スマホの画面ロックを「なし・スワイプ」にして証券口座のパスキーだけ6桁PINにできる？Androidの仕組みと安全な設定を解説

証券口座でパスキー認証を利用するとき、「スマートフォン自体はロックなし、またはスワイプだけにして、証券口座へログインするときだけ6桁PINを入力したい」と考えることがあります。しかし、Androidの一般的なパスキーでは、パスキー用に証券口座だけの6桁PINを設定するのではなく、スマートフォンの画面ロックに設定したPIN・パターン・パスワードや生体認証を本人確認に利用する仕組みが基本です。

そのため、Google パスワード マネージャーへ保存する一般的なAndroidのパスキーでは、画面ロックを「なし」「スワイプ」にしたまま、証券口座のパスキーだけを独立した6桁PINで保護する、という構成は基本的にできません。GoogleもAndroidでパスキーを保存するためには画面ロックをオンにする必要があると案内しています。[参照] Google Chromeヘルプ・パスキーの管理

ただし、証券会社や利用するパスワードマネージャー、スマートフォンの機種によって認証方式が異なる場合があります。ここではGoogle パスワード マネージャーを利用する一般的なAndroidを中心に、画面ロックとパスキーの関係を整理します。

結論：Androidでは画面ロックなしで通常のパスキーを使うのは難しい

Google公式では、AndroidでGoogle パスワード マネージャーにパスキーを保存する条件として、Android 9以降であることに加え、画面ロックがオンになっていることを挙げています。パスキーを作成するときにもAndroidの画面ロックによる確認が行われます。[参照] Androidヘルプ「パスキーでアプリやウェブサイトにログインする」

ここでいう画面ロックとは、PIN、パターン、パスワードなど、端末を持っているだけでは第三者が解除できない認証です。指紋認証や顔認証を併用できる端末もあります。

一方、「なし」や単純な「スワイプ」は、第三者でも画面を開ける状態なので、パスキーを保護するための本人確認としては扱われません。したがって「端末はスワイプだけ、証券口座だけ6桁PIN」という分離は、通常のAndroidパスキーの考え方とは異なります。

パスキーのPINは「証券口座専用の暗証番号」とは限らない

パスキーについて混同しやすいのがPINの意味です。証券会社のログイン画面でパスキーを使用したときにPIN入力を求められても、それが必ず「その証券会社専用に設定したパスキーPIN」という意味ではありません。

Androidの場合、Google パスワード マネージャーは保存されたパスキーへアクセスする際、端末の画面ロックのPIN・パターン・パスワードを利用します。GoogleはAndroidではGoogle パスワード マネージャー専用PINの代わりに端末の画面ロックを使用すると説明しています。[参照] Google パスワード マネージャーのPINについて

例えばスマートフォンの画面ロックを6桁の「123456」以外の安全なPINに設定している場合、証券口座でパスキーを利用すると、指紋認証またはその端末PINによる確認が表示されることがあります。このPINは証券会社へ送信するログインパスワードではなく、端末側で「このスマートフォンを操作しているのが正当な利用者か」を確認するために使われます。

パスキーは「秘密鍵＋端末の本人確認」でログインする仕組み

パスキーは、従来のパスワードを6桁の数字へ置き換えただけの仕組みではありません。FIDO Allianceによると、パスキーはFIDO標準に基づく暗号化資格情報で、アプリやWebサイトへサインインするときには端末のロック解除と同様の生体認証、PIN、パターンなどによって利用を承認します。[参照] FIDO Alliance・パスキー

証券会社などサービス側には公開鍵が登録され、秘密鍵はユーザー側の環境で保護されます。そのため、パスワードのように「証券会社へ6桁のPINそのものを送って照合してもらう」という発想とは異なります。

パスキーがフィッシングに強いとされる理由の一つもここにあります。パスキーは登録したWebサイト・アプリと関連付けられるため、偽サイトへ従来のパスワードを入力して盗まれるタイプの攻撃への耐性があります。

なぜ画面ロックが必要なのか

パスキーでは、端末を持っていることに加え、その端末を操作している人が正当な利用者であることを確認する仕組みが重要になります。FIDO Allianceも、パスキーでは生体認証やPIN、端末パスワードなど、端末をロック解除するときと同じ仕組みでサインインを承認すると説明しています。

仮にスマートフォンを「スワイプするだけで誰でも開ける」状態にし、その端末内の重要な認証情報まで本人確認なしで利用できると、スマートフォンを拾った第三者がそのまま重要サービスへアクセスできる危険が高まります。

特に証券口座は資産を扱うため、スマートフォン自体の盗難・紛失対策も重要です。証券アプリだけを強固にするのではなく、端末の入口となる画面ロックから保護しておくことが基本になります。

「なし」「スワイプ」とPINロックは大きく違う

Androidでは「画面をスワイプして開く」という動作が同じように見えても、セキュリティ上の画面ロックとは意味が異なります。「なし」や「スワイプ」では基本的に本人確認を行わず、端末を手にした人がそのままホーム画面へ進めます。

一方、PIN、パターン、パスワードを設定すると、その秘密を知っている利用者でなければ端末を解除できません。指紋や顔認証を設定していても、再起動後など特定の場面ではPIN・パターン・パスワードを要求されます。

GoogleがAndroidのパスキー利用で求めている「screen lock」は後者です。そのため、単純なスワイプを残しておけばパスキー用の条件を満たせる、という意味ではありません。

6桁PINを使いたいなら端末の画面ロックを6桁PINにする方法が現実的

「生体認証ではなく6桁PINを使いたい」という目的であれば、Android端末そのものの画面ロックをPINに設定するのが一般的です。端末が対応していれば、6桁以上のPINを設定できます。

