パスキー完全移行の落とし穴——スマホ紛失やOS間移行で何が起きるのか？仕組みと復旧手段の整理

パソコンでWebサイトにログインしようとした際、画面にQRコードが表示され、スマホのカメラで読み取って指紋や顔認証でログインした経験はないでしょうか。あれが「パスキー（Passkey）」を用いたクロスデバイス認証の身近な例です。

パスワードの入力が不要になり、フィッシング詐欺にも強い次世代の認証手段として普及が進んでいます。一方で、「専用アプリを入れた覚えがないのに、なぜ動いているのか？」「スマホ本体を落としたり壊したりしたら、PCからもログインできなくなって完全に締め出されるのでは？」といった疑問や不安も少なくありません。

今回は、あのQRコード認証の正体から、PCや複数端末での設定、スマホ紛失時のリアルな挙動、そして家族間でのアカウント共有がはらむ落とし穴について調べた内容を整理しました。

1. パスキーの基本構造と「あのQRコード」の正体

パスキーは、FIDOアライアンスとW3Cが策定した公開鍵暗号方式に基づく認証規格です。

専用アプリ不要で動く理由

スマホ側に特別な認証アプリを後からインストールした覚えがなくても動くのは、iOS（iCloudキーチェーン）やAndroid（Google パスワードマネージャー / Google Play 開発者サービス）のOS標準機能として組み込まれているためです。

WebサイトやGoogleアカウントのログイン時に「次回から指紋でログインできるようにしますか？」といったポップアップで「OK」や「続行」を選んだ時点で、端末内の安全なハードウェア領域（Secure EnclaveやTitanチップなど）に秘密鍵が生成され、有効化されています。

なぜ「QRコード読み取り＋ Bluetooth」なのか

PC画面のQRコードをスマホの標準カメラで写すと、裏側では次の処理が実行されています。

近距離チェック（Bluetooth）: QRコードを介してPCとスマホの間で一時的なBluetooth通信を確立します。「遠隔地にいる攻撃者が偽サイト経由で被害者にQRコードを読ませてアカウントを乗っ取る」といった攻撃を防ぐため、PCとスマホが物理的に同じ場所（近距離）にあることを確認しています。
生体認証による署名: スマホで指紋や顔認証を通すと、スマホ内の秘密鍵を使って認証要求に電子署名を行います。
ログイン完了: 署名が完了したという合図だけがPC側のブラウザへ返り、パスワードを入力することなくログインできます。

2. パスキーはスマホ専用？PCや2台目の端末への登録

パスキーはスマートフォン専用の仕組みではありません。PC本体を直接「鍵」にすることも、複数台の端末を登録することも可能です。

PC単体（Windows / Mac）を鍵にする

自宅や職場のPC本体にパスキーを登録しておけば、PCでのログイン時にわざわざスマホを取り出してQRコードを読み取る必要がなくなります。

Windows: Windows Hello（顔認証、指紋認証、またはPIN）を使ってPC自体にパスキーを保存。
Mac: Touch ID（指紋認証）を使ってMac本体（iCloudキーチェーン）にパスキーを保存。

PC自体をパスキーの登録端末にしておくと、万一スマホを紛失した際にも、PCからアカウントへログインして復旧作業を行える有力な迂回路になります。

複数端末・機種変更時の同期ルール

2台目以降の端末でパスキーを使う場合の挙動は、OS（エコシステム）が同じか異なるかで大きく分かれます。

同じエコシステム内（例: iPhone ↔ iPhoneの機種変更、またはAndroid 2台持ち）:
同じApple IDやGoogleアカウントでログインしていれば、クラウド経由（iCloudキーチェーンやGoogle パスワードマネージャー）でパスキーが自動的に同期されます。新しい端末を購入しても、手動で1サイトずつ移行作業をする必要はなく、新旧どちらの端末でもそのまま使えます。
異なるエコシステム間（例: iPhone ＋ Windows PC、iPhone ＋ Androidの2台持ち）:
AppleとGoogleの間ではクラウド自動同期が働きません。そのため、AmazonやGoogleなどのWebサービスごとに設定画面を開き、端末ごとに1つずつ「パスキーを追加」する必要があります。手放す際も、各サイトからその端末の登録を個別に解除していく運用が必要です。

