パスキーは、パスワードに代わり、端末などに保存された秘密鍵を使ってログインする仕組みだ。サービス側に登録された公開鍵と組み合わせることで、利用者が秘密鍵を保有していることを確認する。利用者は指紋や顔認証、PINなどで秘密鍵の使用を許可するだけでよい。

　だが、そんな中、ニュースレター配信サービス「Substack」で「Non-Functional」を発行するThe Hack氏は、2026年10月11日、「Passkeys are a trap. Do not use them.」（パスキーはワナだ。使ってはいけない）という記事を公開した。

　記事の冒頭でThe Hack氏は、パスキーがパスワードよりも安全で便利であることを認めつつ、必ずしも利用者の利益を最優先に設計されているわけではないと指摘する。内部に問題を抱えた仕組みだとして、パスキーを「トロイの木馬」にたとえている。その背景には、利用者がパスキーを完全にコントロールできるとは限らないという懸念がある。

　The Hack氏は、パスキーがパスワードや認証アプリのワンタイムコードよりも安全であること自体は認めている。パスワードは直感的で、誰もが仕組みを理解しやすい一方、推測や漏えいによって不正利用されるリスクがある。だが、どこに保存し、誰と共有するかを利用者自身が決められるという利点もある。認証アプリについても、利用するアプリを自分で選べる点がメリットだ。つまり、パスワードや認証アプリには、利用者が管理方法や使用するツールを選択できる余地がある。

　また、The Hack氏は記事の中で、認証アプリなどに使われる技術「TOTP」（Time-based One-Time Password：時間基準ワンタイムパスワード）を、利用者が認証手段を選びやすい仕組みとして紹介している。TOTPは、時刻とあらかじめ共有した秘密情報を基に、通常は30秒ごとに認証コードを生成する方式だ。計算方法は公開規格で定められており、特定の企業やアプリを使う必要はない。PCや自作ソフトでも実装できる。記事では、その柔軟性を示す例として、任天堂の携帯ゲーム機「GAME BOY」で認証コードを生成する取り組みも紹介している。

　その上でThe Hack氏は、性質の異なる複数の仕組みが、全て「パスキー」という同じ名称で呼ばれていることに問題があると主張する。実際のパスキーには、実装や属性にさまざまな違いがある。パスキーをコピーできるか、別の端末へ移行できるかといった点だ。また、利用者がその場にいることを確認する仕組みや、生体認証やPINによって本人の操作を確認する仕組みが備わっているかどうかも、重要な違いとなる。

　利用者はこうした違いを意識せずにパスキーを使っていることが多いが、技術的にはそれぞれ異なる。本来であれば、端末の盗難対策を重視するのか、家族に端末を貸して認証できるようにしたいのかなど、利用者のニーズによって適した仕様は変わる。だが、The Hack氏は、利用者が自分の使っているパスキーの仕組みを把握しにくいことに加え、将来的にサービス側の条件によって選択の自由が制限される可能性を問題視している。

　さらにThe Hack氏は、「Remote Attestation」（リモートアテステーション）についても言及している。リモートアテステーションを利用すれば、サービス提供者はパスキーによる認証に使われる端末やソフトウェアなどの環境を検証し、特定の条件を満たした環境からのアクセスだけを受け付けることが可能になる。

　利用者の操作や本人確認に加え、安全なチップで保護されたパスキーだけを受け入れるといった条件も設定できる。その場合、利用者が正しいパスキーを持っていても、認証環境が条件を満たさなければ、ログインできない可能性がある。利用者にはリモートアテステーションによる検証の詳細が十分に示されず、単に「このパスキーでは安全性が不十分なため、指定のアプリを使用してください」といった案内だけが表示される可能性もあるという。

　The Hack氏は、こうした仕組みが利用者の安全性を高める一方で、選択肢を狭める可能性があると指摘する。メーカーのサポートが終了したスマートフォンに独自OSをインストールして使い続けている利用者が、サービス側から「承認されていない環境」と判断され、ログインを拒否されることも考えられる。現時点では、このような制限を設けているサービスは多くないものの、それを実現する技術的な基盤は既に存在しているという。

　つまり、利用者は自分が使っているパスキーの詳細な仕様を把握していなくても、サービス側の判断によって利用を制限される可能性があるということだ。The Hack氏は、こうした傾向がインターネット全体に広がることを危惧している。リモートアテステーションによって、パスワードレス認証を推進するFIDO Allianceに参加する大手IT企業や政府機関などが共通の認証基盤を推進すれば、特定のソフトウェアやプラットフォームへの依存が強まる可能性がある。その結果、「誰がパスキーの利用条件を決めるのか」というガバナンスの問題に発展しかねないと考えているのだ。

　もっとも、The Hack氏自身も、パスキーがフィッシング対策などの面でTOTPよりも安全であることは認めている。記事では、パスキーを「使いたいし、勧めたい」と思うほど、その優れた特性を評価しているとも明かした。つまり、同氏はパスキーの安全性を否定しているのではなく、その普及の在り方に懸念を示しているのだ。なお、記事の公開後にはセキュリティ専門家などから反論が寄せられ、The Hack氏は追記で関連する反論記事や、自身の記事を参照した記事などを紹介している。

　The Hack氏が「パスキーはワナだ」という強いタイトルを掲げた背景にあるのは、「パスキーをどの端末やソフトウェアで利用できるかを、誰が決めるのか」という問いだ。パスキーは安全で便利な認証方式だが、利用者が自由に扱えるとは限らない。同氏は、サービス側がアテステーションを必須にすることで、承認された端末やソフトウェアでしかログインできなくなる可能性を懸念している。そのため、パスキーの種類や制約が利用者にわかりやすく示され、選択権が守られる仕組みが整うまでは導入を見送り、当面は認証アプリによるワンタイムコードや、独立したセキュリティキーを利用するよう呼びかけている。

　The Hack氏がパスキーの使用を避けるよう呼びかけている理由は、パスキーの認証技術としての安全性が低いからではない。安全性や利便性だけでなく、利用者が認証手段を自ら選び、自由に利用できる環境の重要性なのだ。

上司X：　「パスキーはワナだ、使うな」という記事が注目されている、という話だよ。

ブラックピット：　「パスキーはワナ」という題名だと、認証情報を盗まれやすいという話かと思ってしまいますね。

上司X：　いや、内容的には、パスキーの安全性を認めながら、その普及が利用者の選択の自由を狭める可能性を論じているんだ。

ブラックピット：　安全性を評価しているのに、使わないよう呼びかけているわけですか？

上司X：　使わないよう呼びかけてはいる。ただ、安全性を問題にしているわけではない。著者が問題にしているのは、どの端末やソフトでログインできるかを、サービス側が決めるようになるのではないか、という点のようだ。

ブラックピット：　まあ実際、パスキーを使う機会は増えていますけど、どういう仕組みかまでは把握してませんよね。サービス側から決められればそれに従うしかないのかもしれません。

上司X：　ああ。パスワードと二段階認証を使ったログインならざっくりした仕組みは理解できるけど、確かにパスキーってその仕組みが分かりにくいんだよ。

ブラックピット：　だからこそ、パスキーの仕組みが理解される前に利用が進むことを危惧しているんですかね。

上司X：　そういうことのようだ。パスキーが安全で便利なのはもちろんだが、パスワードのようにどこまで自分で決められるかが明確でないと、サービス側が仕様を固めてしまって、結局利用者の選択肢が狭められてしまう。これこそが「ワナ」ということなんだろう。