Passkey Index 2026：ログインの3分の1がパスワードなしに。移行のための評価基準も公開

2026年10月15日、カンファレンス「Authenticate」の開幕にあわせて、FIDOアライアンスはPasskey Indexの第2版を公開し、世界推計を見直しました。利用中のパスキーは約70億件に達し、5月に発表された50億件から増えています。この目を引く数字の裏で、報告書の価値は別のところにあります。銀行、メッセージングアプリ、通信事業者、決済プラットフォームを含む主要15の消費者向けサービスが、実際のログインデータを提供したのです。プロダクトチームにとって、パスキーの約束と大規模運用での実績を比較できる初めての機会です。

数字が語ること

ログイン成功の3件に1件以上がパスキー経由：参加者平均で36%。2025年版の26%から上昇しました。
パスキーの方が成功しやすい：試行の93%が成功し、パスワードやSMSコードを含む従来型の多要素認証の78%を上回ります。速度は約3倍で、1回のログインあたり平均27秒を節約します。
対象範囲はほぼ全体：アクティブアカウントの90%がパスキーを作成でき、対象アカウントの42%がすでに登録済みです。全アカウントの約38%にあたります。
登録と利用の差は縮小中：登録済み38%に対しログイン利用36%。昨年は34%と26%でした。
セキュリティ効果がついに実測された：フィッシングを計測している8社すべてが導入後に成功攻撃の減少を報告し、コストデータを提供した4社はSMSコードの費用が下がったとしています。
次の一手は決まっている：13社中9社が、12か月以内にパスワードを一切使わないアカウントの提供を計画しています。

FIDOアライアンス自身が限界を明記しています。平均は加重されておらず、小規模サービスも世界的プラットフォームも同じ重みで数えられ、参加者は9社から15社に増えたため、2025年との比較は厳密ではなく方向性を示すものです。それでも、全体の傾向は一致しています。

本当の障壁はもう技術ではない

報告書は、登録済みアカウントと実際のログインの差について、具体的な原因を指摘しています。2社が、パスキーを持つユーザーに対してさえ、ログイン画面でパスワードやコードをパスキーより先に提示していると認めているのです。つまり技術は整い、ブラウザとOSは対応済みなのに、ログイン画面が旧来の方法を押し続けている状態です。しかし、同じアカウントでフィッシング可能なパスワードが受け付けられる限り、パスキーのセキュリティ上の利点は消えてしまいます。これは導線設計の問題、すなわちプロダクトの意思決定であり、インフラ工事ではありません。

FIDOの評価基準：自己評価のための4段階

この壁を越える助けとして、FIDOアライアンスはPasskey Centralで4段階の累積的な評価基準を公開しています。これは自己診断のためのツールであり、認証制度ではありません。

ブロンズ、機能面の最低ライン：ロックアウトを防ぐためアカウントごとに複数のパスキーを許可すること、目に見える管理画面、明示的な代替手段、一貫した用語。
シルバー、ローンチ時の推奨目標：ログイン欄での自動入力、適切なタイミングでのパスキー作成の案内、エラー処理、アクセシビリティ。
ゴールド：ログイン成功後に保存済みパスワードをパスキーへ自動アップグレードし通知すること、無効になったパスキーを除去するためのSignal API連携、リスクに見合ったアカウント復旧。
プラチナ：パスワードやSMSコードといったフィッシング可能な要素の廃止と、同一ブランドの複数ドメイン間での整合。

評価基準はよくある誤りも列挙しています。パスキー作成を強制するブロッキングモーダル、アカウントあたり1つのパスキーしか許さない制限、ユーザーに知らせない無言のアップグレードなどです。

誰に関係するのか

人を認証するすべてのサービスです。顧客ポータル、会員エリア、社内業務アプリケーション、SaaSツール。意思決定者はSMSコストと不正に関する定量的な根拠を、プロダクトチームは読みやすいロードマップを、セキュリティチームはフィッシング耐性の実地の証拠を得られます。従業員向けにパスキーを展開する組織には、Passkey Centralに専用セクションが新設され、導入ガイドと事例が整理されています。

どこから着手するか

3つの指標を測ります。対象アカウントの割合、登録済みアカウントの割合、パスキーによるログイン成功の割合。この数字なしに、根拠ある判断はできません。
評価基準に自社を当てはめます。基準自体が最も多いと指摘する不足は、アカウントあたり1つのパスキーという制限と、管理画面の欠如です。
パスキーを持つユーザーには、ブラウザの自動入力を使ってパスキーを既定の経路にします。38%と36%の差が決まるのはここです。
準備の整った利用者層から、ハイリスクのアカウントを皮切りにパスワードなしアカウントを用意し、代替手段を外す前に復旧手順を定めます。
SMS削減を予算に組み込みます。多くの場合、これがプロジェクトの費用をまかなう項目になります。

私たちは、ブロンズの基盤からパスワードなしアカウントまで、この診断と導線設計においてプロダクトチームと技術チームを支援します。ログイン導線についてご相談ください。