パスワードレスのパスキーで基幹システムの不正ログインを防ぐ

月末の最終金曜日、夜の11時です。経理責任者の元に、ERPの運営元を装ったメッセージが届きます。決算前に設定を確認してほしい、ログインしてほしいという内容です。彼女は正しく見える画面にユーザー名とパスワードを入力します。しかし、それは本物ではありませんでした。月曜日には、誰かが基幹システムにログインし、顧客名簿を開き、御社の名前で見積もりを出し始めていました。システムは壊れていません。パスワードが社外に持ち出されただけです。

この一つの出来事が、財務、在庫、顧客データをクラウドで扱う日本企業にとって、パスワードレスのパスキーログインが「あればよいもの」から「必須」へと変わった理由を物語っています。パスワードこそが最も弱い环节であり、そのパスワードを今こそ取り除くことができるのです。

パスワードの問題は日本市場の許容を超えている

日本はもはや、静かな標的ではありません。S&Pグローバル・レーティングスとIBMの分析によれば、2024年に観測された全世界のサイバー攻撃の22パーセントが日本を狙っており、同年で最も標的にされた国となりました。この規模は理論上の数字ではありません。警察庁が集計した2024年のフィッシング被害の相談件数は過去最多の1,718,036件に達し、2025年の上半期だけでも119万件を超える報告が寄せられています。

ほぼすべての事案で攻撃経路は同じです。攻撃者は一人の担当者を騙して偽の画面にパスワードを入力させ、そのパスワードを使って基幹システムに到達します。どれほど強固なファイアウォール、整ったバックアップ方針、慎重な決算スケジュールであっても、あの一文字の入力の前には無力です。一度アカウントが開かれると、侵入者は通常の利用者と同じ顔をします。承認ワークフローが回り、仕訳が計上され、注文が出荷されます。

パスワードを取り除けば、標的そのものを取り除けます。パスキーはキーボードで入力するものではありません。フィッシングされることも、スクリーンショットを撮られることも、別のサイトで使い回されることも、盗まれた表計算ファイルから抜き出されることもありません。帳簿と適格請求書の記録、そして顧客との関係をひとつのERP内で運営する企業にとって、この違いはヒヤリハットと経営会議級のインシデントの分かれ目です。

パスキーが実際に置き換えるもの

パスワードは共有された秘密です。利用者が知っており、サーバーはそこから派生した何かを保管し、その間にあるどのシステムもそれを奪おうと試みることができます。パスキーはまったく異なる原理で動きます。登録すると、端末が暗号鍵のペアを作成します。秘密鍵のほうは決して端末から出ません。Macのセキュアエンクレーブ、Windows PCのトラステッドプラットフォームモジュール、あるいはスマートフォンのセキュアエンクレーブの中に宿ります。公開鍵のほうをERPが保管します。

ログインのとき、サーバーはランダムな文字列である一回限りのチャレンジを送ります。端末は秘密鍵でそのチャレンジに署名して返します。サーバーは手元に持つ公開鍵で署名を検証します。一致すれば入室を許可します。チャレンジの有効期限が切れていたり、署名が別の origin から来ていたり、リクエストが再利用されていれば、ログインは失敗します。

経営者にとって意味があるのは、3つの性質です。第一に、盗むものがありません。秘密鍵は送信されないため、フィッシングサイトが奪うことはできません。第二に、チャレンジは特定のドメインに紐付くため、そっくりなサイトが本物の応答を再利用することはできません。第三に、端末が存在を証明します。署名が作られるのは、指紋、顔、PINで端末のロックを解除した人のみです。

冒頭の経理責任者にとって、これは偽の画面が効かないことを意味します。彼女の端末は誤った origin に対するチャレンジに署名し、署名は拒否され、攻撃者は手ぶらで去るしかありません。

後付けではなく、最初から組み込まれたパスキーログイン

Kikan Systemでは、パスキーログインはサードパーティの付け足しではなく、人がサインインする本来の方法の一部です。すべての担当者は、実際に使っている端末に1つ以上のパスキーを登録できます。よくある構成は、オフィス用のPCパスキーと、外出時の承認用のスマートフォンパスキーです。それぞれに分かりやすい名前が付けられるため、どの認証情報がどれか一目で分かります。

標準で備わる能力、そのすべてが認証機能に根ざしており、CFOや業務責任者が本当に気にするものです。

パスワードレスの登録とサインイン。担当者はアカウント設定からパスキーを登録し、それ以降は生体認証や端末のPINでログインできます。パスワードは任意になり、やがて不要になります。

