さない」方向に舵を切った。

その背景には、AI時代の攻撃の質的変化がある。Microsoftは自社の脅威レポートを引いて、AIを使ったフィッシングのクリック率が最大54%に達していると指摘した。一昔前のフィッシングメールはタイポと不自然な日本語で見抜けたが、生成AIが書く誘導文はもうそういうスキを残さない。守る側にとって、これは戦い方そのものを変える話だ。

「侵入の入り口を強化することと、弱い入り口を完全に塞ぐことは違う。AI時代の認証戦略は、後者でなければ成立しない」。これが、今回のメッセージの核心だ。

50億パスキー、しかし「ゴールではない」

数字も揃ってきた。FIDOアライアンスは、World Passkey Day 2026に合わせて公開した「State of Passkeys 2026」レポートで、世界のパスキー利用数が50億に到達したと推定している。Sapio Researchが10カ国・1万1000人の消費者と1400人の企業意思決定者に行った調査では、パスキーの認知率は90%、いずれかのアカウントでパスキーを有効化したと答えた人は75%、企業の68%がパスキーを社員サインインに導入済みもしくは展開中という結果だ。

Microsoft自身の数字も興味深い。OneDrive、Xbox、Copilotといった消費者向けサービスでは、毎日「数億人」がパスキーでサインインしているという。社内に至っては、ユーザーとデバイスの99.6%がフィッシング耐性のある認証方式に移行済みだ。これはほぼ完全移行と言っていい。

ただし、この5億という数字は「パスワード時代の終わり」を意味するわけではない。FIDO AllianceのCEOアンドリュー・シキアル（Andrew Shikiar）氏が言うように、パスキーは実験段階を抜けて主流インフラに入ったという話であって、パスワードが消えたわけではない。むしろ「パスワードがまだこれだけ残っている」という事実こそが、攻撃者にとっての手がかりになっている。

5月末にやってくる、Windows向けEntraパスキーのGA

今回の発表でエンタープライズ寄りに重要なのは、Windows向けEntraパスキーの一般提供が5月末に開始される点だ。これはWindows Hello経由で、個人所有や非管理のWindowsデバイスにデバイスバインドのパスキーを直接登録できるようにする機能になる。

機能名だけ見ると地味だが、企業のID管理にとっては結構大きな変化だ。BYOD環境では「強い認証を求めたいIT部門」と「個人デバイスを完全管理下に置かれたくないユーザー・委託先」のあいだで、ずっと折り合いがついてこなかった。デバイスを企業資産化せずに、しかしフィッシング耐性のある認証はかける。Windows Hello経由のパスキーは、その中間解になる。

Microsoft Entra External ID向けのパスキーも5月末にGAとなる。これは顧客向けアプリ、いわゆるB2Cの認証にパスキーを載せられるようにするものだ。フリクションを減らしすぎれば不正が増え、増やしすぎれば離脱が増える。そのジレンマを抱えてきた消費者向け認証にとって、パスキーは数少ない突破口になりうる。

加えて、Microsoft Entra IDではプレビュー段階の「パスキー優先サインイン」が動いている。複数の認証方法が登録されていれば、最も強い方法を最初に提示する仕組みで、パスキーが登録されていればそれが即座に表示される。順番が変わるだけのようでいて、ユーザーの行動を「パスキーを使うのが当たり前」に押し出す効果は小さくない。

消費者側でもMicrosoft Password Managerを通じたパスキー同期が始まっており、Microsoft Edge経由でiOSとAndroidへの展開も近く実装される。Microsoftアカウントにひもづくデバイスならどこでもパスキーでサインインできるようにする、という設計だ。

2027年3月、セキュリティ質問が消える

注意深く読むと、今回の発表で本当に重要なのは新機能リストではなく、何を捨てるかの宣言かもしれない。

Microsoftは2027年3月から、Microsoft Entra IDでセキュリティ質問によるパスワードリセットを廃止する。「母親の旧姓は?」「卒業した小学校は?」といった、推測やSNSの情報でいくらでも回答可能な仕組みは、もはやリセットフローの土台にできない、という判断だ。

