パスキーは本当に安全？Googleパスワードマネージャー脆弱性とマルウェア攻撃の全貌

近年、インターネット上での認証方法として、パスワードに代わる「パスキー」が急速に普及し、その利便性と強固なセキュリティが注目されています。

しかし、2026年8月上旬、この次世代認証技術の信頼性を揺るがす衝撃的なニュースが報じられ、多くのユーザーや企業の間で大きな話題となっています。

パロアルトネットワークスのセキュリティ研究部門「Unit 42」が、Googleパスワードマネージャーにおけるパスキー保護の脆弱性を悪用し、マルウェアによってパスキー認証が突破される可能性のある複数の攻撃手法を公表したのです。

この報告は、「パスキーはフィッシング詐欺に強い」という従来の認識に新たな視点をもたらし、「パスキーは本当に万能なのか？」という疑問を投げかけています。

この記事では、今まさにトレンドとなっている「Googleパスワードマネージャーに脆弱性、マルウェアでパスキー保護を突破可能に」という話題について、その背景、具体的な攻撃の仕組み、ユーザーが直面するリスク、そして私たち個人や企業が今すぐ取るべき対策、さらには今後のパスキーセキュリティの展望までを、最新のWeb情報に基づいて徹底的に解説します。

パスキーの基本的な知識から、なぜ今回の脆弱性が注目されるのか、そして安全なデジタルライフを送るために何をすべきかを知りたい方は、ぜひ最後までお読みください。

パスキーとは？次世代認証技術の基本と普及の背景

パスキーは、従来のパスワード認証が抱える多くの課題を解決するために開発された、新しい認証技術です。パスワードのように複雑な文字列を記憶したり入力したりする手間を省きながら、より強固なセキュリティを実現することを目指しています。

パスワードの課題を解決する新しい認証方式

これまでのパスワード認証は、ユーザーが覚えやすい簡単なパスワードを設定しがちであることや、複数のサービスで使い回す傾向があることなどから、セキュリティ上の弱点が指摘されてきました。

また、フィッシング詐欺によって偽サイトにパスワードを入力させられ、アカウントが乗っ取られる被害も後を絶ちません。

パスキーは、これらの課題を根本から解決するために、公開鍵暗号方式を基盤としています。

ユーザーのデバイス（スマートフォンやPCなど）に「秘密鍵」を、サービス側に「公開鍵」をそれぞれ生成し、秘密鍵はデバイスの外に送信されることなく、生体認証（指紋や顔）やPINなどを使って本人確認を行います。

これにより、ユーザーはパスワードを覚える必要がなくなり、入力の手間も大幅に削減されます。さらに、秘密鍵がデバイス内に安全に保管されるため、フィッシング詐欺によって認証情報が盗まれるリスクが極めて低いという大きなメリットがあります。

急速に広がるパスキーの利用状況とFIDOアライアンスの推進

パスキーは、Google、Apple、Microsoftの3社が2022年5月に共同でサポート拡大を表明して以来、その普及が加速しています。

これらの大手企業が推進する国際標準規格「FIDO2（WebAuthn）」に基づいており、主要なOSやブラウザ、そして多くのオンラインサービスがパスキー対応を進めています。

FIDOアライアンスが2026年5月7日に発表した「World Passkey Day 2026（世界パスキーの日 2026）」の調査結果によると、パスキーの認知度は世界的にほぼ浸透し、全世界で50億個のパスキーが利用されていると推計されています。

また、消費者および企業の双方で高い導入率が確認されており、パスキーが認証の主流になりつつあることが示されています。

日本においても、2025年には金融セクターを中心にパスキーの導入が加速し、規制当局もより強力な認証方法としてパスキーを優先すべきであると強調しています。

このように、パスキーは単なる選択肢の一つではなく、安全なオンライン環境を構築するための重要な基盤として、その役割を確立しつつありました。

Googleパスワードマネージャーを狙う「Pass-ta-key」攻撃の全貌

パスキーが次世代の認証技術として期待される一方で、その実装方法に潜む脆弱性を突く新たな攻撃手法が、2026年8月上旬にパロアルトネットワークスの脅威研究部門「Unit 42」によって報告されました。

この攻撃は「Pass-ta-key」と総称され、Googleパスワードマネージャーの同期型パスキーの保護をマルウェアが突破する可能性があるとされています。

Unit 42が発見した3つの攻撃手法

Unit 42が報告した「Pass-ta-key」攻撃は、大きく3つの段階的な手法で構成されています。これらの攻撃は、いずれも被害者のWindowsパソコンが事前にマルウェアに感染していることを前提としています。

