【IPA 10大脅威2026】生体認証とは｜不正ログインが11年連続で選ばれる中で知っておきたい種類と導入時の注意点

スマートフォンのロック解除やPCへのサインインで、指紋や顔を使う場面が増えましたよね。社内で生体認証を検討し始めると、次のような疑問が出てくるのではないでしょうか。

• 指紋と顔、結局どちらが安全なのか分からない
• カタログに書かれた精度の数字を、そのまま信じてよいのか迷う
• 生体情報が漏れたら、どう対処すればよいのか不安がある

結論から言うと、生体認証の方式には向き不向きがあり、学術文献の評価軸で比べると整理できます。また、生体認証の精度は2つの指標のバランスで決まるもので、誤りがまったく起きない方式はありません。

この記事では、生体認証の仕組みと種類、精度の考え方、パスワードレス化の流れ、導入時の注意点を解説します。根拠には、総務省の懇談会資料と、IPA「情報セキュリティ10大脅威 2026」などの公的資料を使います。

この記事のポイント

• 生体認証の方式は、学術文献では「永続性」「性能」「受容性」などの軸で比べられており、指紋と虹彩は永続性・性能がともに「高」と整理されている（総務省の懇談会資料、2018年）
• 精度は本人拒否率（FRR）と他人受入率（FAR）で表し、一方を下げるともう一方が上がる関係にある
• 不正ログインはIPAの10大脅威（個人）に2016年から2026年版まで11年連続で選ばれており、パスワードに頼らない手段として生体認証の役割が広がっている（出典: IPA「情報セキュリティ10大脅威 2026」）

生体認証は身体や行動の特徴で本人を確かめる認証方式

生体認証は、指紋や顔のような体の特徴、または声や筆跡のような行動の特徴を使って、本人かどうかを確かめる方式です。英語では「バイオメトリクス（biometrics）認証」とも呼ばれます。

ここでは、生体認証の定義と、本人と判定するまでの流れ、照合の方法の違いを順に説明します。後半で扱う精度の話の前提になる部分です。

生体認証は記憶や持ち物に頼らずに本人を確認できる

生体認証の一番の特徴は、何かを覚えたり持ち歩いたりしなくても本人を確認できることです。認証に使うのは、その人自身の体や行動の特徴だからです。

バイオメトリクスは「生物」と「測定」を組み合わせた言葉です。総務省「Society5.0を見据えた個人認証基盤のあり方懇談会」（第3回、2018年3月）に提出された伊藤康一氏（東北大学）の資料（以下、懇談会資料）でも、身体的な特徴や行動的な特徴で個人を確かめる技術として説明されています。

パスワードは覚えておく必要があり、忘れたり盗み見られたりするおそれがあります。ICカードは持ち歩く必要があり、紛失や貸し借りが起こりえます。生体認証は、こうした「記憶」や「所持」に頼らない点が異なります。

認証に使う要素は、一般に知識・所持・生体に分けて考えられ、生体認証はこのうち生体の要素にあたります。要素の組み合わせ方は多要素認証の記事で詳しく解説しています。

登録した特徴と照合時の特徴を比べ、しきい値を超えたら本人と判定する

生体認証は、あらかじめ登録した特徴と、認証のときに読み取った特徴を比べて本人かどうかを決めます。判定は「一致したかどうか」ではなく、「どれくらい似ているか」で行われます。

流れは、まず指紋や顔などを読み取って特徴を取り出し、登録データとして保存します。認証のときは同じように特徴を取り出し、登録データとの似ている度合いをスコアとして計算します。

懇談会資料では、このスコアがあらかじめ決めた基準（しきい値）を超えれば本人と判定する仕組みが説明されています。指の乾き具合や顔の向き、照明などで、読み取るたびに特徴は少しずつ変わります。

そのため、パスワードのように文字が完全に一致するかで判定することはできません。似ている度合いで判定する以上、本人を拒否したり、他人を受け入れたりする誤りは避けられません。この誤りの扱い方は、後の「精度」の章で説明します。

