このパスキーサインインQRをスキャンしても安全か？

クロスデバイスパスキーサインインの仕組み

パスキーは認証情報、つまり公開鍵/秘密鍵のペアで、あなたのデバイスのひとつに紐付けられています。スマートフォンでexample.comのパスキーを登録した場合、example.comのログインチャレンジに署名できるのはあなたのスマートフォンだけです。

スマートフォンでサインインする場合は問題ありません。しかし、そのサイトのパスキーを持っていないラップトップでサインインしようとするとどうなるでしょうか？選択肢は：

1. パスワードを入力する、パスキーの意義を完全に否定します。
2. ラップトップに新しいパスキーを登録する、このラップトップを長期的に信頼できる場合は問題ありません。
3. クロスデバイス転送でスマートフォンのパスキーを使用する、ラップトップがQRを表示し、スマートフォンがスキャンし、スマートフォンがチャレンジに署名し、ラップトップのブラウザが結果を受け取ってサインインが完了します。

オプション3がFIDO CTAP 2.2「ハイブリッド」が定義していることです。QRはブートストラップであり、スマートフォンがBluetoothローエナジーを介してラップトップを発見し、ワンタイムセキュアトンネルを確立し、WebAuthn処理をプロキシするために必要な情報を含んでいます。

QRの中身

URIは次のようになります：

FIDO:/0123456789012345678901234567890123456789...

10進数はCBORマップのbase10エンコーディングです。base10デコード + CBORパース後、マップには整数キーがあります：

脅威モデル：「パスキーでサインイン」を最初に押したのは誰か？

プロトコルは暗号学的に堅固です。Bluetooth近接チェックは本物で、攻撃を物理的に近くにいる人に限定します。では、どこで問題が起きるのでしょうか？

開始の段階での社会工学的な操作によって。攻撃者はあなたのアカウントへのパスキーサインインを自分のラップトップで開始します。そのラップトップにFIDO QRが表示されます。攻撃者はそのQRを何らかの形であなたの前に提示します：

• 「テクニカルサポート」から電話があり、「アカウントを確認するために」QRをスキャンするよう求められる。
• 「画面共有」Zoom通話で、攻撃者の画面にQRが表示されており、スマートフォンでスキャンするよう求められる。
• 対面での社会工学的攻撃：攻撃者がカフェで隣に座り、QRを見せ、「ログインを助けて」と頼む。
• 「新しいログインのためにQRをスキャンして本人確認を」と求めるフィッシングメール（本物のFIDO QRは短命ですが、メールが届く頃にはQRの有効期限が切れているかもしれません。ただし、ユーザーはそれを知らないかもしれません）。

スキャンすると、スマートフォンはあなたのパスキー署名を攻撃者のラップトップのブラウザにプロキシします。あなたがパスキーを持っているサイトは、あなたがサインインしたと判断します。攻撃者はあなたのアカウントにログインしています。

近接チェックは役立ちません。攻撃者が物理的にそこにいます。QRの内容も役立ちません。暗号的に有効です。ログイン先も役立ちません。あなたがパスキーを持っている正しいサイトです。唯一役立つのは状況を認識することです：自分のデバイスで「サインイン」をクリックして生成したFIDO QR以外は絶対にスキャンしてはいけません。

当スキャナーが表示する情報

FIDOのQRを当スキャナーにドロップすると、判定に表示されます：

• 操作ヒント：これはサインイン、パスキー登録、またはdiscoverable-credential操作のどれか？
• トンネルサーバードメイン：知っているベンダーと一致するか（Googleのcable.ua5v.com、Appleのトンネルサーバーなど）？
• QRのタイムスタンプ：新しく生成されたものか、古くてリプレイされた可能性があるか？
• ピア公開鍵の長さとQRシークレットの長さ：QRが構造的に有効かどうかの健全性チェック。

脅威クラスは常にsuspicious（疑わしい）です。プロトコルが壊れているからではなく、安全性の判断は状況によって異なり、スキャナーは誰が「サインイン」を押したかを知ることができないためです。判定の開示には正確にこう記されています：「スキャンすると、別のデバイスで誰かが開始したサインインが完了します。自分でログインを開始していない場合は拒否してください。」

安全な場合（と安全でない場合）

安全：ラップトップに座り、銀行やメールサイトを開き、「パスキーでサインイン」をクリックし、ラップトップがQRを表示した。スマートフォンを手に取り、QRをスキャンし、近接プロンプトを承認。完了。

安全でない：あなた以外の誰かがサインインを開始した場合。電話越しの誰か、リモートサポート通話の誰か、QRをメールで送ってきた誰か、「本人確認のためのQR」を見せた誰か、そして自分の新しく表示したデバイス以外の場所にあるQRすべてが該当します。

QRが自分でサインインを開始したものかどうかわからない場合は、元のデバイスでサインインをキャンセル（ブラウザタブを閉じる）し、意図したデバイスで最初からやり直してください。本物のFIDO QRは約10分間しか有効ではありません。やり直すと進行中のセッションがフラッシュされ、脅威は不可能になります。

関連情報

• 2026年に注意すべきQR詐欺
• 当サービスが確認するすべてのQR規格
• 認証アプリのエクスポートQR（旧来の2FA相当） →