警察庁「パスワードだけの認証はもう限界」 — 自社サービスへのパスキー導入検討を呼びかけ

警察庁は2026年9月1日、「サイバー警察局便り」R8 Vol.12「パスワードだけの認証はもう限界です」を公開した。この便りは、サービスを提供する事業者に向けて、自社サービスにパスキーを導入し、安全で快適なログインを実現するよう検討を求める内容である。見出しは「パスワードだけの認証はもう限界です。自社サービスにパスキーを導入し、安全で快適なログインを実現しましょう！」となっている。

手紙のやり取りに例えたパスキーの仕組み

便りは、パスキーの仕組みを手紙のやり取りにたとえて4つの手順で説明している。手順の内容は次の通りである。

1. 印鑑の作成（鍵ペアの作成）：利用者が印鑑にあたる秘密鍵を作成し、スマートフォンなどの端末内の安全な領域（金庫に相当）に保管する。印影にあたる公開鍵をサービス事業者に提出する。
2. 手紙の送付（認証要求）：サービス事業者がランダムな文字列の手紙（チャレンジ）を送付する。
3. 手紙への押印（本人確認・電子署名）：利用者が顔認証や指紋認証を行い、端末から秘密鍵を取り出して押印する。
4. 印鑑の照合（署名検証）：サービス事業者が、登録済みの印影（公開鍵）と一致するか、手紙の内容が手順2で送ったものと一致するかを確認する。

警察庁が挙げる導入の3つのメリット

警察庁は、パスキー導入の主なメリットとして3点を挙げている。1点目は漏えいリスクの低減で、秘密鍵が端末の安全な領域に保存されるため、漏えい被害を抑制できるとしている。2点目はブランド・信頼の維持で、偽サイトでは認証できないため、自社ブランドの悪用を防ぎ、企業イメージを守れるとしている。3点目は利用者満足度の向上で、パスワード入力が不要になり、顔認証・指紋認証ですぐにログインできるとしている。

この便りは、利用者側の対策ではなく、サービスを提供する事業者側の導入を促す文書である点が特徴だ。便り自体は啓発資料であり、具体的な導入手順や技術要件は含まない。

出典

• 警察庁 サイバー警察局便り R8 Vol.12「パスワードだけの認証はもう限界です」（2026年9月1日） https://www.npa.go.jp/bureau/cyber/pdf/R8_Vol.12cpal.pdf