パスキーにすればウイルス対策はもう不要？──マルウェアに感染したとき何が起きるのかをQ&Aで整理

パスキーを設定したお客様から、決まって同じ質問をいただきます。「これでもう、ウイルスの心配はしなくていいのですか？」

答えは「半分は正しい」です。パスキーは、これまで多くの被害を生んできた攻撃をきれいに無効にします。一方で、パソコンそのものがウイルスに感染したときの被害は、パスキーでは防げません。守っている場所が違うからです。

この記事では、「パスキーは何を守り、何を守らないのか」を、いただくことの多い質問に順番に答える形で整理します。専門用語は最小限にしています。パスキーの設定方法そのものはパスキーとは？Google Workspaceのパスキー設定手順をご覧ください。

Qパスキーそのものが、ウイルスに盗まれることはありますか？

パスキーの鍵は、パソコンに内蔵されたセキュリティ専用のチップ（TPM）の中で作られ、その中から外に出ない設計です。指紋や顔で本人確認をすると、チップの中で計算が行われ、その結果だけが外に出ます。鍵そのものはどこにも渡りません。

ここがパスワードとの決定的な違いです。ブラウザに保存したパスワードは、暗号化されていても最終的にはファイルとして端末上に存在します。情報を盗むタイプのウイルスは、まずそこを丸ごと吸い上げます。パスキーには、その吸い上げの対象になるファイルがありません。

物理的なセキュリティキー（USBに挿す小さな機器）なら、鍵はパソコンの中にすら存在しないので、さらに堅くなります。

Q鍵が盗まれないなら、感染しても平気ということですか？

ウェブサービスは、一度ログインすると、その後は毎回パスワードを聞いてきません。ブラウザの中に「この人はログイン済みです」という小さなデータ（クッキー）を持たせ、次からはそれを見て本人だと判断しているためです。

ウイルスに感染すると、このデータがそっくり盗まれます。攻撃者はそれを自分のパソコンのブラウザに移すだけで、ログイン画面を一度も通らずに、そのアカウントの中に入れてしまいます。パスワードも、パスキーも、2段階認証も、そもそも通らないので効きません。

この手口は珍しいものではなく、盗んだデータを売買する市場ができあがっています。ある調査では、情報を盗むタイプのウイルスによる流出データの流通量は2025年に前年比7割以上増えたと報告されています。価値が高いのは、まさにこの「ログイン済みの状態」が含まれているからです。

Qどうしてログインし直さずに入れてしまうのですか？

従来のクッキーは、持っている人が誰であっても同じように使えました。中身をコピーして別のパソコンに置けば、そのパソコンでもログイン済みとして扱われます。これは利便性のための設計で、長年そのまま使われてきました。

この前提を変えようというのが、次にご説明する新しい仕組みです。

Qそれならパスキーにする意味はありますか？

パスキーにすると、次の攻撃は成立しなくなります。

• 偽サイトへの入力──パスキーは作成したサイトのアドレスと結び付いているため、本物そっくりの画面を用意されても反応しません。
• パスワードの使い回しによる被害の波及──他社サービスから漏れたパスワードで会社のアカウントに入られる、という連鎖が起きません。
• SMSの確認コードの横取り──人がコードを入力しないため、電話番号を乗っ取られても関係ありません。

実際に中小企業で起きるアカウント乗っ取りは、この3つのいずれかから始まることがほとんどです。入口を塞ぐ効果は大きく、パスキーにする価値は変わりません。そのうえで、感染時に備える対策を別に用意する、という考え方になります。

Qログイン済みの状態を盗まれない対策はありますか？

Google Workspace / Chrome の場合

DBSC（デバイス バウンド セッション認証情報）という仕組みが、Chrome 146（Windows版）で一般提供になりました。クッキーをパソコンのセキュリティチップと結びつけるため、盗まれたクッキーを別のパソコンに移しても使えません。

