アカウント

セキュリティキー：フィッシングを止める唯一の変更

アカウントを失う人のほとんどは、同じ手口で失います。正しく見えるがそうではないページに、パスワードと6桁のコードを入力してしまうのです。ハードウェアキーはその攻撃を永久に終わらせます。騙されにくいからではなく、サイト自体のアドレスを確認し、偽のアドレスは通らないからです。

難易度
簡単
所要時間
最初のいくつかのアカウントで約40分
費用
1つあたり約€25〜60 · 2つ購入
最終確認
2026年9月25日

このサイト全体で一つだけやるなら、これをやってください。ここにある他のあらゆる対策はリスクを限界的に減らすだけですが、これは攻撃のカテゴリー全体を排除します。しかも、この活動をしている人に実際に起きているカテゴリーです。靴一足より安く、半日で終わります。

01なぜコードは盗まれ、キーは盗まれないのか

攻撃があなたに対して成功しなかったとしても、あなたはその攻撃を見たことがあるはずです。メールやメッセージに、あなたのアカウントに問題があると書かれています。リンクは本物のログインページをピクセル単位で完全にコピーしたページにつながっています。あなたはパスワードを入力します。すると認証アプリのコードを求められます。あなたはそれも入力します。

裏側では、攻撃者のサーバーが同じ瞬間に本物のサイトにログインしており、あなたが入力したすべてをリアルタイムで中継しています。あなたのコードは本物でした。30秒間有効でした。あなたはそれを間違ったウィンドウに入力しただけで、30秒あれば十分なのです。

認証アプリにできないこと

アプリは共有シークレットと時計から数字を生成します。あなたがどのサイトを見ているのかアプリには分からないため、本物のログインページとコピーを見分けることはできません。弱点はコードではなく、人間の目です。偽のドメインを見抜くことに依存する防御は、いずれ必ず失敗します。偽物は非常に巧妙であり、あなたは疲れているからです。

セキュリティキーは仕組みが異なります。サイトに登録すると、キーはそのサイトの本物のドメインに紐づけられたシークレットを保存します。ログイン時にサイトがチャレンジを送信し、キーはそれに署名しますが、要求しているドメインが登録時のドメインと一致することを確認した後にのみ行います。似たドメインが要求しても、キーは単に応答しません。中継するものも、入力するものも、あなたが間違えるものも何もありません。

これは主張ではなく、測定された結果です

Googleは全従業員、数万人をセキュリティキーに移行し、その後従業員アカウントに対するフィッシングによる乗っ取りの成功がゼロだったと報告しました。これはあらゆる単一の対策の中で消費者向けセキュリティにおける最も強力な証拠であり、このガイドが5番目ではなく最初に来る理由です。

02キーに何が入っているか

YubiKey 5は一つのものではありません。同じプラスチックの中に入った複数の独立したセキュリティデバイスであり、ほとんどの人はそのうちの一つを使い、残りがそこにあることすら知りません。ここではそのすべてを平易な言葉で説明します。

機能使うべきか何のためか
FIDO2 / WebAuthnはい、これです現代の標準規格。フィッシング耐性のあるログインであり、パスキーの基盤です。Google、Microsoft、GitHub、Cloudflare、Proton、その他重要なほとんどのサービスでこれを使用することになります。
パスキー（常駐キー）はい同じものですが、キーがアカウントの識別情報も保存するため、ユーザー名やパスワードを一切入力せずにログインできます。保存容量には限りがあります — 以下の注記を参照してください。
U2F自動同じ考え方の古いバージョン。まだ一部のサイトで使われており、キーはあなたが選択することなく処理します。
OATH-TOTP状況による通常の6桁コードをスマートフォンアプリではなくキー上に保存し、Yubico Authenticatorを通じて読み取ります。FIDO2をサポートしていないサイトに便利です。これは依然としてコードであり、依然としてフィッシング可能です。ログインではなく秘密を保護するものです。
チャレンジレスポンス
(HMAC-SHA1)		はい、KeePassXCで可能パスワードデータベースを開くために物理キーを必須にします。KeePassXCガイドで扱っていますが、これは両方のツールを大幅に強化する組み合わせです。
PIV / スマートカード上級者向け証明書を保持します。デバイスからコピーできないSSHキーや、一部の企業・政府システムで使用されます。
OpenPGP上級者向けGPGキーをハードウェア上に保持するため、署名と復号はキー上で行われ、秘密キーがコンピュータに触れることはありません。
Yubico OTPまれにFIDOより前からあるレガシーなワンタイムパスワード方式です。一部の古いサービスが使用しています。何か要求されない限り触らないでください。
静的パスワードNoキーに触れると固定文字列を入力します。別時代の便利機能です。重要な用途には使わないでください。
人々が驚くパスキーの保存上限