▶ あわせて読みたい：MIXIの26新卒AI研修が示す未来：なぜ今、この実践的カリキュラムが注目されるのか？

1. Pass-ta-key（基本攻撃）: マルウェアに感染したパソコン上で、正規のGoogle ChromeやGoogleパスワードマネージャーの認証処理を模倣し、ユーザーの同意や生体認証、デバイスロック解除などをバイパスしてパスキーで保護されたアカウントを乗っ取る攻撃です。特に、Webサイト側でユーザー検証のフラグが「preferred（推奨）」に設定されている場合に有効とされています。
2. Silver Pass-ta-key: この攻撃では、マルウェアがローカルの既存の検証キーを無効化し、パスキーの再登録を強制する状態を作り出します。その際、Chromeが検証キーの作成を一時保留する間に、攻撃者が自身の公開鍵を登録し、キーを偽装します。一度登録されてしまうと、被害者がオフラインの状態でも、攻撃者は有効な認証を生成し、アカウントを奪取できる可能性があります。
3. Golden Pass-ta-key: 最も深刻なこの攻撃は、パスキーの秘密鍵を保護するマスターキー（SDS: Security Domain Secret）の窃取を狙います。Silver Pass-ta-keyの手法で再登録を強制した後のキー登録・復旧フロー中に、SDSがChromeのプロセスメモリに一時的に平文で展開されることを悪用し、これを抽出します。SDSを取得されると、攻撃者は同期データベースから読み取った暗号化された過去および将来のすべてのパスキーの秘密鍵を復号し、事実上、対象のGoogleアカウントに永久にアクセスできるようになります。

マルウェアがパスキー保護を突破するメカニズム

これらの攻撃は、パスキーの基盤となるWebAuthnの暗号技術そのものを破るものではありません。

むしろ、GoogleパスワードマネージャーとGoogle Chromeの同期型パスキーの実装、特にその登録や復旧のプロセスに存在する弱点を突いています。

攻撃の前提となるのは、被害者のWindowsデバイスがマルウェアに感染していることです。驚くべきことに、これらのマルウェアは特別な特権を必要とせず、通常ユーザー権限で実行されていれば攻撃が可能とされています。

具体的には、ChromeがTPM（Trusted Platform Module）から取得しローカルに保管しているIDキーの暗号化データをマルウェアが抽出し、これを利用して認証を完了することで、ユーザーの同意や生体認証をバイパスします。

また、Golden Pass-ta-key攻撃では、パスキーの秘密鍵を復号するためのマスターキー（SDS）が、Chromeのプロセスメモリに一時的に平文で展開されるという実装上の欠陥が悪用されています。

Unit 42は、これらの攻撃が、パスキーが同期されることで複数デバイスでの利便性が高まる一方で、その同期を実現するための認証手続きが新たな攻撃対象になり得ることを指摘しています。

なぜ「パスキー万能説」が揺らいだのか

パスキーは、従来のパスワード認証に比べてフィッシング詐欺に強く、セキュリティのゴールドスタンダードとされてきました。しかし、今回の「Pass-ta-key」攻撃の報告は、その「パスキー万能説」に一石を投じるものとなっています。

この問題の本質は、パスキーの暗号技術自体が破られたのではなく、認証システムの「実装」や「運用」に存在する抜け穴が狙われた点にあります。

特に、複数のデバイス間でパスキーを共有する「同期型パスキー」の利便性を追求する過程で生じた、セキュリティと利便性のトレードオフが浮き彫りになりました。

FIDOアライアンスやセキュリティ専門家は、パスキーがパスワードよりも安全性の高い認証方法であることに変わりはないと強調しています。

しかし、パスキーの普及が進むにつれて、攻撃者はパスキーそのものではなく、「パスキーを使ってよい端末だと判断する手続き」や「パスキーを管理するアカウント自体」を狙うようになるという、攻撃の新たな潮流を示唆しています。

これは、認証技術の強化だけでなく、エンドポイント保護やマルウェア対策といった包括的なセキュリティ対策の重要性を再認識させるものです。

今回の脆弱性がユーザーに与える具体的な影響と潜在的リスク

Googleパスワードマネージャーの脆弱性を悪用する「Pass-ta-key」攻撃は、ユーザーにとって無視できない具体的な脅威と潜在的なリスクをもたらします。

パスキーの導入が進む中で、この問題がどのようにデジタルライフに影響を与えるのかを理解することが重要です。

アカウント乗っ取りの危険性と情報漏洩の可能性

最も直接的な脅威は、マルウェアに感染したWindowsデバイスを介して、ユーザーの同意なしにパスキーで保護されたアカウントが乗っ取られる可能性があることです。

基本的な「Pass-ta-key」攻撃では、Webサイト側の本人確認が不十分な場合、指紋認証やPINの入力なしで別の端末からログインされる恐れがあります。

実際にUnit 42の検証では、特定のWebサービスで不正ログインに成功した事例も報告されています。

▶ あわせて読みたい：生年で紐解くデジタル青春！話題の「インターネット老人年表アプリ」が映す記憶と歴史

さらに深刻なのは「Golden Pass-ta-key」攻撃です。この手法でマスターキー（SDS）が窃取されると、攻撃者は対象のGoogleアカウントに紐づくすべての同期パスキーの秘密鍵を復号できるようになります。

