パスキーが使えない時の復旧｜機種変更・スマホ紛失の確認手順

結論：機種変更と紛失では、旧端末の扱いが違う

パスキーが新しいスマホに出ない、認証アプリを復元してもログインできない場合は、どこに保存したパスキーで、どのサービスへ入ろうとしているかを先に確認します。 旧端末が安全に手元にある機種変更なら、新端末での認証テストが終わるまで消去・下取り・返却を待ちます。 紛失・盗難や不審な操作があるなら、移行完了を待つ手順ではありません。報告と端末の保護、アクセス制限を管理者と並行して進めます。 全ての認証手段を失った場合は、対象サービス・組織の公式復旧窓口へ進み、本人確認を省略する方法を探さないでください。

対象読者： 機種変更する個人・社員、問い合わせを受ける情シス、認証を運用する開発者・SaaS管理者。組織のアカウントは管理者のポリシーを優先します。

資料確認日：2026年10月22日。 特定の侵害事件を扱うニュースではなく、防御・運用の解説です。表示名や復旧条件はOS・保存サービス・契約・組織設定で変わります。次の手順・記録例は、公式仕様を踏まえた編集部の運用例です。

パスキーが使えない理由：同期型・端末固定型の違い

パスキーは、顔や指紋そのものではなく、サービスへの認証に使う鍵の組です。FIDO Allianceの説明は、クラウドサービスを介して端末間で利用する同期型と、特定の認証器から出ないデバイス固定型を区別しています。画面ロックのPINを知っているだけで、別の端末に鍵が作られるわけではありません。

「旧端末のパスキーで新端末のブラウザへログインできた」と「新端末にパスキーを保存できた」も別です。異なる保存サービスやOSへ移る場合、既存の認証手段で正規にログインして、新しい保存先へ登録する必要があるかを利用先の案内で確認します。

読者別の影響：誰が何を確認するか

読者・担当	優先して確認すること	単独で決めないこと
個人・社員	利用先、保存先、旧端末の状況、登録済みの別の方法	会社の認証制限の解除、全認証器の一括削除
情シス・ヘルプデスク	本人確認、対象権限、端末管理、紛失と通常移行の区別	依頼の緊急性だけを根拠にしたMFA解除
SaaS・IdP管理者	対象サービスの登録パスキー、セッション、監査記録	IdPだけの操作で全SaaSを失効したという判断
アプリ開発者	所有者向けの登録・削除・復旧画面、通知、操作記録	本番の他人のアカウントを使った復旧テスト

開発者は、承認されたテスト用アカウントで、認証器の追加・削除後の表示とサービス側の有効性を検証します。復旧画面で扱う秘密情報や生の認証応答を、通常の問い合わせログへ収集しない設計も必要です。認証器の管理と通知の設計はOWASPのパスキーガイドを参照してください。

まず確認すること：問い合わせ前のチェックリスト

• 対象サービスとアカウント：個人用か職場・学校用か、どのアカウントで失敗したかを確認する。表示名だけで別のアカウントと混同しない。
• 旧端末の状況：安全に手元にある、故障した、消去した、紛失した、第三者の操作が疑われる、を分ける。
• 保存先：iCloudキーチェーン、Google等の認証情報マネージャー、Authenticator、セキュリティキーなど、実際の登録時の保存先を確認する。
• 別の認証手段：登録済みの別パスキー・セキュリティキー・公式の回復方法を利用できるか確認する。回復コードの値そのものは問い合わせへ添付しない。
• 新端末の条件：公式の対応OS・ブラウザ、画面ロック、利用する保存サービスへのアクセス、組織の制限を照合する。
• エラーと時刻：画面の文言、発生時刻・タイムゾーン、試した公式の操作を記録する。QRコード、回復コード、セッション情報は画像に含めない。

画面に候補がない、候補はあるが認証に失敗する、認証後に業務アプリを利用できない、を分けると、担当者が切り分けやすくなります。ログイン後の権限は認可の問題も含むため、認証器を再登録しても解決しない場合があります。