1ユーザーあたり複数のパスキー。利用者は信頼する端末の数だけパスキーを登録できます。PCを失くしても、その認証情報だけを無効化し、スマートフォンから仕事を続けられます。ヘルプデスクへの依頼も、パスワードリセットの連鎖も要りません。

名前の付いた管理対象の認証情報。すべてのパスキーは、業務用のPCやスマートフォンといった、利用者が選んだ名前と、端末の種類、最終使用日時を伴います。誰が自分としてサインインできるかを見直したいとき、その一覧はすぐそこにあります。

ユーザー名を省略できる認証情報検出型のサインイン。スピードを重視するチーム向けに、ログインをユーザー名なしで行えます。端末が自動的にその会社向けの正しい認証情報を提示します。主要なプラットフォームが採用するのと同じ流れで、月末に忙しい経理担当者が入力すべきものをもう一つ減らします。

その上に重ねられる二段階認証。必要なアカウントに対しては、セッションが完全に確立する前に第二の要素を要求し続けることができます。パスキーは二段階認証と対立しません。ともに働きます。

あらゆる認証ステップでのレート制限。登録とログインの試行には制限がかかるため、スクリプトがログインの入口を叩き続けて入り口を探ることはできません。これは単一の施錠された扉ではなく、多重の防御です。

サインイン時のアクティブアカウント確認。無効化や削除されたログインアカウントは、有効なパスキーがあっても認証できません。署名の検証後にこの確認が行われるからです。誰かが会社を去るとき、アカウントを停止すれば、それに紐付くすべての認証情報が効かなくなります。

会社ごとのデータ分離。すべてのパスキー操作は1社のデータに紐付きます。各社は自社のデータを完全に分離して保持するため、あるグループ向けに登録された認証情報が別のグループに届くことはありません。これは複数の事業体を1つのプラットフォームで運営する持株会社やシェアードサービスにとって重要な点です。

正直な限界も述べておきます。パスキーログインが守るのは玄関です。良好な運用習慣に取って代わるものではなく、単独でシステム内のすべての操作の変更不可な監査証跡を生み出すものでもありません。機微な変更については、承認ワークフローの履歴を通じて誰が何をいつ承認したかを記録し、ガバナンス上の疑問の多くはそこで答えられます。パスキーはより大きなセキュリティ態勢の中の一つの層ですが、最も一般的な抜け穴を閉じる層です。

シナリオ：東大阪の精密部品メーカー

東大阪に本社を置く、従業員約70名の精密部品メーカーを想像してください。自動車のティア1サプライヤーに向け、プレス加工と切削加工の部品を供給しています。同社は複式簿記、多階層の部品表管理、リコールに備えたロット追跡、そして仕入税額控除の請求に必要な適格請求書の登録番号を備えたクラウド上の基幹システムで業務を回しています。

その悩みは見慣れたものです。6名の経理チームは、絶対に漏らせない顧客と価格のデータを共有しています。工場の管理者は、現場の共用タブレットから作業時間とスクラップを入力しています。営業担当者は名古屋や東京の顧客先でスマートフォンから見積もりを出します。3年前、取引先のひとつが、ある担当者がフォーラムとERPでパスワードを使い回したことで顧客名簿を失いました。同社はその事例になりたくありません。

パスキーログインを導入すると、構成はこうなります。経理担当者は各自、PCのパスキーとスマートフォンのパスキーを登録します。工場の管理者は現場のタブレットにそれぞれパスキーを登録するため、付箋に書かれた共有パスワードはなくなります。営業担当者はスマートフォンを使います。経理責任者がPCをオフィスに置いてきたときも、同じ本人としてスマートフォンからサインインできます。認証情報は機械ではなく人に付いていくからです。

営業担当者がスマートフォンを失くしても、慌てません。別の端末からサインインし、認証情報の一覧を開き、失くしたスマートフォンのパスキーを削除します。認証情報が削除された瞬間に、そのスマートフォン上のセッションは消えます。パスワードリセットも、メールのやり取りも、何日にも及ぶ露出の窓もありません。

適格請求書制度が、顧客の監査人に対して整ったアクセス制御を示すことを求めるとき、同社は3つのことを示せます。第一に、サインインにはフィッシングできない端末紐付けの認証情報が要ること。第二に、すべてのアカウントはロールごとのアクセス権で管理されており、経理担当者は帳簿を見て、工場の管理者は製造オーダーを見て、互いの相手のデータを見ないこと。第三に、誰かの役割が変わったり退職したりしたとき、アクセスを即座に停止できること。

