物理キー（YubiKey）とは。AI時代のセキュリティ、買う前に確かめる3つと、入れても残る抜け道を整理

家事と子育てのスキマで経営する3方よしAI共創コンサルタントの田中啓之、ひろくん（@passion_tanaka）です。今回は、Togetterのまとめ『GoogleやAppleのアカウントを守るためにYubiKeyを使っている』物理キーが注目を集め、売り切れが相次いでいる、を紹介します。

このまとめは、私がブックマークして保存していた物です。読み返すと、私の過去記事の考え方と重なる所がありました。知らないことが穴になる、パスキーと2段階認証は守り方の深さが違う、確かめることと変えることを分ける、の3項目です。それを物理キーの話に重ねて読んでみました。

読み方の筋は、流行の様子、物理キーとは、買う前の3項目、2本持ち、物理キーを入れても残る抜け道、パスキーと物理キー、AIエージェントに頼んでよい線の順です。ポストは投稿者個人の意見や体験で、内容の正しさはまとめの側でも保証されていません。ですから、投稿者名と日付をつけて追います。

でこさん（@DEKO_MUGEN）のポスト・2026年10月25日（Togetterのまとめより・流行のきっかけの話）

GoogleとAppleアカウントの乗っ取り対策に、物理キー「YubiKey 5C NFC」を使っています。

でこさんのポストが言っているのは、GoogleとAppleのアカウントを乗っ取りから守るために、物理キーを実際に使っている、ということです。今回の話の出発点になります。

Togetterのまとめ（Togetter編集部・2026年11月3日公開）の最初の節は、最近にわかに物理キーを購入して検討する人が増えている、です。

でこさんは2026年10月25日のポストで、普段はキーホルダーに付けていて、登録済みの予備は別の安全な場所に保管していると書いています。

購入時にはファームウェア（機器の中のソフト）の確認を、とも書いています。

これを見て、舟越靖さん（@funacosystem・10月26日）は、ホントに流行ってきたっぽい、売り切れ続出だし、と書いています。

うみゆき@AI研究さん（@umiyuki_ai・10月22日）は、Amazonで価格が上がっていて、ヨドバシやYahoo!ショッピングでも軒並み「お取り寄せ」になり、すぐ届かない、と書いています。

届いた側の声もあります。クロカワリュートさん（@ryuto_kurokawa・11月2日）は、物理キーが届いて各種アカウントに設定した、2本購入した、と書いています。ここまでが、動いた人の声。

友瀬貴也さん（@takaya・11月2日）は、大事なアカウントを全部、物理キーを挿さないと開かない設定に変えた、と書いています。

地味ですが、ここは大事です。このまとめは、注目されていることを並べた物で、効果を検証した物ではありません。私の読みです。

まとめは、ポストのほかに、YubiKeyの公式ページ（Yubico）、Zennの記事「YubiKey を買おうとしたら売り切れだった件」、Googleのセキュリティキー（Titan）の紹介ページ、証券口座に物理キーを導入した話のブログ（おっさんずログ）も並べています。

元のページも、開いて読み比べられます。

あなたは今、自分のGoogleアカウントに何で本人確認して入っていますか。今、パスワードだけで入っているか、SMSのコードを使っているか、パスキーを使っているか。まず1つ、思い浮かべてみてください。

歯磨きしても臭かった人さん（@koushu_selfcare）のポスト・2026年10月26日（Togetterのまとめより）

パスワードやSMSの認証コードより、フィッシング（偽サイト）に強いと言われています。

引用が言っているのは、偽サイトに強いと言われている、ということです。フィッシングとは、本物そっくりの偽サイトに入力させて盗む手口のこと。パスワードやSMSのコードは、そこに打ち込んでしまえば渡ってしまう物です。

同じポストの説明を順に書きます。

YubiKey 5C NFCは、USB-C端子とNFCに対応した物理的なセキュリティキーで、スマホやPCに挿す（またはスマホにかざす）だけで本人確認ができる、とあります。

