SMS 2FAからpasskeyへの切り替え方法

なぜ今SMS 2FAからpasskeyに切り替えるべきか

SMSコードは電話網の内部で傍受されることがありますが、passkeyはフィッシングに耐えるよう設計されています。大手もSMS離れを進めており、Microsoftは2027年2月1日から大半の職場・学校アカウント向けの自社SMSと音声通話のコードを廃止します^[1][8]。

このリスクは机上の話ではありません。モバイルセキュリティ企業のEneaは2026年11月11日、同社がSilentAirと呼ぶ新たに特定された攻撃主体が、モバイル網で悪意のある位置情報更新リクエストを使ってSMSと通話を傍受していたこと、SilentAirに関連するネットワーク要素が少なくともアジア6か国で見つかったこと、一部の標的では傍受の直後に2FAコードが届いていたことを報告しました^[11]。詳しくはPouyamのガイドIs SMS 2FA Safe? What the SilentAir Attacks Showをご覧ください。

公的な指針も同じ方向を示しています。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2024年12月、とりわけ標的にされやすい人々に「SMSを2つ目の要素として使わないでください」と呼びかけ、FIDOセキュリティキーとpasskeyを認証アプリより上位に位置づけました^[9]。米国の標準化機関NISTは、SMSと音声通話のコードを、サービスが代替手段を用意すべき「制限付き」の認証手段に分類しています^[10]。

passkeyの仕組みは異なります。スマートフォン、パソコン、セキュリティキーに保存される暗号鍵のペアで、顔、指紋、画面のPINで解錠し、FIDO Allianceはフィッシングに強いものと説明しています^[8]。読み上げたり転送したりするコードはなく、Googleはpasskeyがパスワードより「フィッシングに対してより安全」だとしています^[2]。すべての方法を並べて比較するには、Two-Factor Authentication Explained: Which 2FA Method Is Safest?をご覧ください。

どのアカウントでもSMS 2FAからpasskeyに切り替えるには？

安全な順番はどのアカウントでも同じです。passkey対応を確認し、passkeyを作成し、2つ目のログイン手段を追加し、バックアップコードを保存してから、2段階目の電話番号を削除してテストします^[2][3][12]。予備の手順を飛ばすことが、アカウントから締め出される最も多い原因です。

1. 対応を確認する。アカウントのセキュリティまたはログイン設定を開き、「Passkeys」を探します。1Passwordが運営するコミュニティディレクトリpasskeys.directoryには、ログイン用または2つ目の要素としてpasskeyを提供するサイトが掲載されています^[12]。
2. passkeyを作成する。一番よく使う端末で作成し、顔、指紋、画面ロックで確認します^[2][4]。
3. 予備を追加する。別の端末やハードウェアのセキュリティキーに2つ目のpasskeyを作るか、認証アプリを設定します。passkeyは端末間で安全に同期することも、1台の端末に限定することもできます^[8]。
4. 復旧コードを保存する。サービスが提供している場合はオフラインで保管します。たとえばGoogleは、スマートフォンを紛失したときに使える印刷可能なバックアップコードを用意しています^[3]。
5. 2段階目のSMSを削除する。CISAは、より強い方法を登録したらSMSを無効にするよう勧めています。弱い予備経路が残ると効果が帳消しになるためです^[9]。
6. テストする。設定ページを閉じる前に、ログアウトしてpasskeyで再ログインします。

SMSのログインコードをオフにしても、アカウント復旧用に電話番号を保持するサービスもあります^[9]。切り替えを先延ばしにする理由にはなりませんが、可能であれば携帯回線を通信会社のPINや番号ポータビリティのロックで守る理由にはなります。passkeyの仕組みについては、What Are Passkeys? How Passwordless Sign-In Works and Why It Is Saferをご覧ください。

Googleアカウントをpasskeyに切り替えるには？

Googleアカウントのセキュリティ設定でpasskeyを作成し、2-Step Verificationを開いて電話番号を自分で削除します。passkeyを追加しても、既存のログイン方法や復旧方法は変更も削除もされないためです^[2]。Googleによると、2-Step Verificationを使っているアカウントでpasskeyでログインすると、端末を管理していることがpasskeyで確認できるため、2段階目は省略されます^[2]。