ユーザー名なしでログインできるレジデントキーは、デバイス上に永続的なスロットを消費し、その数は固定されています。古いYubiKey 5ファームウェアでは約25個、最近のファームウェアではかなり多く保持できます。通常のFIDO2第二要素登録はこの制限を受けないため、何も埋めることなく数百のサイトにキーを追加できます。上限に達するとしたら、それは2FAではなくパスキーが原因です。

03どれを買うべきか

判断のポイントは主に先端のプラグと、追加機能が必要かどうかです。コネクタをスマートフォンとパソコンに合わせ、異なる場合はアダプタを持ち歩いて失くすよりも、それぞれ1つずつ購入しましょう。

モデル最適な用途注記
Security Keyシリーズ
（青いもの）		ほとんどの人FIDO2とU2Fのみですが、必要なのはこの部分です。YubiKey 5のおよそ半額です。PGP、PIV、KeePassXCとのペアリングを使う予定がないなら、これが正直なところおすすめです。
YubiKey 5 NFCUSB-Aのパソコン＋あらゆるスマートフォン全機能を備えたキーです。スマートフォンにタッチしてNFC、ノートパソコンに挿してUSB。上の表のすべてが欲しい場合の既定の選択です。
YubiKey 5C NFCUSB-Cのパソコン＋あらゆるスマートフォン同一の製品で、USB-Cプラグ付きです。ノートパソコンが最近のものであれば、おそらくこれが正解です。
YubiKey 5CiLightning搭載のiPhoneUSB-CとLightningの両方を備えています。古いiPhoneにのみ関連します。新しいモデルはUSB-Cであり、いずれにせよNFCを使用できます。
YubiKey 5 NanoノートPCに挿しっぱなし小型で、ポートに永久にぴったり収まります。便利ですが、物理的な分離という利点は失われます。ノートPCが持ち去られれば、キーも一緒に持ち去られるからです。
Bioシリーズ共有スペースPINの代わりに指紋。本当に便利です。より高価です。住んでいる場所で生体認証が適切なロック解除方法かどうかは慎重に検討してください。多くの法域では、PINよりも指紋の提供を強制されやすいからです。
2つ購入してください。これはアップセルではありません。

1つのキーは単一障害点です。紛失すれば、自分のアカウントから永久に締め出される可能性があり、それ自体が一種の災難です。すべてのアカウントに両方のキーを登録し、1つは携帯し、2つ目は物理的に離れた場所、自宅の引き出し、金庫、信頼できる人のもとに保管してください。2つ目のキーはバックアップ計画であり、復旧にかかる費用よりも安く済みます。

メーカーまたは指定販売店から購入してください

マーケットプレイスの出品でも、中古でも、よく知らない人からの贈り物でもありません。セキュリティキーは、あなたがすべてを託すデバイスであり、サプライチェーンも製品の一部です。Yubicoのファームウェアは意図的に更新不可となっており、これは耐タンパー性にとって有利である一方、侵害されたキーは決して修正できず、交換するしかないことを意味します。

04正しい順序でセットアップする

順序が重要です。他のすべてをリセットできるアカウントから始め、途中で自分自身を締め出さないようにしてください。

  1. メールから始める

    あなたが持つ他のすべてのアカウントはそれを経由して復旧するため、それが本当の標的となります。メールプロバイダーのセキュリティ設定に移動し、他の何かに触れる前に両方のキーを追加してください。メールプロバイダーがセキュリティキーに対応していない場合、それはプロバイダーを変更する理由であり、これを省略する理由ではありません。

  2. 両方のキーを同時に登録する

    すべてのアカウントで、一度にまとめて行ってください。よくある失敗は、今1つ目のキーを登録し、「予備は後で追加する」としてしまうことです。後でという時は決して来ず、そのうち1つ目のキーが洗濯機を通過することになります。

  3. リカバリーコードを適切に保存する

    どのサイトもワンタイムのリカバリーコードを一式発行します。これはキーを完全に迂回するものなので、キー本体と同じくらいの注意を払う価値があります。パスワードマネージャーに入れるか、印刷して物理的に安全な場所に保管してください。写真に撮ってはいけませんし、ダウンロードフォルダに放置してもいけません。

  4. 次に弱い方法を見直す

    SMSコードがフォールバックとして残っている場合、SIMスワップによってキーを迂回される可能性があります。両方のキーが機能するようになったら、サービスが許す限りSMSをオフにしてください。認証アプリのコードは、復旧経路として必要な場所にのみ残し、そのシードとリカバリーコードはパスワードマネージャーで保護し、残りの復帰手段をテストするまでは決して方法を削除しないでください。

  5. リストを順に進める

    メールの次は：キーに対応しているならパスワードマネージャー、次にクラウドストレージ、次に投稿に使っているソーシャルアカウント、次に支払い方法が紐づいているものすべて、次にコードホスティング。残りは暇な夜まで待てばいい。

