#874 SBI 証券がパスワードレス認証導入

今回の話題は「SBI 証券がパスワードレス認証導入」という業界動向のニュースです。パスワード入力を不要にするFIDO2の導入は、利用者の利便性向上だけでなくフィッシング対策や認証強化という観点で重要です。本編ではFIDO2の仕組み、金融業界での導入背景、今後の広がりと注意点を分かりやすく解説します。リスナーの皆さんには、なぜパスワードレス化が進むのか、企業や利用者が準備すべきことが具体的にわかる内容をお届けします。

今回の発表は大手オンライン証券会社が2025年秋頃を目標に、まずはウェブチャネルでFIDO2を導入し、順次他チャネルへ拡大して最終的に全チャネル対応を目指すというものです。FIDO2とは端末に備わる生体認証やセキュリティーキー等を使い、パスワードを使わずに本人確認を行う国際的な認証規格です。主要なウェブブラウザや主要なOSが対応しているため、多くの利用者が既存デバイスで利用可能になります。業界動向としては、過去数年でフィッシングや認証情報の不正利用が増えたことを受け、金融を含む多くの業種でパスワードレスやパスワードの廃止・補強が進んでいます。今後は導入の速度が上がり、パスワードに依存した古い認証方式から移行が加速すると予想されますが、端末依存やアカウント復旧、運用コストといった課題への対応も並行して求められます。

FIDO2は公開鍵暗号方式を使った認証プロトコルです。利用者の端末で秘密鍵と公開鍵のペアを生成し、秘密鍵は端末の安全領域に保持されます。認証時は端末側で秘密鍵署名を行い、サーバーは事前に登録した公開鍵で署名を検証します。これによりパスワードを送信する必要がなくなり、フィッシングやリプレイ攻撃に強い設計です。生体認証やPINは端末ロックの解除に用いられ、認証の利便性と安全性を兼ね備えます。

金融業界は過去に認証情報の流出やフィッシング被害による不正送金などリスクを経験しており、利用者保護の観点から強固な認証が求められてきました。加えて規制や業界ガイドラインで多要素認証の強化が推奨されていること、利用者側のスマートフォン普及で生体認証などの利用が現実的になったことが背景です。コスト面でも長期的には盗難・詐欺対応の削減やカスタマーサポート負荷の低減が期待され、導入が進んでいます。

利用者はまず自分の端末がFIDO2に対応しているかを確認する必要があります。対応していない端末では従来の認証が残る場合があるため、移行時の混乱に注意が必要です。また、端末紛失時のアカウント復旧フローを事前に理解しておくことが重要です。生体情報自体はサーバー側に送られない設計ですが、端末のロックを突破されるリスクやバックアップ機構の設定不備によるアクセス不能にも備えるべきです。

海外でも大手テクノロジー企業や金融機関がFIDO2やパスワードレス認証を採用する動きが進んでいます。複数の国で政府や業界団体がパスワードレス化を推奨するケースが増えており、国際規格としての整備も進行中です。ただし地域ごとに利用端末やインフラの成熟度に差があり、完全移行の時期は産業や国で異なります。したがってグローバルなサービスは互換性や復旧策の整備に注意を払っています。

導入の不確実性としては、利用者が想定通りに新方式を受け入れるか、古いチャネルとの共存期間における運用コスト、端末・ブラウザの対応状況のばらつきがあります。さらに法的要件やプライバシー規制、サードパーティーの対応遅れが導入計画に影響する可能性があります。技術的にはFIDO2自体は成熟していますが、移行期のユーザー体験と復旧フローの整備が鍵になり、これらを誤ると利用者離れやサポート負荷増大というリスクがあります。