6桁の数字を打ち込む、という動作が認証から消えつつあります。金融庁は2月、フィッシング耐性のある多要素認証を必須とする改正を適用しました。OpenAIは9月1日から、研究者に物理キーを求めます。日立ソリューションズがYubiKeyの取り扱いを始めた背景には、この二つの流れがあります。
日立ソリューションズは2026年8月28日、Yubico ABのハードウェアセキュリティキー「YubiKey」の提供を同日開始した。両社はディストリビューター契約を結んでいる。YubiKeyはUSBデバイス内に秘密鍵を保持し、偽サイトでは認証が成立しない仕組みを備える。PCに接続し、タッチやPIN入力で認証でき、スマートフォンでの認証を必要としない。
同社は指静脈認証システム「静紋」などの生体認証製品や米Okta社の認証基盤で培った知見と組み合わせ、提供から運用までを支援する。Yubicoのジェロッド・チョンPresident and CEOは、金融庁の最近のガイダンスが、パスワードやSMS・メールのワンタイムパスワードでは現代のフィッシング攻撃に十分でないことを示したと述べた。
From: 
フィッシング耐性を備え、誰でも簡単に利用できるセキュリティキー「YubiKey」を提供開始｜株式会社日立ソリューションズ
【編集部解説】
USBポートに小さな金属片を差し込んで、指で軽く触れる。あるいはPINを入力する。日立ソリューションズが8月28日に提供を始めた「YubiKey」で肝心なのは、SMSや認証アプリに表示された数字を正規サイトの画面に打ち込む、という工程を経ずに認証できることです。
なぜそこが問題なのか。偽サイトが利用者と正規サイトの間に入り、やり取りをそのまま中継するAiTM攻撃では、IDとパスワードだけでなく、SMSや認証アプリのワンタイムパスワードもその場で正規サイトへ渡されます。そして認証が通ったあとに発行されるセッションクッキーやトークンまで奪われると、以降は多要素認証をもう一度通すことなく利用者になりすませます。人が読んで相手に渡せる形をしている認証情報は、この中継を止められません。SMSもワンタイムパスワードも、この一点で同じ弱さを共有しています。
FIDO2はここを構造で解きます。認証に使う公開鍵の資格情報は、RP IDと呼ばれる識別子——通常はサービスのドメインです——にひも付けられます。ブラウザと認証器がその対応を確かめるため、別のドメインに置かれた偽サイトからは、正規サイト向けの資格情報を使えません。図版にある「偽サイト誘導をURL照合で自動防止」は、この仕組みを平易に表したものです。厳密には、YubiKey単体がURLを直接照合しているわけではありません。利用者が偽物を見抜けなくても認証が成立しない、というのが要点で、注意深さを訓練で底上げする発想から、注意深さを前提にしない設計へ移ったということでもあります。
YubiKeyは新顔ではない。新しいのは届け方
YubiKey自体は日本で長く売られてきた製品です。SCSKは2021年にYubicoと国内販売代理店契約を結んでおり、インターナショナルシステムリサーチはサブスクリプション型「YubiKey as a Service」の国内第一号代理店として2024年から扱っています。今回の発表は、製品が新しく登場したという話ではありません。
日立ソリューションズが持ち込むのは、認証基盤の運用実績のほうです。リリースは、指静脈認証システム「静紋」をはじめとする生体認証製品と、米Okta社の認証基盤の導入・運用支援を通じて、シングルサインオンによる認証の一元化を手がけてきたと述べています。鍵単体の提供にとどまらず、既存のID基盤にどう組み込み、紛失時にどう復旧するかまで含めて設計する。ハードウェアキーの導入で実際に詰まるのはそこなので、組み合わせの意味は小さくありません。
図が語る、この鍵が効く現場
発表資料の図版には、本文にない4つの利用シーンが描かれています。ホテルのフロント業務、店舗・ショールームでの商談、スマートフォンが使用できない研究施設内、共同端末を利用している工場。
並べてみると、性格が見えてきます。いずれも、スマートフォンを取り出して画面を確認するという追加動作が、扱いにくい場面です。接客の最中に端末を操作すれば、そのぶん相手を待たせます。研究施設や工場には、そもそも私物端末を持ち込めない区画があります。