1. Googleアカウントに移動し、Security & sign-inをタップして、How you sign in to Googleの下にあるPasskeys and security keysを開き、passkeyを作成します^[2]。
2. 指紋、顔スキャン、画面ロックで確認します。GoogleはWindows 10、macOS Ventura、ChromeOS 109以降、Android 9とiOS 16以降、そしてFIDO2ハードウェアセキュリティキーでpasskeyに対応しています^[2]。
3. 1台のスマートフォンに頼らないよう、別の端末で2つ目のpasskeyを作るか、セキュリティキーを追加します。
4. Securityで2-Step Verificationを開きます。バックアップコードをダウンロードまたは印刷します。Googleはこれを、スマートフォン紛失時に使う8桁のコードと説明しています^[3]。
5. 2-Step Verificationの方法として登録された電話番号を削除するか、Googleのプロンプトや認証アプリに切り替えます。

大事な点が2つあります。まず、2-Step Verification用に追加した新しい電話番号をGoogleが信頼するまで最大7日かかることがあり、信頼済みのpasskeyやセキュリティキーがあれば早まる場合があります^[3]。また、端末のロックを解除できる人なら誰でもログインできるため、passkeyは自分が所有する端末でだけ作成するよう注意を促しています^[2]。次に、職場や学校のGoogle Workspaceアカウントでは、passkeyだけでログインできるかは管理者が決めます。それでも2つ目の要素や復旧手段としてpasskeyを作成することはできます^[2]。

Microsoftアカウントにpasskeyを追加するには？

account.live.com/proofs/manageのAdvanced Security Optionsにサインインし、Add a new way to sign in or verifyを選び、Face、Fingerprint、PIN、Security Keyのいずれかを選択します^[4]。このページは個人のMicrosoftアカウントが対象です^[4]。

1. passkeyを置きたい端末でaccount.live.com/proofs/manageを開き、サインインします^[4]。
2. Add a new way to sign in or verifyを選びます^[4]。
3. Face、Fingerprint、PIN、Security Keyのいずれかを選び、画面の指示に従います^[4]。
4. 提案された場所にpasskeyを保存するにはContinueまたはCreateを、スマートフォンやセキュリティキーを選ぶにはSave another wayを選びます^[4]。
5. 何かを削除する前に、Microsoftのパスワードレス手順が前提とする認証アプリを設定します^[5]。

Microsoftでは、個人アカウントがさらに一歩進んでパスワードをなくすこともできます。Additional security optionsでPasswordless accountの横にあるTurn onを選び、認証アプリで要求を承認します^[5]。Microsoftは、2段階認証を有効にしている場合、2つの復旧方法を使える状態にしておくべきだとしています^[5]。

SMSコードを止めるには、同じセキュリティの項目で本人確認方法の一覧を見直し、passkeyとアプリが使えるようになったら電話番号をサインイン方法から削除します。Microsoftは、スマートフォンを変えた場合は古い端末に紐づいた方法を削除するよう勧めています^[5]。

Microsoftは職場アカウントのSMSコードを廃止するのか？

はい、Microsoft自身が送るコードについては廃止されます。2027年2月1日から、組織向けのMicrosoftのサインインサービスであるMicrosoft Entra IDで、Microsoftが提供するSMSと音声の認証が、Global Administratorsと外部ユーザーを除くすべてのユーザーで廃止されます^[1]。この2つのグループは2027年7月1日に続きます^[1]。

移行はすでに始まっています。2026年9月1日から、passkeyはEntra IDの既定の認証方法になり、SMSや音声通話が有効なユーザーには自動的にオンになりました。こうしたユーザーはサインイン時にpasskeyの登録を求められます^[1]。Microsoftのページは、SMSと音声通話は「もはや安全な認証方法として位置づけられていない」としています^[1]。

あなたにとっての意味：

• 職場アカウントでpasskeyの設定を求められたら受け入れましょう。Microsoftの計画では、ユーザーがサインインしてMFAを完了した際にpasskeyの登録を促します^[1]。通常のMicrosoftサインインページ内に表示されたプロンプトにだけ従ってください。
• 組織の設定によっては、passkeyはMicrosoft Authenticator、FIDO2セキュリティキー、Windows、または同期する資格情報マネージャーに保存できます^[1]。
• 内部のゲストユーザーは遅い方ではなく、2027年2月1日の日程に従います^[1]。
• どの方法が許可されているかは、ポリシーを管理するIT部門に確認してください。

自分で始めていないサインインやpasskeyの要求は決して承認せず、予期しないメールやメッセージのリンクからpasskeyを設定しないでください。

Appleアカウントでpasskeyは使える？

2つ目の要素としては使えません。Appleアカウントの2ファクタ認証は6桁の確認コードを使い、Appleが用意するフィッシングに強い強化策はpasskeyではなく物理的なFIDOセキュリティキーです^[7]。この機能に関するAppleのページはpasskeyに触れていません^[7]。

