中小企業のパスワードレス認証導入ガイド｜パスキー・FIDO2でMicrosoft 365・Google Workspaceのフィッシング耐性を高める実践手順

パスワードをどれだけ複雑にしても、フィッシングに引っかかった瞬間に無意味になります。「社員がフィッシングメールを踏んでMicrosoft 365のアカウントを乗っ取られた」——中小企業の情シス担当者からよく聞く事例です。多要素認証（MFA）を導入していても、AiTM（Attacker-in-the-Middle）型の攻撃ではトークンごと盗まれてしまいます。

この問題を根本から解決するのがパスワードレス認証です。パスキー（Passkey）やFIDO2を使えば、そもそも「盗まれるパスワード」が存在しない仕組みを実現できます。

この記事では、パスワードレス認証の仕組みから、Microsoft 365・Google Workspaceへの段階的な展開手順まで、情シス1人体制の中小企業でも今すぐ始められるレベルで解説します。

パスワードレス認証とは？（なぜ今重要か）

パスワードレス認証とは、文字どおりパスワードを使わずにユーザーを認証する仕組みです。その中核にある技術がFIDO2（Fast IDentity Online 2）とWebAuthnです。

従来の認証では、ユーザーが入力したパスワードをサーバー側と照合します。この方式には根本的な欠点があります。パスワードはフィッシングで騙し取れるし、使い回しによってリスト型攻撃にも弱い。どれだけ複雑なパスワードを強制しても、偽サイトに入力した時点で終わりです。

FIDO2とパスキーが根本的に違うのは、秘密鍵がデバイスの外に出ない点です。

・公開鍵暗号ベース: ユーザーのデバイスで秘密鍵を生成・保管し、公開鍵だけをサーバーに登録する
・オリジンバインディング: 認証情報は登録したドメインにしか使えない。偽サイトには反応しない
・本人確認が必須: 秘密鍵を使う前に指紋・顔認証・PINでデバイスの所有者を確認する

フィッシングサイトに誘導されても、「登録済みの正規ドメインと違う」とデバイスが判断し、認証情報を渡しません。「盗まれうるパスワード」が存在しないため、フィッシングが構造的に成立しないのです。

AiTM攻撃でもMFAが破られる仕組みと対策

2024年以降、AiTM（Attacker-in-the-Middle）フィッシングが国内企業でも被害を出しています。AiTMは正規サービスとユーザーの間に攻撃者のプロキシを挟み、多要素認証のOTPやセッショントークンをリアルタイムで盗む手口です。SMSやアプリのOTPでMFAを導入していても破られる理由はここにあります。

パスキー・FIDO2はオリジンバインディングにより、プロキシサイトのドメインと登録ドメインが一致しないため認証が完了しません。AiTMに対して構造的な耐性があります。

AiTMフィッシングの手口の詳細は、AiTMフィッシングとは？多要素認証を突破するプロキシ型攻撃の仕組みと企業の対策をわかりやすく解説で解説しています。

具体的な導入手順

1. Microsoft 365（Entra ID）でのパスワードレス設定

Microsoft 365ではEntra ID（旧Azure AD）の認証方法ポリシーからパスワードレス認証を有効化します。追加ハードウェアコストをかけずに始めるなら、Microsoft Authenticatorアプリのパスワードレス電話サインインが最初の選択肢です。

設定の大まかな流れ（想定例）

Entra ID管理センターの「保護」→「認証方法」から「Microsoft Authenticator」ポリシーを開き、「パスワードレス（電話でのサインイン）」を有効化します。有効化後はユーザー登録キャンペーン機能を使い、サインイン時にユーザーへ順次案内できます。

# Microsoft Graph PowerShellでパスワードレス設定状況を確認する例
# 前提: Microsoft.Graph モジュールがインストール済み

Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"

# 認証方法ポリシーを確認
Get-MgPolicyAuthenticationMethodPolicy | Select-Object -Property Id, Description

FIDO2セキュリティキー（YubiKeyなど）を使う場合は、同じポリシーで「FIDO2セキュリティキー」も有効化します。1本2,000円～5,000円程度のキーを、まず特権アカウント（グローバル管理者等）向けに優先配布するのが現実的です。