USB-Cは差し込む端子、NFCはかざして通信する方式のことです。

Appleの場合は、新しい端末やWebでサインインする時に、物理キーか、すでにサインイン済みの信頼できるAppleデバイスのどちらかが要る、という説明です。

6桁の確認コードは使えなくなり、最低2本の登録が必須だと書かれています。

Googleの場合は、セキュリティキーを登録しても、認証アプリやパスキーなどを残せば、それらでもログインできる、という説明です。

パスキーとは、指紋・顔・端末のPINで本人確認する、パスワード不要のログイン方式のことです。

同じポストは、完全な初心者には必須ではない、とも書いています。パスワードを使い回さないことと、認証アプリでの2段階認証で、十分守れる人も多い。

守りたいアカウントがある人、フィッシングが心配な人には有効な選択肢、という整理です。

私の読みです。物理キーが減らしているのは、偽サイトに渡せる物。渡せる物が減るほど、騙されても盗まれにくくなります。ただし、これは歯磨きしても臭かった人さん（2026年10月26日）のポストの説明です。

でこさん（@DEKO_MUGEN）のポスト・2026年10月25日（Togetterのまとめより・買う前の注意の話）

購入後に更新できないので、価格だけで選ばないようにしましょう（偽物や古いものを売りつけられるケースもあるようなので、メーカー直販が確実）。

引用が言っているのは、物理キーは買ったあとにファームウェアを更新できないので、価格だけで選ばず、メーカー直販が確実、ということです。ファームウェアとは、機器の中のソフトのことです。

でこさんは、写真のものはファームウェア5.8.0だった、と続けています。クロカワリュートさんは、ファームウェアが後から更新できないので、なるべく最新のキーがほしくて、本国の公式サイトで買ったと書いています。

買う場所についても声があります。Hoxpersさん（@Hoxpers・11月2日）は、物理キーはマジで正規店以外で買わない方がいい、中身をいじられている可能性があるので、と書いています。

雰囲気投資家さん（@Biz_zatukora・11月2日）は、正規ルートかの見極めも要る、マルウェアが仕込まれたものでもダメ、と書いて、海外の公式サイトで買ったそうです。

Togetterのまとめには、買ったYubiKeyが正規品かどうかは、Yubicoの公式サイトのYubiKey Verificationで検証できる、という注記もあります。

品薄のときは焦ります。うみゆき@AI研究さんのポストにあるように、価格が上がって、すぐ送れるセラーは高騰している状況だと、出所の分からない所でも買いたくなる。そこが危ない、というのが私の読みです。

買う前に確かめたいのは次の3項目です。1つ目は、どこで買うか。メーカー直販が確実、と複数のポストが書いています。2つ目は、ファームウェアの版。

購入後に更新できない、とでこさん（2026年10月25日）は書いています。3つ目は、買ったあとに正規品かを検証する手段があること。

この3項目のうち、確かめられていない物を1つ言えるか。品薄のときほど、そこが分かれ目になると私は考えます。

Togetter編集部の文（Togetterのまとめより）

Apple Accountで物理キーを使用する際は、「普段利用するApple製デバイスに対応したFIDO Certifiedのセキュリティキーを少なくとも2つ用意すること」と書かれています。

引用はTogetterのまとめの編集部の文です。

Apple Accountで物理キーを使う時は、普段使うApple製デバイスに対応したFIDO認定のセキュリティキーを少なくとも2つ用意する、という内容。

FIDOとは、パスキーや物理キーの共通の規格のことです。

同じ節には、Googleも2本の所有を推奨しているが、通常の2段階認証では必須ではない、とも書かれています。

まとめは、この節の出典として、AppleのサポートページとGoogleアカウントのヘルプを並べています。

不安の声も並んでいます。ほーきー(Hawkie)さん（@hawkymisc・10月25日）は、物理キーが盗まれるとクレジットカードの紛失と同等の事故になると考えています。

キーホルダーにつけられるタイプはまだ使わず、USB-CのほうはMacに差しっぱなしだそうです。

Aseri@フルリモ情シスさん（@akkzps・10月30日）は、小さい物は紛失しやすいので、管理方法の設計が課題と書いています。

Yuta Kashinoさん（@yutakashino・10月26日）は、キーリングに付けていたら他の鍵とぶつかって、1年しないうちにUSBのコネクタ部が壊れて使えなくなった、と書いています。

鍵とは独立で持つと頻繁に忘れるので、結局使わなくなった、とのこと。

一方、でこさんは、登録済みの予備を別の安全な場所に保管しています。

ゆっくり3号さん（@toripuru350・11月3日）は、紛失と故障のリスクはあるが、保管に気をつけて扱い方を間違えなければ、ある程度回避できそう、と書いています。

私の読みです。2本持ちは、2本買う話というより、置き場所を2か所決める話に見えます。1本を普段の持ち物にして、もう1本を別の安全な場所に置く。それがでこさんの運び方です。