例えば「端末の画面ロック＝6桁PIN」「証券口座＝パスキー」という構成にすると、証券口座のパスキー利用時にも端末側のPINを使って本人確認できる場合があります。普段は指紋認証を利用し、必要な場面ではPINへフォールバックする設定も一般的です。

ただし、証券会社側が独自の認証アプリや追加認証を採用している場合は動作が異なります。実際に利用する証券会社のパスキー設定ページで、Androidの対応条件を確認してください。

Google パスワード マネージャーPINとの違いにも注意

Googleには「Google パスワード マネージャーのPIN」という別の仕組みもあるため、ここが混乱しやすいポイントです。Google公式によると、パソコン、iPhone、iPadなどで初めてパスキーを作成するとGoogle パスワード マネージャーPINが作成される場合があります。

しかしAndroid端末では、Google パスワード マネージャーPINをAndroid上で新規作成・変更する仕組みではなく、保存したパスワードやパスキーへのアクセスには基本的にAndroid端末の画面ロックが利用されます。[参照] Google公式・Google パスワード マネージャーPIN

したがって「Google パスワード マネージャーに6桁PINを設定すれば、Android本体をロックなしにできる」という理解は適切ではありません。Android上で利用するパスキーと端末画面ロックは密接に関係しています。

証券口座だけ別のPINにしたい場合は証券会社の仕様確認が必要

「スマートフォンのPINとは別に、証券口座へ入るときだけ違う6桁PINを入力したい」という要望の場合、その機能が利用できるかどうかは証券会社のアプリ・サービス側の仕様次第です。

証券会社によってはアプリ起動用PIN、取引暗証番号、生体認証、パスキーなど複数の認証情報があります。しかし、これらはすべて別物です。例えば「取引暗証番号が6桁だから、それをパスキーのPINとして使える」とは限りません。

また、証券会社が「パスキー必須」としている場面で、独自のアプリPINへ任意に置き換えることも通常はできません。利用している証券会社の公式ヘルプで「パスキー」「Android」「端末ロック」「PIN」の条件を確認する必要があります。

外部のパスワードマネージャーやセキュリティキーなら事情が異なる場合がある

パスキーはGoogle パスワード マネージャーだけの技術ではありません。Androidでは対応するサードパーティー製パスワードマネージャーをパスキーの保存先として利用できる場合があります。また、サービスによってはFIDO対応のハードウェアセキュリティキーを利用できるケースもあります。

こうした製品では独自のPINや認証方法を採用している場合があるため、「パスキーなら絶対にすべてAndroidの画面ロックPINを使う」とまでは言えません。パスキーの保存場所と認証器によって仕組みが変わります。

ただし、証券会社がそのパスワードマネージャーや外部セキュリティキーに対応しているとは限りません。金融サービスでは利用できる認証環境に制限が設定されていることもあるため、証券会社の公式対応状況を優先してください。

証券口座を使うスマホで画面ロックをなくすのはおすすめしにくい

仮に何らかの方法で証券アプリだけを別PINで保護できたとしても、証券口座や銀行、メール、SMS、パスワードマネージャーなどを利用しているスマートフォンを「なし」「スワイプ」の状態にするのはセキュリティ上おすすめしにくい設定です。

スマートフォンを紛失すると、証券アプリ以外にもメールやSMSが第三者に見られる可能性があります。メールやSMSはさまざまなサービスの本人確認やアカウント復旧に利用されるため、証券アプリだけロックすれば十分とは限りません。

利便性を優先したいのであれば、画面ロックそのものをなくすより、端末に安全なPINを設定したうえで指紋・顔認証を併用し、普段のロック解除を素早くする方が安全性と使いやすさを両立しやすいでしょう。

設定を変更する前に既存パスキーへの影響を確認する

すでに証券口座などのパスキーを作成済みの場合、画面ロックを解除・変更する前に注意が必要です。端末やOS、パスキー保存先によっては、画面ロック設定の変更が保存済み認証情報へ影響する可能性があります。

特に金融口座で「試しに画面ロックをなしにしてみる」と設定変更する前に、証券会社が用意している代替ログイン方法、パスキーの再登録方法、登録済み端末の管理画面などを確認しておくことをおすすめします。

パスキーを削除したり端末を初期化したりする必要はありません。まず証券会社の公式ヘルプとGoogleのパスキー要件を確認し、現在正常に利用できている認証手段を失わないことを優先しましょう。

まとめ：Androidでは「画面ロックなし＋証券パスキーだけ6桁PIN」は基本的にできない

Google パスワード マネージャーを利用する一般的なAndroid環境では、スマートフォンを「なし」「スワイプ」にしたまま、証券口座のパスキーだけ独立した6桁PINで利用する構成は基本的にできません。GoogleはAndroidでパスキーを保存する条件として画面ロックを要求しており、パスキーの作成・利用時にも端末の画面ロックを本人確認に使用します。

6桁PINでパスキーを使いたいのであれば、現実的なのはスマートフォン本体の画面ロックを6桁PINにする方法です。対応端末なら指紋・顔認証を併用できるため、毎回PINを入力せずに利便性を確保することもできます。

なお、証券会社独自のアプリPIN、取引暗証番号、Google パスワード マネージャーPIN、Androidの画面ロックPIN、パスキーはそれぞれ同じものではありません。特に「6桁PIN」という見た目だけで同じ認証情報だと判断しないことが重要です。

最終的な利用可否は証券会社とパスキー保存先の仕様にも左右されますが、資産を扱うスマートフォンでは画面ロックを解除するより、端末をPIN・パスワードで保護し、生体認証を併用する設定が安全性と使いやすさの両面から適しています。