ログイン方法の比較｜パスワード・SMS・認証アプリ・パスキー・生体認証の選び方

偽サイトへの対策を重視するなら、対応サービスではパスキーを選び、同期先のアカウントと復旧方法も守ることが大切です。パスキーが使えないサービスでは、パスワードだけの状態を続けず、認証アプリやSMSの確認コードを使う2段階認証を設定してください。

見直すときは、普段使うメールやGoogle・Appleのアカウントのセキュリティ設定を開き、パスキー、2段階認証、復旧手段が使えるか確認してください。機種変更や紛失に備え、別の端末や予備の手段で入り直せることを確かめてから、今のログイン方法を整理しましょう。

生体認証とパスキーは、役割が異なります。パスキーを指紋や顔で使えるようにする場合、生体認証は端末内で本人かどうかを確かめ、サービスへのログインはパスキーの仕組みで行います。「パスキーか、生体認証か」の二者択一にはなりません。

ログイン方法を、偽サイトへの強さと紛失時の手間で比べる

SMSと認証アプリは、パスワードに確認コードを追加する使い方で比べています。認証アプリは、時刻に応じて1回限りの確認コードを作るTOTP方式が比較の対象です。生体認証は、端末内での本人確認という別の役割として比較の最後に置いています。

「乗っ取られにくさ」は認証方式だけで決まらず、端末の管理、別のログイン方法、アカウント復旧の仕組みにも左右されます。以下は一律の安全順位ではなく、選ぶときの条件の違いです。^[1][2][3][4]

パスワードのみ

• 乗っ取られにくさ：パスワードを知られると、それだけで入られるおそれ。使い回しは被害を広げる
• 偽サイトへの耐性：偽サイトに入力すると盗まれる
• 機種変更・紛失時の手間：端末を替えても利用できるが、忘れた場合は復旧用メールなどが必要

パスワード＋SMS確認コード

• 乗っ取られにくさ：パスワードだけを盗まれた場合の防御を追加。電話番号の不正な移転などには注意
• 偽サイトへの耐性：コードを偽サイトへ入力すると悪用され得る。フィッシング耐性はない
• 機種変更・紛失時の手間：登録番号で受信できるかが重要。番号を変える前に登録情報と予備手段を確認

パスワード＋認証アプリのコード

• 乗っ取られにくさ：パスワードに加えてアプリのコードが必要。アプリや同期先の保護も必要
• 偽サイトへの耐性：TOTPのコードも偽サイトで盗まれ得る。フィッシング耐性はない
• 機種変更・紛失時の手間：同期・移行の可否はアプリや設定次第。旧端末が必要な移行方法もある

パスキー

• 乗っ取られにくさ：ログイン先のパスワードを渡さない。端末の解除や同期先・復旧経路の保護は必要
• 偽サイトへの耐性：正しく実装された認証はサイトに結び付くため、偽サイトへの耐性がある。別のログイン・復旧経路は別途確認
• 機種変更・紛失時の手間：同期型は同期先に入れるか、端末固定型は予備の認証手段を持つかで変わる

生体認証（補足：端末内の解除）

• 乗っ取られにくさ：指紋・顔でパスキーなどの利用を解除する役割。オンライン認証そのものとは別
• 偽サイトへの耐性：指紋・顔だけでは判断できない。組み合わせるオンライン認証の仕組みによる
• 機種変更・紛失時の手間：新端末での登録に加え、パスキーなどの移行も必要。暗証番号（PIN）などの代替手段を確認

SMSや認証アプリを入れても、コードを偽サイトに渡さない

パスワードに別の要素を加える多要素認証は、パスワードだけを盗まれた場合の不正ログインを防ぐのに役立ちます。多要素認証は、覚えている情報、持っているもの、指紋などの身体的特徴のうち、異なる種類を組み合わせる方式です。手順が2段階あることと、異なる要素を使うことは同じではありません。

ただし、SMSや認証アプリで受け取ったコードを偽サイトへ入力すると、そのコードも悪用されるおそれがあります。コードが短時間で変わっても、フィッシングへの耐性があるとはいえません。米国立標準技術研究所（NIST）も、手入力する確認コードの方式を、フィッシング耐性のある認証とは区別しています。

Google認証システムでは通信できないときもコードを作れますが、新しい端末への移行は同期の設定などで変わります。「機種変更してアプリを入れ直せば必ず戻る」とは限りません。

アプリに届く通知を承認する方式は、コードを入力するTOTPとは別です。NISTは、アプリへの通知など別の経路で確認する方式（Out-of-band）も、フィッシング耐性はないとしています。通知承認型も、表示された内容を確かめずに許可しないでください。心当たりのない承認要求は許可しないでください。

2段階認証で選べる方法がSMSだけなら、パスワードだけの状態から進める対策として利用できます。SMSを設定したうえでも、届いたコードを人に伝えず、ログインは公式アプリや普段のブックマークから始めてください。設定場所は2段階認証の設定方法で確認できます。^[1][3][4]

パスキーは、同期型か端末固定型かも確認する

正しく構成されたパスキーは、作成したログイン先のサイトに結び付いた鍵を使います。偽サイトへパスワードや確認コードを入力する方式と異なり、正規サイト向けの認証結果を偽サイトが受け取って使い回すことを防ぐ仕組みです。

