bitFlyerがパスキー認証導入、暗号資産送付と出金に対応

暗号資産交換業者のbitFlyerは2026年10月29日、資金移動に関わる重要な操作で「パスキー認証」を導入したと発表した。対象は暗号資産の外部送付、外部送付先アドレスの登録、日本円の出金の3種類。フィッシング詐欺などによる認証情報の窃取に対処しつつ、認証コードを入力する手間を減らす狙いがある。登録は任意で、利用者の設定に応じた従来方式も残される。

対象は送付・アドレス登録・日本円出金の3操作

パスキーはスマートフォンやパソコンの顔認証、指紋認証、端末のロック解除用PINなどを使って本人確認する仕組みだ。bitFlyerの説明では、正規のサイトやアプリに紐づくため、偽サイト上で認証情報を入力させる手口への耐性が高い。従来のSMSやメールによる認証コードの確認・入力を省略できることも特徴としている。ただし、パスキーがすべての不正送付を防ぐと保証されたわけではない。

今回の対象には、暗号資産を外部のウォレットなどへ送る操作だけでなく、送付先アドレスの登録も含まれる。送付先の登録段階を保護することで、実際の資金移動に至る前の重要な設定変更にも認証を求められる。一方、2026年10月29日時点でログイン時のパスキー認証には対応していない。ログインから出金まで全面的にパスキー化されたと受け取らないよう注意が必要だ。

アプリ・Webで設定可能、登録は任意

公式案内では、アプリ版は設定画面の「二段階認証」からパスキー登録を選び、認証コードを入力した後に端末へ追加する。Web版も設定画面から追加し、保存先を選んで本人確認を行う流れだ。保存先の例にはiCloudキーチェーンやGoogleパスワードマネージャーが挙げられている。対応する端末やブラウザーの条件は、公式の推奨環境を確認する必要がある。

パスキーの登録は必須ではなく、利用できない場合は設定状況に応じて従来の二段階認証を使用できる。また、bitFlyerは顔や指紋の生体情報は端末内にとどまり、同社へ送られないと説明している。これは認証の設計上の特徴を示すもので、端末の紛失やアカウント管理に関する注意が不要になるという意味ではない。認証方法の追加による効果と利用条件は分けて捉えたい。

セキュリティ強化の位置づけ

bitFlyerは導入理由として、金融サービスを狙うフィッシング詐欺や不正アクセスの巧妙化を挙げている。10月2日には別の対策として、一定の条件を満たす利用者の暗号資産外部送付に「クールダウン」を設ける方針も発表していた。今回のパスキーは送付時の本人確認を強化する別の取り組みであり、両者の適用条件や効果は同一ではない。利用者は公式設定ページと最新の案内で、自身の利用状況に合う認証方法を確認できる。