あなたなら、置き場所を2か所、どこにしますか。

BKLZ〜雰囲気投資家の矜持〜さん（@Biz_zatukora）のポスト・2026年11月2日（Togetterのまとめより）

これがあるとログアウトするまでパスキーなどなく自由にサイトに出入りできます。

引用が言っているのは、パスキーでも物理キーでも、ログインした後に出る通行証が盗まれたら、出入り自由になる、ということです。その通行証が、セッションCookie。ログインした状態を覚えておく情報のことです。

雰囲気投資家さん（11月2日）のポストの説明を順に書きます。物理キーとパスキーが守る相手は、フィッシング、パスワード漏洩、SIMスワップなどの遠隔攻撃です。

SIMスワップとは、電話番号を乗っ取る攻撃のこと。Cookieを盗む手法は、まず端末にマルウェアを仕込む必要があるので、その時点でハードルが上がる、とあります。

具体的な対策として挙げているのは3つ。銀行や証券を使い終わったらすぐログアウトする。iPhoneならApp Store以外からアプリや構成プロファイルを入れない。iOSを常に最新にする。

長(おさ)英一郎さん（@eiichiro49・11月2日）も、ブラウザーに保存されたCookieを盗んで本人になりすます攻撃が問題になっている、と書いています。

Yukitoさん（@Yukitofco・10月31日）は、証券口座のパスキーを突破された話は、クラウド同期に保存していたパスキーや認証情報が、アカウントごと盗まれたことが問題、と書いています。

AI氣道『PHPの脆弱性で企業が今日確認する3つと制作会社に聞く5つの質問』より

「知らないこと自体が、いちばん大きな穴になると私は見ています。」

自社のサイトが何で動いているかを知らないことが、いちばん大きな穴になるという考えを、私は『PHPの脆弱性で企業が今日確認する3つと制作会社に聞く5つの質問』で書いています。

私が前の記事で書いたのは、自社のサイトが何で動いているかを意外と知らないまま、という話です。それを今回のログインの話に当てはめて読みます。

物理キーを入れても、パスワードとSMSだけで入れる別の入口が残っていれば、そこが穴になります。その入口を知らないことも、同じ形の穴だと私は読みます。

使っている場所を見つけて更新できる状態を、ふだんから作っておく。その考えが、ここにつながります。

@expokunさんのポスト・2026年10月30日（Togetterのまとめより）

結局、大切なのは「一番強い認証方法を設定したか」だけではなく、「ほかに弱い入口が残っていないか」となります。

引用が言っているのは、一番強い認証方法を設定したかどうかより、ほかに弱い入口が残っていないかが大事、ということです。

expokunさん（@expokun・10月30日）は、強さの順をこう整理しています。一番強いのは、パスキーのみ、またはパスワード＋パスキー。次が認証アプリ、その次がSMS、最後がパスワードのみ。

認証の手順が多いほど安全、というわけではない、とも書いています。パスワードとSMSのコードを両方入力しても、偽サイトに両方を盗まれれば突破される可能性があるからです。

せっかくパスキーを設定しても、パスワードとSMSだけで入れる別の入口が残っていたら、攻撃者はそちらを狙えます。だから、IDとパスワードでログインできなくする設定があればオンに、とそのポストは書いています。

Googleのパスキー担当者を名乗るEiji Kitamura/えーじさん（@agektmr・2026年4月6日）は、パスキーは基本的にパスワードマネージャーに保存されてクラウド同期されるので、OSやデバイスが壊れても復旧できると書いています。

ただし、WindowsでChrome以外のブラウザを使っていると同期されないことが多く、Androidではサービス側の選択で端末そのものに保存する場合もある、とのこと。

コツとして、えーじさんは、保存先を見ておくことと、複数のパスワードマネージャーにパスキーを保存することを挙げています。

ゆっくり3号さんは、機種変の再設定が面倒、紛失と故障のリスクがある、と悩みつつ、手元に物理的にあるのが安心、と書いています。

じんさん（@zin_1・10月15日）は、パスキーに移行して、YubiKeyも2本買った、設定は面倒だが物理キーがあると安心感が違う、と書いています。

AI氣道『PHPとWordPressと1Passwordのセキュリティ、KEITOさんの動画15分を6章で整理』より

「パスキーと2段階認証は、守り方の深さが違う、と私は見ています。」

守り方の深さが違うという考えを、私は『PHPとWordPressと1Passwordのセキュリティ、KEITOさんの動画15分を6章で整理』で書いています。

2段階認証の6桁のコードは、人が打ち込む物です。相手が偽サイトでも、渡せてしまいます。この偽サイトの実験の結果は、別の動画の実験を整理した私の記事に書かれた物です。