これは単なる古い機能の整理ではない。攻撃者の主戦場が「サインインそのもの」から「リカバリーフロー」に移ったという認識の表明だ。実際、AIが生成するディープフェイク音声でヘルプデスクに電話を入れ、「ロックアウトされた」と装って認証情報を再発行させる攻撃は、すでに現実の脅威になっている。サインインを強化しても、リカバリーが知識ベースの確認のままなら、そこが新しい入り口になる。

代わって用意されたのが、Microsoft Entra IDの新アカウント回復機能の一般提供だ。政府発行のIDと生体認証の顔チェックで本人確認を行い、すべての認証手段を失ったユーザーでもアクセスを取り戻せるようにする。一般提供にあわせて、ID検証のパートナーとして1KosmosとCLEAR1が加わり、既存のAu10tix、IDEMIA、TrueCredentialと併せて選択肢が広がる。

認証は「サインインの瞬間」だけのものではない。アカウントが生まれてから消えるまでの全期間にわたって、攻撃者が突けるすき間がある。今回の整理は、そのすき間ごとに対策を割り当てた格好になっている。

「パスキーは終着点ではない」、Microsoft自身の補足

興味深いことに、Microsoftは今回のブログと並行して、Microsoft Entraの技術ブログで「Passkeys aren't the finish line（パスキーは終着点ではない）」というタイトルの補足記事も公開している。パスキーを入れただけでは攻撃面は塞がらない、という内容だ。

そこで挙げられている「3つの抜け道」が分かりやすい。1つ目は、パスワードやSMSコードといったフィッシング可能な認証方式が並列で残っていること。2つ目は、パスキーを導入したアカウントにも「念のため」でパスワードやSMS手段が残っており、ユーザーは使わなくても攻撃者は使えること。3つ目が、知識ベースの質問に依存したリカバリーチャネルだ。

Microsoftが今回の発表で「弱い認証手段の削除」と「リカバリーの再設計」を強調しているのは、この3つを順番に潰していく作業の延長だ。パスキー導入はゴールではなく、むしろスタートに近い、という認識を自社で表明していることになる。

エンタープライズの現場感は、もう少し複雑

ここまでの話は、移行が進めばすべて解決するように聞こえる。ただ、現場の温度感はもう少し慎重だ。

エンタープライズでパスキーを大規模に展開する際には、デバイス紛失時のリカバリー設計、既存IAMとの統合、共有端末や工場のラインといった特殊環境への対応など、いくつもの実務的な問題が立ちはだかる。Microsoft Entra IDで条件付きアクセスを「フィッシング耐性のある認証強度」に設定すると、登録未完了のユーザーは「Security Infoを登録するためのページにすらアクセスできない」というパラドックスが起きる。実装を進めた管理者が必ず一度は引っかかる罠だ。

医療現場のクリーンルームや製造ラインの共有端末のように、生体認証が使えない、もしくは現実的でない環境もある。ここではPINやハードウェアキー、Temporary Access Pass（TAP）の組み合わせが必要になり、運用の複雑さは増える。

「パスキーは導入の判断ではなく、どう導入するかの判断のフェーズに入った」と言うアナリストもいる。技術は揃った。問題は、自社の業務フローと既存IT資産にそれをどう組み込むかだ。

なぜ今、ここまで踏み込んだのか

Microsoftがここまで強い言い方でパスワードからの撤退を打ち出した背景には、AIエージェントの普及という、もう一つの構造変化がある。

ユーザーの代わりにAIエージェントがメールを送ったり、データを取得したり、買い物をしたりする時代が現実になりつつある。エージェントが正規ユーザーの権限で動くということは、IDが侵害されればエージェント自体が攻撃者の手駒になるということだ。サインインの瞬間に騙された結果が、機械の速度で実行される複数のアクションに化ける。

これは脅威モデルの根本的な変化だ。だからこそMicrosoftは、認証を強化するだけでなく、弱い選択肢を全部消す方向に動いている。AIエージェントが普及する世界で、「いざという時用のパスワード」を残しておく余裕はない、という判断だろう。

世界に50億のパスキーが存在する2026年5月。「パスワードを良くする」議論はもう終わり、「パスワードを残しておく言い訳」を一つずつ崩す段階に入った。その移行が成功するかは、新機能の派手さではなく、リカバリーフローと運用設計という地味なところで決まる。

参照元