照合の方法は1対1認証と1対多認証の2種類に分かれる

生体認証の照合には、1対1認証と1対多認証の2つの方法があります。懇談会資料でも、この2つは区別して説明されています。

照合の方法	仕組み	業務での例
1対1認証	利用者が名乗った本人の登録データ1件とだけ比べ、本人かどうかを確かめる	スマートフォンやPCのロック解除、業務システムへのログイン
1対多認証	登録されている全員のデータと比べ、最も近い人を探して誰なのかを特定する	建物やサーバールームへの入退室管理

表の出典: 総務省 懇談会資料「バイオメトリクスの研究動向とマイナンバー制度」をもとに作成

1対1認証は「この人は名乗ったとおりの本人か」を確かめる方法です。1対多認証は「この人は誰か」を探し出す方法です。利用者はIDやカードを示さなくてよい反面、システムは登録者全員のデータと比べる必要があります。

PCログインに使うのか、入退室管理に使うのかで、求められる照合の方法が変わります。ただし、入退室管理でも、ICカードなどで誰なのかを示したうえで1対1認証を行う構成があります。導入を検討するときは、まず自社の用途がどちらにあたるかを整理しておきましょう。

出典: 総務省「Society5.0を見据えた個人認証基盤のあり方懇談会」（第3回）資料1「バイオメトリクスの研究動向とマイナンバー制度」

生体認証の種類は身体的特徴と行動的特徴の2系統に分かれる

生体認証の種類は、体の特徴を使う「身体的特徴」と、動作のくせを使う「行動的特徴」の2つに大きく分けられます。懇談会資料でも、生体認証は身体的または行動的な特徴にもとづく技術として説明されています。

ここでは、それぞれの代表的な方式を紹介したうえで、学術文献の評価軸を使って方式を比べます。「どれが一番安全か」を考える前に、何を基準に比べるかを押さえておきましょう。

指紋・顔・静脈・虹彩は身体的特徴を使う代表的な方式

身体的特徴を使う方式のうち、業務でよく目にするのは指紋・顔・静脈・虹彩の4つです。いずれも、体の一部をセンサーやカメラで読み取って特徴を取り出します。

懇談会資料の比較表には、ほかにも網膜や掌紋（手のひらのしわの模様）、手の形なども含まれています。代表的な4つの読み取り方は次のとおりです。

• 指紋認証: 指先にある線の模様（隆線）の形や分かれ目の位置を、センサーで読み取る
• 顔認証: カメラで顔を撮影し、目・鼻・口の位置関係や輪郭などの特徴を取り出す
• 静脈認証: 手のひらや指に近赤外線を当て、皮膚の下にある静脈の形を読み取る
• 虹彩認証: 黒目の周りにある虹彩の模様を、専用のカメラで撮影する

身体的特徴は、本人の意思で簡単には変えられない特徴を使う点が共通しています。一方で、読み取りに専用の機器が必要な方式もあるため、導入のしやすさは方式によって違います。

音声・筆跡・キーストローク・歩き方は行動的特徴を使う方式

行動的特徴を使う方式は、その人の動作のくせで本人を確かめます。体の形ではなく、話し方や書き方などのふるまいを特徴として使う点が、身体的特徴との違いです。

懇談会資料の比較表に含まれる方式のうち、行動的特徴にあたる主な方式は、次のとおりです。

• 音声（声紋）認証: 声の高さや響き方など、話すときの声の特徴を使う
• 筆跡認証: 署名を書くときの形や筆の運び、書く速さを使う
• キーストローク認証: キーボードを打つときの間隔やリズムを使う
• 歩容認証: 歩くときの姿勢や足の運び方を使う

懇談会資料が引用している学術文献の評価では、これらの行動的特徴はいずれも「永続性」が「低」とされています。永続性は、時間がたっても特徴が変わりにくいかどうかを表す評価軸です。

行動的特徴は、体調や年齢、習慣の変化で特徴が変わりやすいと考えられます。風邪で声が変わる、けがで歩き方が変わるといった場面を思い浮かべると分かりやすいですね。

学術文献の評価では、指紋と虹彩は永続性と性能がともに「高」とされている

方式は、印象ではなく評価軸を決めて比べるのが確実です。懇談会資料が引用するJain et al.（2004）の比較から、主な5方式と6つの評価軸を抜き出したのが次の表です。