どちらか片方を選ぶ話ではなく、お金が関わる所から順に入れていく。物理キーとパスキーも二択にせず、順番で考える、というのが私の読みです。

Yukito＠40代投資家さん（@Yukitofco）のポスト・2026年10月31日（Togetterのまとめより）

物理キーを買った場合、証券口座とと併せて、Googleアカウント／Apple Accountも登録するようにしましょう。

物理キーの導入をAIエージェント（Claude CodeやCodexなど）に手伝ってもらうなら、どこまで任せるか。ここから先は、私の過去記事の考え方を物理キーの話に重ねた、私の読みです。

引用の中身は、物理キーを買ったら、証券口座と一緒に、GoogleアカウントとApple Accountにも登録する、ということです。Yukitoさん（10月31日）のポストです。

つまり、どのアカウントに何を登録するかの棚卸しが要ります。

AIに任せてよいのは、棚卸しと点検です。守りたいアカウントの一覧と、入口（パスワード、SMS、認証アプリ、パスキー、物理キー）の表づくり。弱い入口の洗い出し。買う前の確認項目の整理。

設定画面は人が見せる形で渡して、AIには確認までを頼みます。

人が決めるのは、物理キーの購入、各サービスへの登録、設定の変更です。パスワード・認証コード・バックアップコード・秘密の鍵は、AIに渡しません。

AI氣道『Tailscaleのセキュリティ確認方法｜初心者が設定を変えずに調べる5項目』より

「確かめることと、変えることは、別の承認として分けておきます。」

確かめることと変えることを分ける考えを、私は『Tailscaleのセキュリティ確認方法｜初心者が設定を変えずに調べる5項目』で書いています。

2026年10月28日、Tailscaleの公式ブログの発表を見て、その日のうちにAIに頼んで、自分のMacのTailscaleを確かめました。設定は一つも変えていません。

確かめられたのはMac 1台だけで、ほかの9台は「未確認」と書いて残しました。確認が終わってから、誰が、どの端末で、何を変えるかを決めて、変えることは別に承認を取る。

物理キーの導入も同じ順番だと私は考えます。

もう一つ、点検を頼んだ時の話です。2026年6月12日、AIに今のシステム環境のフルチェックを頼みました。パッケージ管理の道具（pnpm）の脆弱性の警告が34件、深刻度の高いものが2件。

更新して再点検すると0件になりました。一方で、点検のログにWordPressのアプリ用パスワードが写っていたんです。漏れた前提で、再発行を最優先にしました。警告の数だけでは、全部は見えません。

私の読みでは、AIに点検を頼む時は、パスワードや鍵が出力に写らない形で渡します。写っていたら、再発行が最優先です。鍵の登録は人が決める。パスワードはAIに渡さない。

あなたが物理キーを入れる時も、AIに頼むのは棚卸しと点検まで、というのが私の読みです。

AI時代のセキュリティの話として、物理キーの話を、3項目に分けて持ち帰ってください。何を守る物か。買う前に確かめる3つ。物理キーを入れても残る抜け道。これだけで、売り切れの話題に振り回されにくくなります。

何を守る物か。歯磨きしても臭かった人さん（2026年10月26日）のポストによると、偽サイトに渡せる物を減らす道具です。完全な初心者には必須ではない、という声も同じまとめにあります。買うかどうかは、守りたいアカウントを見てから決める物だと私は考えます。

買う前の3項目は、どこで買うか、ファームウェアの版、正規品かを検証する手段です。残る抜け道は、セッションCookieと、パスワードやSMSだけで入れる別の入口。知らないことが、いちばん大きな穴になります。

私の読みでは、AIエージェントには、棚卸しと点検まで頼みます。鍵の登録は人が決め、パスワードはAIに渡しません。この線は、まとめではなく私の過去記事の考え方を重ねた読みです。あなたは、重要なアカウントに他の弱い入口が残っていないかを今日確かめるか、AIに棚卸しを頼んで鍵の登録は自分で決めるか、どちらから始めますか。

この記事で学んだことを誰かに教えて恩送りして学びを深めよう！