金融庁は、フィッシングに耐性のある認証方式—パスキーや公開鍵基盤証明書—をログインや振込など高リスク操作の既定とすることを、銀行・証券会社に求めるよう監督指針を更新した。
求められる実装
SMSのワンタイムコードだけでは偽サイトに誘導されやすい。指針はパスキーを原則とし、スマートフォンを持たない顧客には代替手段を示しつつ、解除率を追跡して縮小させる。
メールやSMSにパスワード入力ページへの直リンクを載せない運用も明記。利用者には公式アプリとブックマーク経由のログインを促す。
カード利用者への影響
三菱UFJ、三井住友、ゆうちょなど大手はパスキー試験を進めていたが、義務化のスケジュールを公表する圧力が強まる。不正ログイン後のマイクロチャージ被害も抑えられる。
パスキーは声かけ詐欺は防げない。デジタル庁もブックマーク利用を呼びかけており、多層防御が前提だ。