そして図はもう一つ、本文にない訴求を置いています。「共同ID運用から脱却し、利用者を確実に識別」。共有アカウントのままでは、操作を個人にひも付けて追うことが難しくなります。一人一本の物理キーは、この問題を認証の側から解く手段でもあります。フィッシング対策として語られがちなハードウェアキーが、実は内部統制の道具でもあるという視点は、押さえておく価値があります。
制度が同じ方向を向いている
追い風ははっきりしています。金融庁は2026年2月27日、フィッシング耐性のある多要素認証の実装と必須化を盛り込んだ監督指針等の改正を適用しました。ログインや出金といった重要な操作時に、パスキーやPKIをベースとした認証を実装し、デフォルトとして設定することを求めるものです。同年4月には、銀行・信用金庫・信用組合・労働金庫・証券会社と金融庁・警察庁が連携し、フィッシング耐性のある多要素認証を周知する官民横断の広報も出ています。従来型の多要素認証が一律に排除されたわけではありませんが、認証方式そのもののフィッシング耐性を問う方向へ、基準は明確に一段上がりました。
Yubico President and CEOのジェロッド・チョン氏がコメントで「金融庁による最近のガイダンス」に触れているのは、この流れを指しています。規制側がフィッシング耐性を明示的に求めるようになったことは、日本市場の需要を押し上げる要因のひとつです。チョン氏自身も、日本市場でYubiKeyへの需要が高まっているとしたうえで、日本国内での事業展開を拡大すると述べています。
AIの最前線でも、同じ鍵が要求されている
もう一つ、遠く離れた場所で同じ答えが出ています。
OpenAIは、サイバーセキュリティ研究者向けの限定プログラム「Daybreak」——同社がTrusted Access for Cyberと呼んできた枠組みです——の個人アカウントに対し、2026年9月1日からハードウェアセキュリティキーの利用を必須とします。FIDOに準拠した物理キーを設定し、Advanced Account Securityに登録することが条件です。innovaTopiaでは8月20日に、このプログラムで一部の研究者が突然アクセスを失った件を報じました。
金融庁が国内の金融機関に求めていることと、OpenAIが個人の研究者に求めていることは、実装まで同じではありません。片方は預金と証券口座を守るため、もう片方は強力なモデルへのアクセス権を守るためで、動機も違います。それでも、安全を「利用者が偽サイトを見抜けるかどうか」に委ねず、偽サイトでは正規サイト向けの認証を成立させられない仕組みで守る、という方向は共通しています。守る対象が変わっても、破られ方が同じなら、対策も同じところへ収束するということでしょう。
数字と条件について
発表資料は「世界175カ国24地域で利用可能」と記していますが、この数値の出どころはYubicoが2025年5月20日に公表したもので、原典では企業向け配送サービス「YubiEnterprise Delivery」が対応する199拠点（175カ国と24地域）を指しています。同じ資料の会社紹介では「160カ国超の顧客」と書かれています。製品が使える国の数というより、企業が従業員へ一括で届けられる範囲と読むのが正確です。
導入の手数について、リリースは「3ステップ」としたうえで、利用するプロトコルや認証基盤サービスによっては4ステップ以上になる場合があると自ら注記しています。既存のID基盤が何であるかによって、必要な作業が変わるということです。リリースに価格の記載はないため、自社の環境で何ステップになるかを含め、問い合わせて確かめる段階になります。
物理キーである以上、紛失と破損への備えも設計に含める必要があります。これはYubiKeyに固有の弱点ではなく、ハードウェア認証を採用する組織が共通して整えてきた作法です。Yubico自身も、主キーを失った場合に備えて予備のキーをあらかじめ登録しておくことを勧めています。
最後に
パスワードは、覚えられる人が強く、覚えられない人が弱い仕組みでした。ワンタイムパスワードは、疑り深い人が強く、急いでいる人が弱い仕組みでした。どちらも、安全がその人の資質や、その日の余裕に左右される。