その結果は、技術に関する営業トークではありません。より静かな月末、IT業者への不安に満ちた電話の減少、そして指摘事項を書く代わりにうなずく監査人です。

なぜ今なのか：2025年の崖と適格請求書の圧力

この時期は偶然ではありません。日本企業が基幹システムへのアクセスを見直すのを、2つの力が同時に押しています。

第一は、2025年のレガシーの崖です。IPAと経済産業省の報告によれば、日本企業の約80パーセントがいまなおレガシーシステムに依存し、その大きな割合がサポート対象外の寿命を超えて稼働しています。刷新に踏み切る企業は、単にひとつのオンプレミスの箱を別の箱に替えているわけではありません。クラウドERPへと移行しており、それは財務や業務のデータが、インターネット全体が到達できるログイン画面の奥にあることを意味します。その画面に置かれたパスワードは、かつてのオンプレミスにはなかった程度の負債です。

第二は、適格請求書制度と、税務書類全般の締め付けです。仕入税額控除を請求する企業は、登録番号、請求書の記録、取引先のデータを保持するようになり、それらは攻撃者がこっそり読み出したり書き換えたりしたいと願うものです。誰かが貴社の経理担当者としてログインできる瞬間に、これらの記録のコンプライアンス価値は崩れます。フィッシングに強い強固なアクセスは、適格請求書への投資を実らせる一部です。

人材の側面もあります。日本の人手不足は、財務や業務のチームを少数で兼務にしています。人はより多くの役割を担い、より多くの端末を使い、オフィスと工場、顧客先を往復します。機械ではなく人に付いていくログイン方式は、2026年に業務が実際に進むあり方に合致します。

よくある質問

利用者がパスキーを持つすべての端末を失くしたらどうなりますか。

これが最もよくある懸念であり、答えは運用上のものです。基幹システムは管理者支援のリセット用にパスワードによる復旧を残しており、同じロールごとのアクセス権が誰がそれを実行できるかを管理します。現実的なリスクは響きほど大きくありません。ほとんどの担当者が少なくとも2台の端末を持つからです。完全に締め出されるという稀な事態は、セキュリティインシデントではなく、ヘルプデスクへの1本の電話です。

第二の要素がないためパスワードレスは弱いのではありませんか。

いいえ。パスキー自体が、生体認証やPINの解除と対になった強力な所有要素です。事実上、攻撃者が傍受できない組み込みの二段階認証であり、署名は本来のドメインに紐付き、決して端末から出ないからです。多くのセキュリティチームは、SIMスワップやフィッシングされうる経路で届くワンタイムコードとパスワードの組み合わせよりも、フィッシングに強いサインインをより高い水準とみなしています。

パスキーログインは月末の作業を遅くしませんか。

速くなります。ユーザー名、パスワード、そしてスマートフォンでコードを読み取る代わりに、利用者は1回の生体認証で入室します。工場の共用タブレットでは、検出型の流れによって誰もユーザー名を入力せずに正しい認証情報が提示されます。摩擦は利用者から攻撃者へと移ります。

移行中に既存の利用者が困りませんか。

強制の一斉切り替えは要りません。パスキーは追加のサインイン方式です。担当者は自分のペースで採用し、管理者はチームが慣れるまでパスワードによるログインを使い続けられます。この段階的な進め方が、決算中にログイン障害を許容できない稼働中の財務業務にとって、変更を安全にします。

重要なポイント

パスワードレスのパスキーログインは、基幹システムに入る最も一般的な経路である盗難パスワードを、正当な利用者の摩擦を増やすことなく取り除きます。2026年にERPを刷新する日本企業にとって、今年着手できる中で最も価値の高いセキュリティ上の変更のひとつです。

最も重要な扉から始める

パスワードの抜け穴を閉じるために、セキュリティ体制全体を作り直す必要はありません。パスワードレスログインを最初から備えた能力として扱う基幹システムを選び、お金、顧客データ、コンプライアンスの記録に触れる人たちに対して有効にするだけです。

基幹システムはパスキーログインを最初から組み込み、複数端末の対応、名前の付いた認証情報、ユーザー名を省略できるサインイン、レート制限、そして会社ごとのデータ分離を備えています。午後ひとつで経理や業務のチームを登録でき、手放す準備ができるまではパスワードをフォールバックとして残しておけます。

実際に確かめてみてください。2ユーザーまで無料、カード不要で /#get-started から始められます。まずは自社のロールと決算スケジュールに当てはめて検討したい場合は、/#pricing で選択肢をご確認ください。

冒頭の経理責任者には、より良い金曜の夜がふさわしいのです。彼女にフィッシングできないログインを与えれば、残りのセキュリティ体制はようやく本来の仕事に取りかかれます。