日本企業の認証はなぜ遅れている？ Yubicoが示すパスキー普及への「3つの道筋」

サイバー攻撃の高度化を背景に、IDとパスワードに依存した認証から、パスキーをはじめとするフィッシング耐性を備えた認証への移行が求められている。一方、認証技術について「知っている」ことと、企業が実際に導入することとの間には、依然として大きな隔たりがあるようだ。

セキュリティキー「YubiKey」を提供するYubicoは11月12日、東京都内で記者説明会を開催した。Yubico CEOのJerrod Chong氏と、Yubico Japan コマーシャル営業部部長の大友淳一氏が、日本における認証の現状と同社の市場戦略、AI時代を見据えた認証技術の方向性について説明した。

AIでフィッシング攻撃が「高速・大規模・高度」に、従来型MFAにも限界

冒頭、Chong氏は同社が2012年にGoogleとパートナーシップを結んで以降、MicrosoftやAppleなどとも協業しながらFIDO(Fast IDentity Online)の標準化やパスキーの普及に取り組んできた経緯を説明。直近ではOpenAIとも連携し、ChatGPTなどを利用するユーザーのアカウント保護にも取り組んでいる。

Yubicoの沿革

同氏は現在のサイバー攻撃を巡る大きな変化として「AIの登場で攻撃の『高速化』『大規模化』『高度化』という3つが可能になった。以前であれば、この3つのうち2つ程度なら何とか防御できたかもしれない。しかし、AIによって3つが同時に実現するようになると、従来のやり方では十分に対応できない」とAIの影響を指摘する。

Yubico CEOのJerrod Chong氏

特に問題視したのが、認証情報を狙うフィッシングだ。攻撃者はメールやSMSから精巧な偽ログインページへユーザーを誘導し、ユーザー名とパスワードを盗み取る。さらに、SMSやOTP(ワンタイムパスワード)、モバイルプッシュなどによるMFA(多要素認証)を利用していても、認証情報をリアルタイムで中継するなどして突破される可能性がある。

これに対し、FIDOに準拠したパスキーでは公開鍵暗号を利用し、認証情報をWebサイトごとにひも付けることで、偽サイトへの認証情報の受け渡しを防ぐ。YubiKeyのようなハードウェアベースのパスキーでは、物理的な認証器を所持していることも認証に用いる。

Chong氏はこれを攻撃を止める「サーキットブレーカー」に例え、「攻撃者はエンドユーザーが所有する物理的なYubiKeyを持っていないため、正規サイトへの認証を完了できない」と説明した。

日本ではパスキー認知率87%、43%はいまだID・パスワードを利用

では、日本企業の認証対策はどこまで進んでいるのか。大友氏は、YubicoとOktaが9市場、1890人を対象に実施した「2026年グローバル認証状況調査」を紹介した。

調査では、パスキーを「知っている」という回答が87%に達した一方で、43%は依然としてユーザー名とパスワードで業務システムにログインしていた。また、52%がオンボーディング時にユーザー名とパスワードを発行され、76%はアプリケーションごとに異なる認証方法を利用しているという。

日本企業は専門家でさえ知っていることを実践できていないという

大友氏は「パスキーの認知度は非常に高いものの、実際の業務で利用されているかというと、まだ十分に普及しているとはいえない」と指摘する。

Yubico Japan コマーシャル営業部部長の大友淳一氏

つまり、利用者が新しい認証方式を知らないことだけが普及を阻んでいるわけではない。入社時などに設定された従来型の認証をそのまま使い続ける「デフォルト」の問題や、システムごとに認証方式が分断されていることが、移行を難しくしているというわけだ。

日本と世界の差も小さくない。すべてのアプリケーションでMFAを必須としている割合は、日本の44%に対して世界は71%。ハードウェアキーの利用率も日本15%、世界25%だった。さらに、エージェント型AIのID確認を重要と考える割合は日本35%、世界57%となった。

日本と世界の比較

大友氏は「日本では認証基盤をさらに発展させていく必要がある。一方で、足元では企業の意識に変化もある。最近では、Yubico側から説明して導入につなげるだけでなく、顧客自身が事前に調べたうえでハードウェアセキュリティキーの購入を相談するケースが増えている」という。

Yubicoが日本市場で打ち出す「3つの道筋」

こうした状況を踏まえ、Yubicoが日本で打ち出すのが「法人・事業者向け」「一般消費者向け」「サイバーセキュリティ&AI」という3つの領域を軸とした市場戦略だ。

Yubicoが日本市場で打ち出す「3つの道筋」

法人市場では、金融サービスをはじめとする規制産業への対応や、国内の販売代理店、システムインテグレーターとの連携を進める。一般消費者向けでは、9月からYubico公式オンラインストアとAmazonで販売を開始し、楽天市場にも販路を広げる。公式ストアでは18製品、Amazonと楽天では主要8製品を取り扱う。

OpenAIとの協業も日本で展開する。ChatGPTなどのアカウントを保護するため「YubiKey C NFC」と「YubiKey C Nano」を組み合わせた2個パックを提供する。

Chong氏は「サービスを提供する企業には、そのサービスを利用するユーザーをしっかりと守る責任がある」と述べ、堅牢な認証をサービス側の責任として実装していく必要性を訴えた。

AI時代、認証から「人間による認可」へ

さらにYubicoは、認証の先も見据える。最新ファームウェア「YubiKey 5.8」では、AIエージェントなどが実行する操作について、人間がYubiKeyをタップすることで明示的に承認する仕組みを提供。CTAP 2.3とWebAuthn署名拡張を開発者プレビューとして搭載し、文書署名や決済などへの応用も視野に入れる。