UPSIDERがパスキー認証を導入、カード情報の閲覧や発行の本人認証にも対応

株式会社UPSIDERは2026年11月5日、法人カード「UPSIDER」のWebブラウザ（PC・スマートフォン）からのログインと重要操作の本人認証に「パスキー認証」を導入したと発表した。パスワード入力やSMS認証の手間を減らしながら、フィッシングによる認証情報の窃取や不正ログインのリスクを下げる狙いがある。

UPSIDERのパスキーはログインと重要操作の2場面で使える

今回の導入で変わるのは、Webブラウザから利用する際の本人確認の方法だ。発表で示された特徴は次の4点に整理できる。

メールアドレス入力後は端末の生体認証でログイン完了

ログイン時はメールアドレスを入力したあと、端末の生体認証だけで手続きが完了する。パスワードを覚えて入力する作業や、SMSで届いたコードを打ち込む作業を省けるのが、日常的な利用での変化だ。

カード情報の閲覧やカード発行の本人認証にも対応

パスキーはログイン時だけでなく、カード情報の閲覧やカード発行など、重要な操作を行う際の本人認証にも利用できる。ログイン後の操作にも同じ仕組みを使える点が、今回の導入の特徴といえる。

PCとスマートフォンなど最大15個まで登録可能

パスキーは最大15個まで登録・管理できる。PCとスマートフォンの両方に登録しておけば、普段使う端末が変わる場面でも同じ方法で本人確認を進めやすい。

SSOでログインする企業も重要操作の認証に利用可能

SSO（シングルサインオン）でログインしている企業のユーザーも、重要操作の本人認証にパスキーを利用できる。SSOを導入済みの企業が今回の機能から外れるわけではなく、カード情報の閲覧や発行といった場面で活用できることになる。

カード情報の閲覧・発行を担う経理担当者にとっての変化

法人カードの管理では、カード情報を閲覧できる人やカードを発行できる人を、経理担当者や管理者などに絞って運用している企業が多いだろう。こうした権限を持つアカウントの認証情報が盗まれると、影響は担当者個人にとどまらず、会社のカード運用全体に及びかねない。重要操作の本人認証にパスキーを使えることには、この入口を固めるという意味がある。

SSOを使う企業にとっても同様だ。ログインの安全性はSSO側の設定に左右されると考えられるが、カード情報の閲覧や発行の段階でパスキーによる確認を挟めるようになる。

ただし、パスキーが強化するのはあくまで「本人であることの確認」である。誰にカード情報の閲覧や発行を任せるかという権限の設計は別の問題で、担当者の異動や退職に合わせた権限の見直しは引き続き必要になる。

偽サイトに誘導されても認証が成立しないパスキーの仕組み

パスキーは国際標準規格「FIDO2」に基づく認証技術だ。顔認証や指紋、PINなど端末側の認証で本人確認が完了し、パスワードの入力を必要としない。

フィッシング対策の面で鍵になるのは、パスキーが登録先サービスのドメインと紐づいている点である。本物そっくりの偽サイトに誘導されても、ドメインが異なれば認証が成立しない。見た目で偽サイトを見分けられるかどうかに頼らずに済む仕組みで、パスキーでログインする限り、偽サイトにパスワードを入力して盗まれる場面そのものが生じにくくなる。

UPSIDERの発表では、パスキーの利用により認証成功率は93%、ログイン時間は73%短縮されるという報告も紹介されている。ただしこれはFIDO Allianceの「Passkey Index」（2025年10月）による報告値で、UPSIDERで実測された数値ではない。UPSIDERの利用環境で同じ水準の効果が出ることを示すものではない点は区別して読みたい。

パスキーが防ぐのは偽サイトでの認証情報の窃取、番号盗用全般ではない

導入の背景として、UPSIDERは不正利用とフィッシングの現状を挙げている。日本クレジット協会の集計（2026年3月）によると、2025年のクレジットカード不正利用被害額は510億円で、その約9割が番号盗用による被害だった。フィッシング対策協議会の「フィッシングレポート2026」（2026年6月）では、同年の国内フィッシング報告件数は約245万件と過去最多になっている。同社は、金融サービスを標的とした攻撃が法人にも及んでいるとしている。

もっとも、この数字を「パスキーで被害の約9割を防げる」と読むのは誤りだ。パスキーが直接効くのは、偽サイトにログイン情報を入力させて盗み取るタイプの攻撃である。番号盗用には、UPSIDERへのログインを経由しない経路で番号が使われるケースも含まれると考えられ、そうした不正利用までパスキーでなくなるわけではない。

パスキーを導入した後も、利用明細の確認や利用制限の運用など、不正利用に気づくための日常的な管理は引き続き必要になると考えられる。

対象はWebブラウザのみ、スマホアプリとPRESIDENT CARDは順次対応

現時点でパスキーを使えるのは、法人カード「UPSIDER」のWebブラウザ（PC・スマートフォン）に限られる。「UPSIDER」のスマートフォンアプリと「PRESIDENT CARD」は、今後順次対応する予定で、具体的な時期は示されていない。スマートフォンを使っていても、ブラウザ経由とアプリ経由では扱いが異なる点に注意したい。

UPSIDER（Webブラウザ PC・スマートフォン）	対応済み（ログイン、カード情報閲覧・カード発行などの重要操作）
UPSIDER（スマートフォンアプリ）	未対応（順次提供予定）
PRESIDENT CARD（Webブラウザ・スマートフォンアプリ）	未対応（順次提供予定）

今回の発表では、パスキーの登録が必須か任意か、パスワードやSMS認証といった既存の認証方式が今後どう扱われるかには触れられていない。追加費用の有無や、管理者が企業単位で設定できるかどうかも記載がない。既存の方式を併用できる状態が続くのであれば、その経路の認証情報を狙う攻撃への備えは引き続き課題になる可能性がある。