これにより、過去に作成されたパスキーだけでなく、将来作成されるパスキーも恒久的に危険にさらされることになります。

一度マスターキーが盗まれると、マルウェアを削除したり、パスワードを変更したりしても、その効力は無期限に続くとUnit 42は指摘しており、これは極めて重大な情報漏洩リスクを意味します。

パスキーの信頼性への影響と今後の課題

今回の脆弱性の報告は、パスキーが「フィッシング詐欺に強い」という特性は維持しつつも、「マルウェアに対して無敵ではない」という現実を突きつけました。これにより、パスキーに対するユーザーの信頼性に影響を与える可能性があります。

パスキーは、その利便性とセキュリティの高さから、パスワードに代わる次世代の認証方式として広く推奨されてきました。

しかし、認証技術そのものの強度だけでなく、それを実装するシステムや、パスキーの登録・復旧プロセスといった周辺のセキュリティ対策が不十分であれば、新たな攻撃経路を生み出すことになります。

Unit 42は、パスキーの普及が進むにつれて、攻撃者が認証情報の窃取から、認証を許可する「手続き」そのものを狙うようになるだろうと警告しています。

これは、パスキーのメリットを最大限に享受するためには、ユーザーだけでなく、サービス提供者側もより包括的かつ継続的なセキュリティ対策が求められることを示しています。

今すぐできる対策と今後のパスキーセキュリティの展望

Googleパスワードマネージャーの脆弱性に関する報告は、パスキーが万能ではないことを示しましたが、同時にユーザーが自身のセキュリティを強化するための具体的な行動を促す機会でもあります。

ここでは、今すぐできる対策と、今後のパスキーセキュリティの展望について解説します。

ユーザーが取るべき具体的なセキュリティ強化策

今回の攻撃は、マルウェア感染が前提となっているため、まずは基本的なマルウェア対策を徹底することが重要です。

• OSやブラウザの最新状態へのアップデート: 脆弱性修正パッチが適用されるため、常に最新の状態に保ちましょう。
• 不審なソフトウェアやファイルを開かない: 信頼できないソースからのダウンロードやメールの添付ファイルには注意が必要です。
• セキュリティ対策機能を無効にしない: アンチウイルスソフトやファイアウォールなどの機能を常に有効にしておきましょう。

Googleアカウントのセキュリティ強化も不可欠です。

• Googleセキュリティ診断を定期的に実行: Googleアカウントのセキュリティ設定を簡単に確認し、改善点を把握できます。
• 2段階認証（多要素認証）を必ずオンにする: パスワードとパスキーに加え、もう一つの認証要素を設定することで、セキュリティを大幅に強化できます。
• 回復手段を正しく設定する: 予備のメールアドレスや電話番号、バックアップコードを設定し、アカウント復旧に備えましょう。
• パスキーと端末の棚卸し: Googleアカウントのパスキー管理画面で、使っていないパスキーや見覚えのない端末が登録されていないか定期的に確認し、不要なものは削除しましょう。
• デバイスロックを必ず設定する: スマートフォンやPCには、PIN、指紋認証、顔認証などのロックを必ず設定し、紛失・盗難時の不正利用を防ぎましょう。

Unit 42は、パスキー自体はパスワードやSMSコードよりも安全であると述べており、今回の脆弱性を受けてパスキーの利用を中止する必要はないとしています。

むしろ、上記のような対策を講じることで、パスキーのメリットを享受しつつリスクを軽減することが可能です。

Googleおよび業界全体の対応と今後の見通し

今回のUnit 42からの報告を受け、Googleはすでに一部の修正を適用しています。具体的には、chrome://device-log/FIDOにおけるSDS（マスターキー）のログ露出が修正されました。

また、Unit 42の検証で不正ログインが確認されたeBayも、ユーザー検証フラグの検証不備を修正しています。

▶ あわせて読みたい：2026年最新！WSLで始めるLinux環境構築術が今、なぜ開発者に刺さるのか？

しかし、Unit 42の報告によると、パスキーの秘密鍵を保護するマスターキー（SDS）をローテーションする仕組みが存在しないことや、新たに登録されるユーザー検証キーのアテステーション（認証情報の正当性の証明）がGoogleのCloud Authenticatorによって検証されていないことなど、未解決の課題が残されていることも指摘されています。