2. Google Workspaceでのパスキー設定

Google Workspaceでは、Googleアカウントのパスキーサポートが標準で利用可能です。管理コンソールから組織単位（OU）ごとにパスキーの使用を要件化できます。

設定の大まかな流れ（想定例）

Google管理コンソールの「セキュリティ」→「認証」から、「パスキーを許可する」設定を確認します。管理者アカウントから試験的に有効化し、設定フローに問題がないことを確認してから全社展開を進めます。

ユーザーは自分の端末（Windows/macOS/Android/iOS）でGoogleアカウントにサインインした際にパスキーの設定を促されます。既存のWindowsパソコンにTPMチップ（Windows 10以降のPCにはほぼ搭載）があれば追加コスト不要です。

3. Windows Hello for Businessの設定

Entra ID参加デバイスや、Entra ID登録済みデバイスがあればWindows Hello for Businessを展開してWindowsサインイン自体をパスワードレス化できます。

Microsoft Intune（MDMポリシー）またはグループポリシー（GPO）を使い、PINの最小長・生体認証の許可・クラウド信頼モデルの有効化などを設定します。クラウド信頼モデルはオンプレミスPKI構築が不要なため、中小企業の展開ハードルが大幅に下がりました。

中小企業でも今日からできること

一度に全員のパスワードを廃止しようとすると必ず失敗します。リスクの高い場所から段階的に導入するのが現実的です。

フェーズ1（今すぐ・追加コストなし）

・Microsoft 365: Authenticatorアプリのパスワードレス機能を管理者アカウントだけ有効化し、1週間運用して問題がなければ対象を拡大する
・Google Workspace: 管理者アカウントでパスキーを設定し、設定フローを確認してから社員へ案内する
・Windows端末: Windows HelloのPIN設定から始め、生体認証（指紋・顔認証）への移行を促す

フェーズ2（1～3か月後）: 全社展開とリカバリー整備

・Authenticatorのパスワードレスサインインを全社員に案内
・パスキーを紛失・機種変更した場合のリカバリー手順をドキュメント化する
・既存パスワードを無効化する前に、全員の登録状況をレポートで確認する

フェーズ3（予算ができたら）: FIDO2セキュリティキーで管理者を完全保護

・特権アカウントにはFIDO2セキュリティキーを配布
・鍵の紛失に備えてバックアップキーを1本用意し、金庫に保管する
・レガシーシステムは別途パスワードポリシーで管理し、FIDO2対応システムから順次切り替える

パスワードレス認証への移行はゼロトラスト設計の第一歩でもあります。ゼロトラスト全体の段階的な進め方については、中小企業のゼロトラスト入門｜境界型セキュリティから脱却する段階的移行ロードマップもあわせて参考にしてください。

よくある誤解と注意点

【誤解1】パスキーにすれば今日からパスワードが完全になくなる

現実は段階的です。FIDO2に対応していないレガシーシステム（社内業務システム・VPNクライアントなど）はパスワードが残ります。「パスワードを使う場面を最小化する」が現実的な目標です。

【誤解2】セキュリティキーを1本用意すれば安心

バックアップなしに1本だけ配布するのは危険です。鍵を紛失・破損した際のアカウントロックアウトが事業に影響します。必ず復旧手順（Entra IDの一時アクセスパスや管理者による認証方法リセット等）を整備してから展開してください。

【誤解3】社員への説明が複雑でハードルが高い

実際には「スマホの顔認証・指紋でサインインする」と説明するだけで多くの社員が理解します。認証の難しさはパスワードより低く、「パスワードを忘れた」というヘルプデスク対応が減る効果もあります。

【注意】アカウントリカバリー設計が最重要

新入社員が初日にパスキーを登録できない、端末を落として使えないなどのシナリオを必ず想定してください。管理者がEntra IDやGoogleコンソールから認証方法をリセットできる体制を事前に整えておくことが、安全な全社展開の前提条件です。

本記事のまとめ

パスワードレス認証の本質的な価値は「フィッシングで盗まれるものがなくなる」ことです。フィッシングメールは届き続けますが、社員がURLをクリックして偽サイトに情報を入力しても認証情報が漏洩しない環境を作れます。

まずはMicrosoft 365かGoogle Workspaceの管理者アカウントから試してみてください。自分のアカウントでパスキーサインインを体験することが、全社展開への最初の一歩です。