方式	普遍性	弁別性	永続性	収集性	性能	受容性
指紋	中	高	高	中	高	中
顔	高	低	中	高	低	高
手のひら静脈	中	中	中	中	中	中
虹彩	高	高	高	中	高	低
音声	中	低	低	中	低	高

表の出典: Jain et al.（2004）の整理を引用した総務省 懇談会資料（伊藤康一「バイオメトリクスの研究動向とマイナンバー制度」2018年）をもとに作成。学術的な定性評価であり、現在の製品の性能を示すものではありません。

表のとおり、指紋と虹彩は永続性と性能がともに「高」です。顔は受容性（利用者の抵抗感の少なさ）が「高」で手軽な反面、性能は「低」とされています。虹彩は性能が高い反面、受容性は「低」です。

なお、この表は2004年の文献による評価です。2018年の懇談会資料では、顔認証は以前より性能がかなり向上した一方、利用環境に性能が左右されやすく、指紋や虹彩と比べるとまだ十分ではないと説明されています。

すべての軸で優れた方式はないため、方式は「何を重視するか」で選ぶものだと考えてください。

出典: 総務省「Society5.0を見据えた個人認証基盤のあり方懇談会」（第3回）資料1「バイオメトリクスの研究動向とマイナンバー制度」

生体認証の精度は本人拒否率（FRR）と他人受入率（FAR）の2つで表す

生体認証の精度は、1つの数字ではなく、本人拒否率（FRR）と他人受入率（FAR）の2つの指標で表します。似ている度合いで判定する以上、誤りには「本人を拒否する」と「他人を受け入れる」の2種類があるからです。

ここでは、2つの指標の意味と関係、用途による使い分け、製品の精度表示を読むときの注意点を説明します。

本人拒否率は本人を誤って拒否する割合、他人受入率は他人を誤って受け入れる割合

本人拒否率は「本人なのに拒否されてしまう割合」、他人受入率は「他人なのに受け入れてしまう割合」です。懇談会資料の定義に沿って整理すると、次のようになります。

指標	英語表記	意味	高いと何が起きるか
本人拒否率	FRR（False Rejection Rate）	本人が照合したのに、他人と判定されて拒否される割合	本人が何度もやり直すことになり、使い勝手が悪くなる
他人受入率	FAR（False Acceptance Rate）	他人が照合したのに、本人と判定されて受け入れられる割合	なりすましが通ってしまい、安全性が下がる

表の出典: 総務省 懇談会資料「バイオメトリクスの研究動向とマイナンバー制度」をもとに作成

本人拒否率は利便性の問題、他人受入率は安全性の問題と押さえておくと整理しやすいです。

なお、Web上の解説には、2つの呼び方を取り違えているものも見られます。この記事では、総務省の懇談会資料の定義に従っています。

しきい値を厳しくすると他人受入率は下がるが、本人拒否率は上がる

本人拒否率と他人受入率は、片方だけを下げることができません。しきい値を動かすと、一方が下がればもう一方が上がる関係にあります。

しきい値を厳しくすると、よく似ていないと本人と認めなくなるため、他人が通る割合は下がります。その代わり、指の状態が悪いときなどに本人まで拒否される割合が上がります。しきい値をゆるくすると、逆のことが起こります。

図の出典: 総務省 懇談会資料（伊藤康一、2018年）の説明をもとに作成

懇談会資料では、しきい値を変えたときの2つの指標の変化を曲線で表して評価しています。2つの指標が等しくなる点はEER（等価エラー率）と呼ばれます。EERは、方式やアルゴリズムの性能を比べるときの目安として使われます。

精度は2つの指標のバランスで決まり、両方を同時にゼロにすることはできません。

出入国審査は他人受入率を、犯罪捜査は本人拒否率を低く抑える方向で運用される

2つの指標のどちらを優先するかは、用途によって変わります。懇談会資料では、用途ごとに曲線上のどのあたりで運用するかが示されています。

出入国審査は、他人を通さないことを優先する用途です。他人を受け入れてしまうと、なりすましを見逃すことになるためです。そのため、他人受入率を低く抑える方向で運用されます。