キーを差して指で触れる、あるいはPINを入力する。FIDO2で使う限り、その操作を偽サイトがそのまま中継して、正規サイトの認証を成立させることはできません。ホテルのフロントに立つ人も、工場の共同端末を使う人も、同じ強度でログインできます。セキュリティが「気をつけている人へのご褒美」でなくなること。この発表がその方向に一歩を足したことは、素直に歓迎したいところです。
【関連記事】
OpenAI、サイバー研究者向け限定プログラムで一部アクセス剥奪｜「技術的問題」と説明
OpenAIの限定プログラムをめぐり、審査を通ったはずの研究者が突然アクセスを失った件について報じた、8月20日の記事。
OpenAI GPT-5.6-Cyber、95%は能力値ではなく「応答率」
OpenAIが公表した95%という数値が、モデルの能力の高さではなく応答率を示すものであることを読み解いた解説記事である。
日立ソリューションズ・クリエイト「サイバーセキュリティ実践演習」提供開始、講師が攻撃者となる上級実機演習
日立ソリューションズ・クリエイトが上級の「サイバーセキュリティ実践演習」をラインアップへ追加したことを伝える7月の記事。
日立ソリューションズ・クリエイト、量子時代に備えた「DoMobile Ver.5」をリリース
同社が耐量子暗号に対応したリモートアクセスシステム「DoMobile Ver.5」の提供を始めたことを取り上げた記事である。
【編集部後記】
発表の3日前にあたる8月25日、W3CはWeb Authenticationの仕様Level 3を勧告として公開しました。企業のリリースと国際標準の更新が同じ週に並んだのは偶然でしょうが、この技術がまだ動いている最中だとは言えそうです。
その仕様書には、鍵のスコープを守るのはブラウザと認証器の共同作業だ、とはっきり書かれています。安全は一つの部品が担うものではなく、部品どうしの約束の上に立っている。手のひらに載る金属片だけを見ていると、そこを見落としそうになります。
【用語解説】
AiTM攻撃
Adversary in the Middleの略。攻撃者が偽サイトを立て、利用者と正規サイトの認証のやり取りをそのまま中継する手法。ID・パスワードだけでなくワンタイムパスワードも通過し、認証後のセッション情報まで奪われる。
ワンタイムパスワード（OTP）
ログインのたびに生成される使い捨てのパスワード。人が読んで入力するため、偽サイトへそのまま渡してしまう構造的な弱さを持つ。
多要素認証（MFA）
知識・所持・生体のうち2つ以上を組み合わせる認証方式。多要素であることと、フィッシングに耐性があることは別の概念である。
フィッシング耐性
偽サイトを経由した認証の中継を受けても、認証が成立しない性質。金融庁の監督指針改正では、この性質を持つ多要素認証の実装が求められている。
FIDO2
公開鍵暗号を用い、秘密鍵を認証器の内部に保持したまま、正規サイトと認証をひも付ける認証仕様。W3CのWeb Authenticationと、認証器との通信仕様CTAP2から成る。
RP ID
Relying Party Identifierの略。公開鍵の資格情報がどのサービスに属するかを示す識別子で、W3Cの仕様では有効なドメイン文字列と定義される。既定では呼び出し元オリジンの実効ドメインが使われる。
認証器
資格情報を生成・保管し、署名を返す装置またはソフトウェア。YubiKeyのようにUSBやNFCで外付けするものと、PCやスマートフォンに内蔵されるものがある。
セッションクッキー
認証が成功したあと、ログイン状態を保つためにサーバーが発行する情報。攻撃者に奪われると、多要素認証をもう一度通さずになりすましが可能になる。
パスキー
FIDOの標準に基づく認証資格情報。パスワードの代替として使われ、金融庁の改正監督指針でもフィッシング耐性のある認証の例として挙げられている。
PKI
Public Key Infrastructureの略。公開鍵暗号方式を用い、利用者やデバイスの正当性を証明する電子証明書を管理・運用する基盤。
静紋
日立ソリューションズが提供する指静脈認証システム。手指の内部にある静脈のパターンを読み取って本人を確認する。
シングルサインオン