Microsoft 365 の場合

条件付きアクセスの「トークン保護」が同じ役割を担います。ログイン後の情報をデバイスに結び付け、別の端末では使えないようにします。

プランや環境によらずできること

• ログインしたままにしない──共有のパソコンや外出先の端末では、使い終わったらログアウトする。
• 身に覚えのない端末からのログインを確認する──Googleアカウントの「セキュリティとログイン」で、ログイン中の端末を一覧で確認できます。
• 認証手段が勝手に増えていないか見る──乗っ取られたあと、攻撃者が自分のパスキーや2段階認証を追加する手口があります。

Qウイルス対策ソフトは結局必要ですか？

認証が固くなるほど、攻撃者にとっては認証を突破するより、端末を感染させるほうが近道になります。実際、認証の強化が進んだこの数年で、情報を盗むタイプのウイルスによる被害は増え続けています。

特別なソフトを買い足す必要はありません。Windowsであれば、Microsoft Defender を有効にしたままにし、Windows Update を止めないだけでも土台はできます。そのうえで、次の点を守ってください。

• 出所のわからないソフトをインストールしない（「無料版」「クラック版」の配布サイトは典型的な感染源です）。
• ブラウザの拡張機能を安易に追加しない。拡張機能は画面の中身を読み取れるため、乗っ取られると影響が大きくなります。
• 普段の作業を管理者権限のアカウントで行わない。

Q感染したかもしれないときは、何をすればいいですか？

Google Workspaceの管理者向けには、不審なセッション Cookie の調査と対処という公式手順も用意されています。心当たりがある場合はこちらもあわせてご確認ください。

Qスマホと同期するパスキーは危なくないですか？

パスキーには2つの種類があります。

種類	例	特徴
その端末限り	Windows Hello、物理セキュリティキー	鍵が端末の外に出ない。買い替えのたびに作り直しが必要。
同期するタイプ	iPhoneやAndroidのパスキー、パスワード管理ソフト	同じアカウントの端末で共有できて便利。鍵の保管場所がクラウドにも広がる。

同期するタイプは暗号化されて保管されており、それ自体が危険というわけではありません。ただし、そのプラットフォームのアカウント（Apple ID や個人のGoogleアカウント）を乗っ取られたときに、影響が及ぶ範囲が広くなります。管理者や経理担当者など、権限の大きいアカウントは、Windows Helloや物理セキュリティキーのようなその端末限りの方式にしておくと安全側に倒せます。

まとめ：パスキーが守るもの・守らないもの

攻撃	パスキーで防げるか	必要な対策
偽サイトにパスワードを入力してしまう	防げる	パスキー
他社サービスから漏れたパスワードの使い回し	防げる	パスキー
SMSの確認コードの横取り	防げる	パスキー
ログイン済みの状態（クッキー）の盗み取り	防げない	DBSC／トークン保護、端末の防御
感染した端末上での不正な操作	防げない	ウイルス対策、権限の分離
乗っ取られたあとの認証手段の追加	防げない	設定変更の監視、定期的な棚卸し

整理すると、パスキーは入口を固める対策、ウイルス対策とセッションの保護は入られたあとに備える対策です。どちらか一方では足りず、重ねて使うものだとお考えください。

そのうえで朗報もあります。これまで「防ぎようがない」と言われてきたクッキーの盗み取りに対して、Google Workspaceでは何もしなくても保護が有効になりました。まずはパスキーを設定し、Chromeを最新版に保ち、ウイルス対策を止めない。この3つで、中小企業の実務としては十分に堅い状態になります。

参考にした公式情報

• Protecting cookies with Device Bound Session Credentials（Google 公式ブログ）
• Prevent account takeovers with DBSC, now generally available in Chrome for Windows（Google Workspace Updates）
• 不審なセッション Cookie の調査と対処（Google Workspace 管理者 ヘルプ）
• トークン保護による条件付きアクセス ポリシーの強化方法（Microsoft Learn）