犯罪捜査は、該当する人物を見逃さないことを優先する用途です。該当者を拒否してしまうと、手がかりを失うことになるためです。そのため、本人拒否率を低く抑える方向で運用されます。

個人での利用や、多くの人が使う場面は、この2つの間に位置づけられています。業務で使う場合も同じ考え方ができます。重要データへのアクセスのように安全性を優先する用途では他人受入率を、日常のPCログインのように利便性を優先する用途では本人拒否率を意識して設定を考えます。

製品の精度表示は評価条件が分からないと比べられない

製品のカタログに精度の数字が書かれていても、その数字だけで製品を比べることはできません。精度は、どんなデータを使い、どんな環境で測ったかによって変わるからです。

2018年の懇談会資料でも、利用する環境を限定しない限り、誤りなく認証することは難しいと指摘されています。また、カタログの性能値は、どのようなデータで評価したかが分からなければ信用できないとも述べられています。

製品を比べるときは、次の点を確かめてみてください。本人拒否率と他人受入率の両方が示されているか、どのくらいの人数や条件で測った値か、という点です。片方の指標だけが大きく書かれている場合は、もう一方の値も問い合わせるのが確実です。

製品資料によっては、照合アルゴリズム単体の誤り率として、FMR（False Match Rate）やFNMR（False Non-Match Rate）という似た名前の指標が使われることもあります。懇談会資料でも、EERの定義にこの2つが使われています。比べる値が同じ指標かどうかも確かめましょう。

この記事で具体的な精度の数字を載せていないのも、同じ理由です。精度の数字は、評価条件とセットで初めて意味を持ちます。

出典: 総務省「Society5.0を見据えた個人認証基盤のあり方懇談会」（第3回）資料1「バイオメトリクスの研究動向とマイナンバー制度」

不正ログインが11年連続で10大脅威に選ばれ、パスワードに代わる手段として生体認証が使われている

生体認証が注目されている背景には、パスワードを狙う脅威が長く続いていることがあります。あわせて、指紋や顔で本人を確かめられる端末が、多くの家庭に行き渡ったことも関係しています。

ここでは、IPAと総務省の公的資料で背景を確認し、パスワードを使わないログインの仕組みであるパスキーとの関係を整理します。

不正ログインはIPAの10大脅威（個人）に2016年から11年連続で選ばれている

IPAの「情報セキュリティ10大脅威」で、「インターネット上のサービスへの不正ログイン」は個人向けの脅威に選ばれ続けています。2016年に初めて選ばれてから、2026年版まで11年連続です。

10大脅威は、専門家などの投票によって選ばれるものです。被害の件数を数えた統計ではないため、「被害が増え続けている」という意味にはなりません。不正ログインが、長年にわたって主要な脅威と見なされ続けているということです。

IPAの2026年版の個人向け資料では、不正ログインの対策として、ワンタイムパスワードや生体認証などを含めた多要素認証の利用が挙げられています。パスワードを使わずにログインできるパスキーの利用も、対策の一つとして挙げられています。

パスワードだけに頼る認証は、盗まれたり使い回されたりすると、そのまま突破されてしまいます。生体認証は、パスワードに代わる手段や、パスワードを補う手段として位置づけられているのです。

スマートフォンを持つ世帯は2025年に91.8%となり、生体認証を使える端末が身近になった

総務省の通信利用動向調査（世帯編）によると、スマートフォンを保有する世帯の割合は、2025年調査で91.8%でした。生体認証を使える機種が多いスマートフォンが、ほとんどの家庭にある状態です。

2024年調査は90.5%で、2021年からの推移は図1のとおりです。携帯電話を含むモバイル端末全体では、2025年調査で97.1%でした。

図の出典: 総務省「令和7年通信利用動向調査報告書（世帯編）」

なお、この保有率は生体認証の利用率ではありません。

この推移から読み取れるのは、端末が行き渡っても、パスワードを狙う脅威が主要な脅威として残り続けている点です。サービス側の対応と利用者の切り替えが進んで初めて、効果が出ると考えられます。

