[ITmedia エンタープライズ] パスワードはもう限界 「物理」のセキュリティキーを手掛けるYubicoの日本市場戦略

AIの悪用で、フィッシングは人の目では見抜けないものになりつつある。その対策として「物理的に鍵を持つ」認証が存在感を増している。ハードウェアセキュリティキー「YubiKey」のYubicoが都内で会見し、日本戦略を説明した。物理キーは今、誰に、なぜ求められているのか。

» 2026年11月16日 07時00分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　ハードウェアセキュリティキー「YubiKey」を開発するYubicoは2026年11月12日、記者会見を開き、日本市場での戦略と、ID管理サービスを手掛けるOktaとの共同調査「2026年 グローバル認証状況調査」の結果を説明した。登壇したのはジェロッド・チョン氏（CEO）と、Yubico Japanの大友淳一氏（コマーシャル営業部部長）だ。

左から、ジェロッド・チョン氏、大友淳一氏（筆者撮影）

　YubiKeyは、PCのUSBポートに挿すか、スマートフォンにかざして使う物理的な認証キーだ。PINを入力してキーに指で触れるとログインが完了する。パスワードのように盗まれる文字列を持たず、SMSで届く確認コードのように攻撃者へ転送されることもない。

　日本では長く、企業でも個人でもパスワードが認証の主役であり続けてきた。しかし今、この小さな物理キーを取り巻く状況が変わり始めているという。

なぜ今、「物理キー」が求められ始めたのか

　変化の背景にあるのは、2026年9月以降に国内で相次いだサイバー攻撃の被害と、同社が同じ9月に始めた個人向け販売だ。

　大友氏は「（2026年）9月以降、さまざまな攻撃が日本に来ている」として、営業現場の変化をこう語った。

　「9月以前と9月以降を比べると、『YubiKeyが欲しい』というお客さまの数が本当に変わった。これまでは説明を重ねて購入に至るプロセスだったが、今はお客さま自身で調べられていて、『買いたい』と直接問い合わせがある」（大友氏）

物理キーがフィッシングを断ち切る仕組み

ハードウェアベースのパスキーがフィッシングを断ち切る流れ（出典：Yubico会見資料）

　YubiKeyは認証標準「FIDO」のパスキーに対応する。パスキーは、パスワードの代わりに生体認証やPINによる本人確認と公開鍵暗号を組み合わせる認証方式だ。偽サイトにユーザー名とパスワード、SMSコードまで入力してしまっても、正規サイトはキーとの暗号的な通信を要求するため、キーを持たない攻撃者のログインは成立しない。キーは登録したサイトのドメインとひも付けて認証するため、偽サイト上でキーに触れても正規サイトへのログインには使えない。チョン氏はこれを「怪しいものを検知して即遮断する、回路遮断器のようなものだ」と説明し、キーに触れる操作が「本当にログインしたい」という本人の意図の表明になる点も強調した。

　YubicoとOktaが調査会社Talker Researchを通じて9市場のテクノロジーとセキュリティの専門家1890人に実施した共同調査（2026年7月2～16日）では、87％がパスキーを認知する一方、最多の43％は今もユーザー名とパスワードで業務にログインしていた。ハードウェアキーの利用は日本が15％で、世界平均の25％を下回る。日本では、AIを悪用したフィッシング攻撃が成功したかどうか「分からない」との回答が30％に上り、世界平均の11％の約3倍だった。日本はハードウェアキーの利用が世界平均を下回る上、攻撃の成否を把握できていない回答者も多い構図だ。

個人向け販売と、企業向けの追い風

　個人向けには、2026年9月からYubico公式オンラインストアとAmazon.comでYubiKeyの販売を始めた。楽天でも提供予定だ。日本語サポートを備え、国内倉庫から配送する。OpenAIとの協業では、生成AIツール「ChatGPT」やコーディング支援AI「Codex」のアカウントを守るYubiKeyの2個パックを、アカウント保有者向けに特別価格で提供する。チョン氏によると、このバンドルで日本は米国に次いで2番目に大きい市場だという。2個パックなのは紛失に備えたもので、「1つなくしてももう1つある形にしている」（チョン氏）という。

　企業向けには規制の追い風がある。金融庁が2025年10月15日に改正した「金融商品取引業者等向けの総合的な監督指針」は、証券口座のログインや出金にフィッシング耐性のあるMFA（多要素認証）を求める。デジタル庁が2025年に改定した、国の行政手続における本人確認のガイドライン「DS-511」も、最高位の認証器保証レベル「AAL3」でMFAに加えてフィッシング耐性を必須とし、秘密鍵の不正な抽出や複製への対策として、耐タンパー性（内部のデータを不正に読み出したり改ざんしたりされにくい性質）を持つハードウェアを挙げる。

　需要拡大を見据えた体制づくりも進める。質疑応答でチョン氏は、2026年8月にディストリビューター契約を結んだ日立ソリューションズに触れ、「われわれ自身だけでサポートを全てやろうとは考えていない」と述べた。国内パートナーとの協業強化と日本拠点の人材への投資に加え、キーの国内在庫も積み増す。紛失や故障時の交換に素早く対応する考えだ。

　同時に、2026年7月に出荷を始めた最新ファームウェア「YubiKey 5.8」（新たに出荷するキーに搭載し、既存のキーには適用できない）を紹介した。ログイン時の認証に加えて、文書署名や決済、AIエージェントの操作に対する認可（オーソライゼーション）に対応する。ポスト量子暗号（PQC、量子コンピュータによる攻撃に耐えられるよう設計された暗号技術）に対応するβ版も発表済みだ。

　チョン氏は会見で、日本の現状を次のように語った。

　「サイバーセキュリティ関連の侵害のニュースが本当に事欠かない。多くの日本の皆さんが絶望的な気分でいるのではないかと思う。その状況を変えたい。堅牢（けんろう）な認証のテクノロジーをデフォルトにして、しっかり守っていけるのだと理解してほしい」（チョン氏）