【パスキー設定が完了したら】パスワードは削除しなくても大丈夫？
パスキーを設定したあと、「前のパスワードは消したほうがいいの？」と気になりました。公的機関と業界団体の資料で調べました。
先に答え
- 国内の公的機関の資料では、利用者に向けて「パスキーを設定したらパスワードを削除しよう」とまで書いた文は、調べた範囲では見つかりませんでした
- 一方で、パスキーの規格を作っている業界団体の FIDO アライアンスは、サービスを提供する会社向けの資料で、パスキーとパスワードの両方でログインできると「パスワードがパスキーの安全さを損ないうる」としています
- パスワードを消せるか（止められるか）は、サービスしだいです。止められるなら、ログインできなくなったときの戻し方を確かめてからにしましょう。止められないなら、パスワードを強くしておきます
パスキーとは
IPA（情報処理推進機構）は、パスキーを次のように説明しています。
パスワードの代わりに生体認証（指紋認証や顔認証など）やデバイスのロック解除機能（PINコードなど）を使って、サービスのアカウントにログインする新しい認証方式のことです。
- ログインに使う秘密の情報は、正しいサイトのアドレスとひもづけて保存されます。そのため、偽サイトには送られません（フィッシング対策協議会）
- IPA は、パスワードに代わるログインの方法として、パスキーの利用をすすめています。ただし、使えるのはサービスが対応している場合だけです
出典：インターネットサービスへの不正ログインによる被害が増加中（IPA・2025年8月28日）・フィッシング対策ガイドライン 2026年度版（フィッシング対策協議会・PDF）
パスワードを残しておくと、なぜ危ないのか
パスキーは偽サイトでは働きません。でも、パスワードでもログインできるままだと、偽サイトでパスワードを入力させて盗み、そのパスワードでログインされる余地が残ります。
FIDO アライアンスの資料（サービスを提供する会社向け）には、次のようなことが書かれています。
- 攻撃者は、フィッシングでパスワードを手に入れ、不正にログインできる
- パスキーと並べてパスワードのログインを残すと、偽サイトにつけこまれる弱点になる
- 「お使いの環境はパスキーに対応していません。パスワードでのログインを有効にしてください」といった偽の表示でだまし、パスキーだけの設定を外させる手口がある
日本証券業協会も、証券会社の利用者に向けて、パスキーを登録するときを狙ったフィッシングに注意をうながしています。パスキーの登録は、公式サイトや公式アプリから行いましょう。
出典：Passkeys: The Journey to Prevent Phishing Attacks Part 2（FIDO アライアンス・英語・PDF）・不正アクセス等にご注意ください！（日本証券業協会）
パスワードを消せるかどうかは、サービスしだい
FIDO アライアンスの資料では、パスワードでのログインを止める作り方として、次の2つがあげられています。
| 作り方 | パスワードは |
|---|---|
| パスキーを登録すると、パスワードでのログインが自動で止まる | 自動で止まる |
| パスワードを止めるかどうかを、利用者が選べる | 自分で止める |
このほか、パスキーとパスワードを並べて使えるままのサービスもあります。日本証券業協会も、証券会社がフィッシングに強い認証を入れるときは、顧客の負担を考えて、これまでの認証方法との併用や段階的な導入も考えられる、としています。
まずは、使っているサービスの設定画面で、パスワードでのログインを止める設定があるかを確かめてみましょう。
出典：Passkeys: The Journey to Prevent Phishing Attacks Part 2（FIDO アライアンス・英語・PDF）・インターネット取引の不正アクセス等防止ガイドライン改正案のパブリックコメントの結果（日本証券業協会・2025年10月15日・PDF）
消す前に確かめておくこと
パスワードを止めると、パスキーが使えなくなったときにログインできなくなるおそれがあります。パスキーには、大きく2つの種類があります。
| 種類 | どこにあるか | 端末をなくしたら |
|---|---|---|
| 同期パスキー | パスキーを管理する仕組み（アカウント）に保存され、ほかの端末でも使える | 同じ仕組みに対応した端末なら、なくしたり替えたりしても使える |
| 端末固定のパスキー（デバイス固定パスキー） | 保存した端末（セキュリティキーなど）の中だけ | その端末をなくすと、戻せない |
- 同期パスキーでも、パスキーを預けているアカウントに入れなくなると、戻せないことがあります
- パスキーを預けているアカウントにも、多要素認証を設定するなどして、しっかり守っておきましょう（日本証券業協会）
- FIDO アライアンスは、どちらの種類でも、ほかのログイン方法やアカウントを回復する手段をサービス側が用意すべきだとしています。止める前に、使っているサービスで、パスキーが使えないときにどうやってログインするのかを確かめておきましょう
出典：パスキーの種類（FIDO アライアンス Passkey Central）・Synced Passkey Deployment（FIDO アライアンス・英語・PDF）・不正アクセス等にご注意ください！（日本証券業協会）
消せないサービスでできること
パスワードが残るサービスでは、公的機関の呼びかけを参考に、パスワードを守りましょう。
- パスワードは長く複雑にして、使い回さない（IPA・金融庁）
- パスワードを覚えなくてよい、パスワード管理ツールを使うことも考える（総務省・IPA）。ツールそのものも、しっかり守っておく
- よく使うサイトはブックマークに登録し、そこから開く（IPA・金融庁）
- 見覚えのある送信者からのメールやSMSでも、リンクを開かない（金融庁）
- スマートフォンやパソコンのソフトを最新にしておく（金融庁）
出典：情報セキュリティ10大脅威2026 個人編（IPA・PDF）・インターネット取引サービスへの不正アクセス・不正取引にご注意ください（金融庁）・推測できる簡単なパスワードを利用しないようにしよう（総務省）
（2026年11月時点の内容です。）