パスキーは指紋や顔などで端末のロックを解除してログインする仕組み

パスキーは、パスワードを使わずにWebサイトなどにログインする仕組みです。IPAの2026年版の個人向け資料では、指紋や顔の生体認証か、端末に登録したPINコードでログインする手段と説明されています。

生体認証は、手元の端末で操作者が持ち主かを確かめるために使われます。生体情報そのものをサービス側に送ってログインするわけではありません。

つまり、パスキーはログインの仕組みで、生体認証はそこで本人を確かめる手段の一つです。PINコードでも使えるため、生体認証がなくてもパスキーは利用できます。

出典: IPA「情報セキュリティ10大脅威 2026」個人編ハンドブック／IPA「情報セキュリティ10大脅威 2026」／総務省「令和7年通信利用動向調査報告書（世帯編）」

企業で認証技術を利用者確認に使う割合は2025年調査で22.2%（生体認証単独の値ではない）

「生体認証を導入している企業はどれくらいあるのか」は、検討する立場としては気になりますよね。ただ、公的統計で確認できるのは、生体認証を含む「認証技術」全体の値です。

ここでは、総務省の通信利用動向調査の値を紹介し、その数値を読むときの注意点を説明します。

認証技術による利用者確認を行う企業は2024年の20.7%から2025年は22.2%に増えた

総務省の通信利用動向調査（企業編）によると、「認証技術の導入による利用者確認」を行う企業の割合は、2025年調査で22.2%でした。2024年調査の20.7%から増えています。

この値は、ICカードやワンタイムパスワードなども含みうる認証技術全体の値で、生体認証単独の値ではありません。調査票では「認証技術」の具体的な範囲は示されていません。対象は、常用雇用者100人以上の企業です。

図の出典: 総務省「令和7年通信利用動向調査の結果（概要）」別紙2

この数値から読み取れるのは、方向は上向きでも、2025年調査で約8割の企業はこの対策を挙げていないという点です。パスワード以外の手段で本人を確かめる仕組みは、企業ではまだ少数派だと考えられます。

ただし、この記事で比べているのは2年分だけで、差は1.5ポイントです。調査の誤差の範囲に収まる可能性もあるため、この2年分だけで今後の伸び方まで判断するのは避けたほうがよいでしょう。

この22.2%はICカードやワンタイムパスワードも含みうる値で、生体認証だけの導入率は公的統計で確認できない

2025年調査の22.2%（常用雇用者100人以上の企業）は、ICカードやワンタイムパスワードなども含みうる認証技術全体の値で、生体認証単独の値ではありません。調査の選択肢が「認証技術の導入による利用者確認」という一つのまとまりだからです。

同じ調査の別の設問でも、生体認証はICカード認証などと並ぶ例の一つです。確認した範囲の公的な一次資料では、生体認証だけの企業導入率は見当たりませんでした。

ここからは見解です。IPAの資料は対策の方式名まで挙げる一方、普及状況を測る統計は方式を区別していません。そのため、生体認証単独の企業での導入状況は、公的統計からは確認できないのが現状です。

出典: 総務省「令和7年通信利用動向調査の結果（概要）」別紙2／総務省「令和7年通信利用動向調査報告書（企業編）」

生体認証を導入するときは、作り直せない情報を扱う前提で運用を設計する

生体認証を業務に取り入れるときは、パスワードとは性質の違う情報を扱うことを前提に、運用を考える必要があります。生体情報は作り直しがきかず、判定の誤りもゼロにはならないためです。

ここでは、登録データの管理、ほかの手段との組み合わせ、企業で課題になりやすい点の3つに分けて説明します。

生体情報は漏えいしてもパスワードのように変更できないため、登録データの管理が重要になる

生体認証の導入で最も気をつけたいのは、登録データの管理です。生体情報は、漏れてもパスワードのように作り直せません。

懇談会資料が引用する評価軸の「永続性」は、時間がたっても特徴が変わりにくい性質を指します。

ここからは筆者による補足です。変わりにくい特徴は、漏れたときに取り替えがききません。指紋や虹彩は一度漏れると作り直せないため、導入前に次の点を確かめておきましょう。

• 登録データが端末の中に保存されるのか、サーバーに保存されるのか
• サーバーに保存される場合、どのような形で保存され、誰がアクセスできるのか
• 利用者が退職したときなどに、登録データを削除する手順があるか