3. スマホを紛失・故障したときに何が起きるのか

「パスキーを設定したスマホを無くした」という状況において、実際にどのようなトラブルが起きるのかを整理します。

「SMSや代替手段で再設定できる」と思い込む罠

パスキーを無くしても、Googleなどのログイン画面で「別の方法を試す」を選べば、従来のパスワードや再設定用連絡先を使ってログインをやり直すこと自体は可能です。

しかし、次のような構成になっていると完全な締め出し（ロックアウト）に陥ります。

クラウド上にパスキーのバックアップが存在していても、それを復元するための「親アカウント（GoogleやApple ID）」へログインできなければ、すべてのパスキーを取り出せなくなってしまいます。

紛失直後の初動対応

パスキーは端末の画面ロックや生体認証で保護されているため、端末を拾われただけですぐに不正利用されるリスクはパスワード流出よりも低い設計です。とはいえ、安全のため別端末から以下の初動をとる必要があります。

リモートでのセッション切断: PC等のブラウザからGoogleの「デバイスを探す」やAppleの「探す」機能を開き、紛失端末をサインアウトさせる
登録パスキーの無効化: アカウント設定画面から、紛失したデバイスに紐付いているパスキーを個別に削除する
回線の一時停止: 必要に応じて通信キャリアへ連絡し、SIM／eSIMの利用を停止する

4. 家族で1つのアカウントを共有している場合の危険性

有料アプリの購入代金を浮かせたり設定をまとめたりする目的で、「家族全員で1つのGoogleアカウントやApple IDを使い回す」という運用をしているケースを見かけることがあります。しかし、パスキー時代においてこの運用は極めて危険です。

認証要求の混乱とプライバシーの漏洩

承認通知の混線: 自分がPCでログインしようとした際、パスキーの認証通知が家族のスマホへ飛んでしまい、誰がどの端末で認証すればよいのか収拾がつかなくなります。
ログイン鍵の共有: パスキーはアカウントのパスワードマネージャーに同期されるため、親が登録したWebサービスのログイン鍵が子どものスマホにも自動で渡ってしまいます。

トラブル時の連鎖

家族の誰か1人が端末を紛失・初期化したり、設定を誤ってパスキーを削除したりすると、その影響がアカウントを共有している全員に及び、全員がまとめてサービスから締め出されるリスクがあります。

有料アプリの共有は各プラットフォームが用意している正規の家族共有機能（GoogleのファミリーライブラリやAppleのファミリー共有）を活用し、「1人1アカウント」の原則を徹底することが安全運用の大前提です。

5. 締め出されないための事前リカバリー対策

パスキーの利便性を享受しつつ、端末紛失や故障で詰まないためには、事前の「復旧経路の複線化」が欠かせません。

自宅PCやサブ端末の事前登録: Windows HelloやMacのTouch IDを使い、スマホ以外の信頼できるデバイスにもパスキーやログイン状態を保持させておく
バックアップコードのオフライン保管: Google等のマスターアカウントで発行できる使い捨ての「バックアップコード」を印刷・メモして紙で保管しておく
復旧用連絡先の分散: アカウント復旧用の再設定メールアドレスに、紛失スマホ以外（PCのメールクライアント等）で常時確認できるアドレスを指定しておく

まとめ

PC画面に現れるQRコードの読み取りは、専用アプリ不要でOSが近距離通信を安全に制御するパスキーの標準機能です。

同じエコシステム内であれば機種変更時も自動で引き継がれる利便性がある反面、スマホ1台にすべての認証手段（パスキー・SMS・認証アプリ）を集中させていると、端末紛失時にアカウント自体から完全に締め出されるリスクがあります。

PCへの事前登録やバックアップコードの保管など、「スマホが手元にない状態でもアカウントにログインできる迂回路」をあらかじめ確保した上で移行を進めるのが現実的です。