• 同期型：対応するサービスを通じて鍵をほかの端末でも利用できる方式です。新しい端末で利用できるかは、同期の対応範囲、設定、同期先アカウントへアクセスできるかで変わります。
• 端末固定型：鍵を別の端末へ同期しない方式です。元の端末やセキュリティキーを失った場合に備え、サービスが認める予備の認証手段や復旧経路を確保してください。

同期できることと、すでに同期されていることは別です。機種変更前には、どこに保存され、別の端末で使える状態かを確認してください。同期先のアカウントが使えなくなった場合の備えも必要です。

パスキーを登録しても、従来のパスワードやSMSによるログインが残ることがあります。復旧用メールなどを含め、ほかの経路から入られる可能性までなくなるわけではありません。パスキーを「絶対安全」と考えず、残っているログイン方法と復旧方法も確認してください。仕組みや設定の違いはパスキーとは？パスワードとの違いと作り方で確認できます。^[2][5]

生体認証はパスキーを使うための解除にも使われる

指紋や顔は、パスキーを保存した端末で本人かどうかを確かめる方法として使われます。生体認証の画面が出ることと、サービス側でどの認証方式を使っているかは分けて考えてください。

端末や方式によっては、指紋・顔の代わりに端末のPINなどでパスキーを使えます。このPINは、そのサービスへ送るログインパスワードとは役割が異なります。顔や指紋が通らないときだけでなく、端末を他人に使われないためにも、代替の解除方法を守る必要があります。

NISTの指針でも、生体情報だけを独立した認証手段として扱わず、物理的な認証器（スマートフォンやセキュリティキーなど）と組み合わせる条件が定められています。「顔認証だからSMSより安全」といった比較は、背後の仕組みが分からないままではできません。^[1]

GoogleでログインなどのSSOは、認証を任せる先を選ぶ話

「Googleでログイン」や「Appleでサインイン」のように、別のアカウントを使ってサービスへ入る方法があります。SSO（シングルサインオン）は、ログインを共通の仕組みにまとめる考え方です。パスワードかパスキーかとは別の軸の選択です。

例えば「Googleでログイン」は、Googleアカウントで本人確認した結果を使って、連携するアプリへ入れます。サービスごとにパスワードを入力する機会を減らせるため、ログイン元のアカウントをパスキーや2段階認証で守ることに意味があります。

一方、そのアカウントが乗っ取られると、連携先への不正ログインにもつながるおそれがあります。ログイン元が使えなくなった場合も、それだけに頼っている複数のサービスで再ログインに困る可能性があります。

ただし、必ず「全部のサービスに入れなくなる」とは限りません。各サービスで別のログイン方法を登録できるか、復旧手続きがあるかなどによって影響が変わります。大切な連携先では、サービスの公式ヘルプで代替ログインと復旧方法を確認してください。

会社ではMicrosoft Entra IDなどで業務アプリへのログインをまとめることもあります。会社のアカウントは、個人向けの選び方だけで変更せず、組織の管理方針に従ってください。^[6][7]

まずはメールとログイン元のアカウントから切り替える

復旧に使うメール、ほかのサービスへのログインに使うGoogle・Appleのアカウント、その次に銀行・通販など重要なサービスを見直す順番が実用的です。仕事で使うものは、所属先のルールも確認してください。

1. 使えるパスキーを確認する。対応していれば、同期先や予備の手段を確かめて登録します。
2. パスキーがなければ2段階認証を設定する。認証アプリやSMSを利用し、パスワードだけの状態を減らします。パスワード自体も使い回さないでください。
3. 復旧の準備をする。サービスが発行するバックアップコードがあれば安全に保管し、紛失するかもしれない端末の中だけに置かないでください。予備の認証手段や復旧用の連絡先も確認します。
4. 新しい手段でログインできることを確かめる。機種変更では、新端末で使えることを確認してから旧端末の登録を整理します。紛失した場合は、各サービスの公式案内に従って、失った端末や認証手段を無効化してください。

認証アプリの同期先に入るためのコードが、なくした端末にしかない、といった行き詰まりを避けてください。復旧には待ち時間や本人確認が必要になる場合もあるので、まだログインできるうちの準備が役立ちます。

すでにパスワードの流出が心配なら、パスワードが流出していないか調べる方法も確認してください。流出したパスワードの変更と、これから使う認証方式の見直しは、両方進める必要があります。^[4][5][3]

参考となる公式情報

NIST SP 800-63B-4は、2025年7月に公開された、米国政府の情報システム向けの認証に関する技術指針です。その要件が、そのまま日本の個人利用者全員の法的義務になるわけではありません。

• [1] NIST SP 800-63B-4：Authenticators（認証方式、生体認証、フィッシング耐性）
• [2] NIST SP 800-63B-4：Syncable Authenticators（同期と端末固定の区別）
• [3] Google：Google認証システムで確認コードを取得する
• [4] IPA：インターネットサービスへの不正ログインによる被害が増加中
• [5] NIST SP 800-63B-4：Authenticator Event Management（復旧・紛失時の対応）
• [6] Google：「Googleでログイン」の仕組み
• [7] Microsoft：Microsoft Entra IDでのシングルサインオンとは
• NIST：SP 800-63B-4の公開情報