登録データの保存場所と保存方法を把握しておくことが、安全に使うための出発点です。

生体認証にも判定の誤りがあるため、他の手段と組み合わせて使う

生体認証は、ほかの認証手段と組み合わせて使うのが基本です。似ている度合いで判定する以上、本人拒否や他人受入れの誤りが必ず起こりうるからです。

懇談会資料は、カードやパスワードと違い、生体認証では誤りのない認証ができないと指摘しています。そのうえで、生体認証は認証手段の一つとして使い、用途に応じて組み合わせる情報を変えるべきだという考え方を示しました。

また、他人受入率は、たまたま特徴が似ていた他人を受け入れてしまう誤りを表す指標です。写真や人工物などを使って意図的になりすます攻撃への強さは、これとは別に確かめる必要があります。懇談会資料でも、なりすましは研究テーマの一つに挙げられています。

運用で特に決めておきたいのは、本人が拒否されたときの代わりの手段です。手のけがや体調の変化、マスクの着用などで、本人でも認証できない場面は起こりえます。そのときにPINコードで入るのか、情シスに連絡するのかを、あらかじめ決めておきましょう。

生体認証だけに頼らず、代わりの手段まで含めて設計することが大切です。手段の組み合わせ方は、前述の多要素認証の考え方が参考になります。

端末はほぼ行き渡っており、企業で課題になるのは業務システム側の対応と運用ルール

総務省の通信利用動向調査によると、2025年調査でスマートフォンを持つ世帯は91.8%でした。同じ2025年調査で、認証技術を利用者確認に使う企業は22.2%です。

この企業の値は、ICカードやワンタイムパスワードなども含みうる認証技術全体の値で、生体認証単独の値ではありません。対象は常用雇用者100人以上の企業で、世帯の数値とは母集団が異なります。

ここからは見解です。2つを並べると、業務での課題は端末をそろえることより、業務システム側の対応や運用ルールにある可能性があります。生体認証やパスキーへの対応や、ログインの仕組みのまとめ方が論点です。入口をまとめる方法にはシングルサインオン（SSO）もあります。

なお、私物端末の業務利用（BYOD）の状況や、PC内蔵の生体認証が「認証技術の導入」に含まれて回答されているかは、どちらの調査からも分かりません。

出典: 総務省 懇談会資料「バイオメトリクスの研究動向とマイナンバー制度」／総務省「令和7年通信利用動向調査報告書（世帯編）」／総務省「令和7年通信利用動向調査の結果（概要）」別紙2

まとめ：生体認証は特性と精度の考え方を理解し、用途に合わせて選ぶ

不正ログインはIPAの10大脅威（個人）に2026年版まで11年連続で選ばれており、生体認証の役割は今後も大きくなると考えられます。押さえておきたい点は次のとおりです。

まずは、自社で生体認証を使いたい場面がPCログインか入退室管理かを整理するところから始めてみてください。

出典: IPA「情報セキュリティ10大脅威 2026」個人編ハンドブック／総務省「令和7年通信利用動向調査の結果（概要）」別紙2

認証方式の基礎を学ぶなら「情シスカレッジ」

生体認証やパスワード、多要素認証など、認証方式の基礎は情シスの業務のあらゆる場面で必要になります。新任の担当者にも早めに身につけてほしいものの、教える時間を取るのは難しいのではないでしょうか。

「情シスカレッジ」は、新人・ひとり情シスのためのマイクロラーニングLMSです。数分の動画と小テストで、業務の合間に学べます。

導入は5名から可能で、請求書払いにも対応しています。初期設定はおよそ10分で完了します。

情シスカレッジの詳細を見る

※出典

• 総務省「Society5.0を見据えた個人認証基盤のあり方懇談会」（第3回）資料1 伊藤康一「バイオメトリクスの研究動向とマイナンバー制度」（2018年3月）
• 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」個人編ハンドブック
• 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」
• 総務省「令和7年通信利用動向調査報告書（世帯編）」
• 総務省「令和7年通信利用動向調査の結果（概要）」別紙2
• 総務省「令和7年通信利用動向調査報告書（企業編）」