一度の認証で複数のサービスを利用できるようにする仕組み。認証を一箇所に集約することで、運用と統制の両方を簡素化する。
ディストリビューター契約
製造元から製品の販売権を得て、国内での販売や導入支援を担う代理店契約。今回はYubico ABと日立ソリューションズの間で締結された。
YubiEnterprise Delivery
Yubicoが提供する企業向けの配送サービス。管理者が従業員へのセキュリティキーの発送状況や在庫を一元管理できる。
Daybreak（Trusted Access for Cyber）
OpenAIが審査を通ったセキュリティ研究者や組織にフロンティアモデルへのアクセスを提供するプログラム。Daybreak BlueとDaybreak Redの2階層がある。
Advanced Account Security
OpenAIのアカウント保護設定。Daybreakの個人アカウントでは、FIDOに準拠した物理セキュリティキーの登録と併せて有効化が求められる。
【参考リンク】
株式会社日立ソリューションズ（外部）
今回の発表元となる企業の公式サイト。企業情報やニュースリリース、提供するソリューションの一覧、グループ各社の情報を掲載している。
YubiKey｜日立ソリューションズ（外部）
今回提供が始まった製品のサービスページ。リリース本文に記載されたURLで、製品の特長や導入に関する相談の窓口が案内されている。
Yubico（外部）
YubiKeyの開発元となる企業の公式サイト。製品ラインアップや企業向けサービス、技術資料と導入事例をまとめて掲載している。
YubiKey as a Service（外部）
サブスクリプション型でYubiKeyを導入できるYubicoの企業向けサービス。配送や事前登録の機能も含まれた形で提供される。
金融庁｜フィッシング耐性のある多要素認証等に係る官民一体・業界横断的な広報について（外部）
金融庁と警察庁、銀行や証券会社などが連携して作成した、フィッシング耐性のある多要素認証を周知するためのコンテンツを掲載する。
W3C｜Web Authentication Level 3（外部）
FIDO2の中核をなすWebAuthnの仕様書。2026年8月25日にW3C勧告となった最新のLevel 3にあたる文書である。
SCSK株式会社｜Yubico社 YubiKey（外部）
2021年からYubicoの国内販売代理店を務める企業の製品ページ。製品の概要や設定手順、FAQを日本語でまとめて掲載している。
CloudGate UNO｜YubiKey（外部）
インターナショナルシステムリサーチによるYubiKeyの解説ページ。導入事例や他社のセキュリティキーとの比較情報も掲載する。
【参考記事】
Yubico More than Doubles Global Reach of YubiKeys for Enterprises to 175 Countries and 24 Territories, Simplifying Passwordless at Scale（外部）
2025年5月20日のYubicoリリース。企業向け配送網が計199拠点、175カ国と24地域へ広がったと発表している。
Expanding Daybreak as the Cyber Defense Window Narrows（外部）
2026年8月10日のOpenAI公式発表。Daybreakの個人アカウントに9月1日から物理キーを求めることが明記されている。
OpenAI Daybreak – Common Issues and Troubleshooting（外部）
OpenAIのヘルプ記事。DaybreakがTrusted Access for Cyberにあたることと設定期限を記載する。
系統金融機関向けの総合的な監督指針 新旧対照表（外部）
金融庁が公開した改正の新旧対照表。附則に、この通知の改正を令和8年2月27日から適用すると明記されている一次資料である。
「金融商品取引業者等向けの総合的な監督指針」等の一部改正（案）に対するパブリックコメントの結果等の公表について（外部）
68先から141件の意見が寄せられた改正案の結果公表。認証に関する要件がどのように位置づけられたのかをここで確認できる。