AppleのSecurity Keys for Apple Accountの条件は明確です^[7]。

• FIDO Certifiedのセキュリティキーが2本以上必要で、最大6本まで追加できます^[7]。
• Appleアカウントでサインインしているすべての端末で、iOS 16.3、iPadOS 16.3、macOS Ventura 13.2以降が必要です^[7]。
• 2ファクタ認証がすでに有効になっている必要があります^[7]。
• 子どものアカウントとManaged Apple Accountsは対象外です^[7]。

iPhoneでSettingsを開き、自分の名前をタップしてから、Sign-in & Security、Two-Factor Authentication、Security Keysと進み、手順に従います^[7]。Appleは、設定中に使われていない端末（90日を超えて使われていない端末）はサインアウトされること、信頼できる端末とセキュリティキーをすべて失うとアカウントから永久に締め出される可能性があることを警告しています^[7]。セキュリティキーをすべて削除すると、アカウントは6桁のコードに戻ります^[7]。

Appleは、セキュリティキーを、フィッシングやソーシャルエンジニアリング詐欺などの標的型攻撃に対する追加の保護を求める人向けのものだと説明しています^[7]。

WhatsAppのpasskeyを設定するには？

WhatsAppでSettingsを開き、Account、Passkeys、Create passkey、Continueの順にタップし、画面ロックで確認します^[6]。WhatsAppによると、パスワードやSMSの確認コードと違い、passkeyは暗号で保護されており、物理的な端末と生体データまたは画面ロックがなければアクセスできません^[6]。

1. Androidでは、Android 9以降、画面ロック、そしてGoogle Password ManagerやSamsung Password Managerなどスマートフォンに連携したパスワードマネージャーのアカウントが必要です^[6]。
2. WhatsAppを開き、メニュー、Settingsの順にタップします^[6]。
3. Account、Passkeys、Create passkey、Continueの順にタップします^[6]。
4. 求められたら、指紋、顔、画面ロックで確認します^[6]。

WhatsAppによると、passkeyを作成した後にアプリを再インストールすると、登録時にそれを使うよう求められることがあります^[6]。passkeyを変更するには、削除して同じメニューから新しく作成します^[6]。

WhatsAppのページには、登録時にpasskeyがSMSコードに取って代わるとは書かれていないため、追加の保護層として考えてください。2段階認証のPINも残しておけば、番号を乗っ取った人がいても、あなたしか知らない情報がなお必要になります。

SMSの代わりにpasskeyに対応しているアカウントは？

Google、Microsoft、WhatsAppはSMSコードより強力な選択肢としてpasskeyを提供し、Appleアカウントは代わりにセキュリティキーを使います。小規模なサービスの多くは、今もSMSか認証アプリしか提供していません^[2][4][6][7]。下の表に、2026年11月15日時点でそれぞれの設定がどこにあるかをまとめました。

対応状況はよく変わるため、始める前に各サービスのセキュリティページを確認してください。passkeys.directoryには、ログイン用または2つ目の要素としてpasskeyに対応するサービスが掲載されています^[12]。

ほかのすべてへの鍵となるアカウントを優先しましょう。メインのメール、スマートフォンのクラウドアカウント（GoogleまたはApple）、パスワードマネージャー、銀行と職場のアカウントです。メールが破られると、攻撃者はほかのパスワードの大半をリセットできてしまいます。

passkeyに対応していないアカウントはどうする？

SMSの代わりに認証アプリを使い、アプリが使えるようになったら予備手段としてのSMSをオフにします^[9]。CISAは、認証アプリのコードはまだフィッシングで盗まれうるためFIDOキーやpasskeyより下に位置づけますが、暗号化されておらず事業者のネットワークで傍受されれば読まれてしまうSMSよりは優れているとしています^[9]。EneaがSilentAirについて説明している通信シグナリング経由の傍受は、電話網で送られるメッセージが標的であり、アプリの内部で生成されるコードはそれに当たりません^[11]。

• コードをバックアップしたり新しいスマートフォンに移したりできる認証アプリを選べば、スマートフォンをなくしても締め出されません。
• サービスの復旧コードは紙に書いて保管します。
• サービスのサポートを名乗っていても、電話やメッセージをしてきた相手にコードを読み上げてはいけません。
• 数か月後にもう一度確認しましょう。passkey対応は急速に広がっており、Microsoftが職場アカウントでSMSから離れていることがその方向を示しています^[1]。

銀行や行政サービスがSMSしか提供していない場合、自分では変えられませんが、リスクは下げられます。携帯回線を通信会社のPINで守り、留守番電話のPINを秘密にし、SIMの乗っ取り（SIM swap）の兆候となりうる突然の圏外に注意してください。これは一般的なセキュリティの案内です。各サービスの設定については、それぞれのヘルプページが最終的な根拠です。