  6. しまう前に予備をテストする

    バックアップキーを実際に使ってログアウトし、再ログインする。テストされていないバックアップは推測にすぎない。

05保護してくれないもの

セキュリティキーは一般人が利用できる中で最も強力な単一の対策だが、それでも範囲は限られている。フィッシングには効く。しかし以下には効かない。

完全に防ぐ
  • フィッシングページ、どんなに巧妙でも、リアルタイム中継攻撃を含む。
  • クレデンシャルスタッフィング、他のサイトの侵害で流出したあなたのパスワードは、それだけではもう使えない。
  • パスワード推測とスプレー攻撃。
  • ほとんどのSIMスワップ攻撃、SMSがフォールバックとして排除されれば。
何の効果もないもの
  • すでにあなたのコンピュータ上にあるマルウェア。 ログイン後にセッションを監視しているものがあれば、キーはすでに役目を終えて回避されている。
  • セッションCookieの窃取。 生きたセッショントークンを盗んだ攻撃者は、そもそもログインする必要がない。
  • 復旧ルート。 サポート担当者が説得されてアカウントをリセットできてしまえば、あなたのキーは無意味になる。これは今やキー付きアカウントが突破される最も一般的な方法だ。
  • 物理的な押収、あなたと鍵が一緒に奪われること。
  • 保護し忘れたアカウント、攻撃者が次に向かう先です。
正直なまとめ

玄関を完全に閉ざすと、攻撃者は窓に移ります。それでもこれは大きな改善です。玄関はほぼすべてのトラフィックがあった場所だからです。しかし、ここで止めるのではなく、このサイトの残りを読み続ける理由でもあります。

06YubiKeyを使いたくない場合

YubiKeyがデフォルトなのは、最も広くサポートされ、最も徹底的にレビューされているからであり、唯一の選択肢だからではありません。私たちはこれらのいずれからも金銭を受け取っていません。

Nitrokey

ドイツ製で、オープンソースのファームウェアとハードウェア設計を持ち、「中身を検査できるようにしたい」ということが最大限の互換性よりも重要なら選択肢になります。ガイドのセキュリティキーのセクションで代替として取り上げています。

nitrokey.com ↗

Token2

スイス製で、安価、FIDO2に特化。限られた予算で、無名ブランドに落とすことなく2つの鍵を買う合理的な方法です。

token2.com ↗

スマートフォンをパスキーとして使う

現代のスマートフォンはFIDO2認証器として機能し、同じフィッシング耐性を無料で得られます。ただし、1点だけ明確に劣ります。スマートフォンは、奪われたり、ロックを解除されたり、侵害されたりする可能性が最も高いデバイスです。第二要素としては優れていますが、唯一の要素にはしないでください。

07実際によくある質問

キーを紛失したらどうなりますか？

適切に設定していれば何も問題ありません。2つ目のキーを使い、紛失したキーをすべてのアカウントから削除して、代わりのキーを登録します。ガイドが2つ購入するよう強く勧めているのは、まさにこのためです。もし2つ目がなければ、リカバリーコードに頼ることになり、それもなければ、プロバイダーのアカウント復旧プロセスに頼ることになります。これには数週間かかることがあり、失敗することもあります。

キーを盗んだ人は私のアカウントに入れますか？

キーだけでは入れません。キーは第二要素であり、パスワードも必要ですし、ほとんどの設定ではキーのPINも必要で、数回間違えるとデバイスがロックされます。キーを盗まれても、あなたにとっては不便ではあっても、侵害ではありません。それでも、アカウントからは削除しておきましょう。

常に持ち歩く必要がありますか？

新しい場所にログインするときだけです。ほとんどのサイトではデバイスを信頼済みとして登録できるので、日常的にキーに触れることはほとんどありません。通常は、新しいマシンをセットアップするときや、Cookieを消去した後です。NFCモデルはスマートフォンにタッチするだけで動作するので、多くの人が想像する手間のほとんどが解消されます。

パスキーも同じものですか？

パスキーは同じ暗号技術で、同じフィッシング耐性を持ちます。違いは、どこに保存されるかです。スマートフォンやブラウザのアカウントにあるパスキーは、企業のクラウドを通じて同期されるため便利ですが、そのアカウントの強度がパスキーの強度になることを意味します。ハードウェアキー上のパスキーは、同期もコピーも抽出もできません。重要なアカウントには、ハードウェアを使いましょう。

どのアカウントから先に設定すべきですか？

メールは必ず最初に。次にパスワードマネージャー、次に発信に使っているもの、次にお金を扱うものです。この主題について文書化したり報告したりしているなら、投稿に使っているアカウントは銀行よりも敵対者にとって価値があります。それを失うことは、誰かがあなたの名前で発言することを意味し、チャージバックでは取り消せません。

08出典とさらなる読み物

最終レビュー日: 2026年9月25日