パスキーのセキュリティを一層強化するためには、サービス提供者側が認証情報の厳格な検証を行うことや、認証情報管理システムにおいて再登録や鍵管理を強化することが求められています。

FIDOアライアンスは、パスキーの導入と展開を加速するためのデザインガイドラインを定期的に更新しており、オンラインサービスプロバイダーがより優れた一貫性のあるユーザーエクスペリエンス（UX）をデザインできるように支援しています。

今後は、パスキーの技術的な強みを生かしつつ、実装上の細かなセキュリティホールを塞ぎ、登録・復旧プロセスを含めたエコシステム全体の信頼性を高めるための継続的な努力が、業界全体で求められるでしょう。

実際の活用事例

📌 ケーススタディ

30代会社員のAさんは、日頃から多数のオンラインサービスを利用しており、セキュリティ意識は高い方でした。パスワードの使い回しを避け、主要なサービスではパスキー認証を積極的に導入していました。

しかし、今回の「Googleパスワードマネージャーの脆弱性」のニュースを見て、パスキーが必ずしも万能ではないことを知り、不安を感じました。

Aさんはまず、自身のGoogleアカウントのセキュリティ診断を改めて実行し、脆弱なパスワードがないか、2段階認証が有効になっているかを再確認しました。

次に、Googleパスワードマネージャーの管理画面を開き、登録されているパスキーの一覧を確認。以前使っていたものの現在は利用していない古いデバイスのパスキーを削除し、見覚えのないパスキーがないか入念にチェックしました。

さらに、Windows PCのOSとGoogle Chromeのブラウザが最新の状態に更新されていることを確認し、導入しているセキュリティソフトが正常に機能しているかを点検しました。

Aさんは、パスキーがパスワードよりも安全であるという基本的な認識は維持しつつも、デバイスのマルウェア対策やアカウント全体のセキュリティ設定を怠らないことの重要性を再認識しました。

この一連の対策を通じて、Aさんは自身のデジタル資産を守るための多層的なセキュリティの必要性を実感し、より安心してパスキーを利用できるようになりました。

認証方法比較表

項目	パスワード認証	パスキー認証	多要素認証 (MFA)
セキュリティ強度	低い (漏洩・フィッシングリスク高)	高い (フィッシング耐性高)	高い (複数要素で補強)
利便性	低い (記憶・入力の手間)	高い (生体認証で迅速ログイン)	中程度 (追加の手間あり)
フィッシング耐性	弱い (偽サイトで容易に窃取)	強い (秘密鍵がデバイス外に出ない)	強い (第二要素がフィッシングに強い場合)
マルウェア耐性	低い (キーロガー等で容易に窃取)	中程度 (実装によっては脆弱性あり)	中程度 (デバイス感染で突破される可能性)
導入状況 (2026年)	広く利用されているが推奨されない	主要サービスで急速に普及	多くのサービスで推奨・導入済み

まとめ

2026年8月にパロアルトネットワークスのUnit 42が報告した「Pass-ta-key」攻撃は、Googleパスワードマネージャーの同期型パスキーの実装に潜む脆弱性を悪用し、マルウェアによってパスキー保護が突破される可能性を示しました。

これは、パスキーの基盤となるWebAuthnの暗号技術そのものが破られたわけではなく、特にWindowsデバイス上でマルウェアが活動している場合に、パスキーの登録や復旧プロセスにおける実装上の弱点が狙われるものです。

この報告は、「パスキーはフィッシング詐欺に強いが、マルウェアに対しては万能ではない」という重要な教訓を私たちに与えました。

パスキーは依然としてパスワードよりも安全な認証方法であることに変わりはありません。しかし、その利便性を享受しつつ安全を確保するためには、ユーザー自身の意識と行動が不可欠です。

OSやブラウザを常に最新に保ち、不審なファイルを開かないといった基本的なマルウェア対策を徹底することが第一歩です。

さらに、Googleアカウントの2段階認証を有効にし、回復手段を適切に設定すること、そしてパスキーや登録デバイスの定期的な棚卸しを行うことが推奨されます。

サービス提供者側も、認証情報の厳格な検証やシステム全体のセキュリティ強化に継続的に取り組む必要があります。

今回の脆弱性は、次世代の認証技術であるパスキーを取り巻くエコシステム全体のセキュリティレベルを高めるための、重要な警鐘と捉えるべきでしょう。