機種変更前：旧端末が安全に使えるときの確認手順

1. 重要な利用先を一覧にする。 主要メール、保存サービス、業務のIdP、管理画面などを挙げ、アカウントと保存先を対応させます。
2. 新端末で保存先を確認する。 公式の移行案内に沿い、同期で利用可能になるか、新しく登録する必要があるかを確認します。会社の制限を個人の保存サービスで迂回しません。
3. 新端末から新しい認証を試す。 残っているログイン済み画面ではなく、サービス公式の方法で新しいサインインを確認します。テストのために唯一の復旧経路をログアウト・削除しないでください。
4. 必要な業務まで確認する。 ログイン先のアカウント、必要なアプリ、許可された操作を照合し、旧端末の承認を必要としたかも記録します。
5. 確認できた範囲で旧端末を整理する。 サービス側の不要な登録、保存先、端末の消去・返却はそれぞれの公式手順と社内ルールで行います。未確認の重要アカウントがあれば、担当者・代替手段を決めてから返却します。

Microsoftの移行資料も、新端末から重要なアカウントや資源へサインインできると確認するまで旧端末を保持するよう案内しています。これは信頼できる旧端末を手元で管理できる通常移行の話です。

スマホ紛失・盗難：ログイン復旧とアクセス制限を並行する

業務端末や業務アカウントが含まれる場合は、社内窓口へ紛失時刻・端末・利用サービスを報告します。全てを調べ終えてから報告する必要はありません。端末の保護・遠隔操作は会社PC・業務スマホ紛失時の初動対応で、OSや管理方式の制約と合わせて確認できます。

残っている信頼できる端末や管理者の正規の管理経路で、次の対象を分けて判断します。これは利用者本人と権限を持つ担当者向けの対応であり、他人のアカウントへ試行する手順ではありません。

Passkey Centralは、同期型の保存サービスへアクセスを回復することと、紛失・盗難に関係するパスキーを利用先サービス側で削除することを分けて説明しています。

本人の業務復旧は別の承認済み経路で進めます。旧端末を信頼できない場合は、「新しい方法のテストが終わるまで旧登録を維持する」という通常移行の待機条件を適用せず、責任者が制限・失効を判断します。不審な成功ログインや登録変更がある場合は、不審ログインの初動対応へ切り替えます。

全ての認証手段が使えないとき：公式復旧・管理者へ相談する

個人アカウントは、ブックマークや公式アプリから対象サービスの回復案内を確認します。保存サービスへ入れない問題と、利用先サービスへ入れない問題では、相談先が異なる場合があります。検索広告やDMで見つけた「必ず復旧できる」業者へ秘密情報を渡さないでください。

組織のアカウントは、既知の社内連絡先へ相談します。担当者は登録済みの連絡経路と承認ルールで本人確認し、利用可能な再登録方法、対象権限、作業者、業務の代替担当を決めます。急ぎの電話依頼だけでMFAを外す対応は避け、ヘルプデスクの本人確認と復旧対応へつなげます。

復旧の可否・待機期間・必要書類はサービスや状況によるため、一律の時間で戻れるとは約束しません。業務停止がある場合は、認証の保護を弱めるのではなく、権限を持つ責任者が代替担当や停止範囲を判断します。

Google・Apple・Microsoftで確認する違い

次は2026年10月22日に確認した公式説明の要約です。製品の推奨順位ではなく、同じ「移行」「バックアップ」という言葉でも確認対象が異なることを示します。

• Googleアカウント：公式ヘルプには、パスキーが使えないときの別の認証方法、手動作成した登録の削除、Androidで自動作成されたものの端末管理経由の扱いが分けてあります。候補が残る場合は認証情報マネージャー側も確認します。これは全SaaS共通の削除方法ではありません。Google公式ヘルプ
• AppleのiCloudキーチェーン：端末間での利用と、全端末を失った場合の回復は別の条件です。公式ガイドは、事前に復旧用連絡先を追加している場合の支援を説明しています。全ての保存サービスや全てのアカウントが同時に回復するとは考えません。Apple公式ガイド
• Microsoft Authenticator：公式の移行資料では、職場・学校アカウントの復元はアカウント名の移行であり、追加のサインイン・設定が必要です。パスキーはアカウントのバックアップと別扱いです。旧端末だけに保存したものか、同期対応の保存サービスにあるかを確認し、再登録が必要なら組織の手順に従います。Microsoft公式資料

「認証アプリに名前が出る」「パスキー候補が出る」「対象サービスで認証できる」「業務権限が使える」は別々の確認です。アプリの表示だけで復旧完了にしません。

判断基準：通常の問い合わせか、セキュリティ初動か

状況	優先する行動	完了まで残す確認
信頼できる旧端末があり、新端末だけで失敗	通常の移行として保存先・対応条件を照合	重要な利用先ごとの新しい認証、旧端末の整理
紛失・盗難、画面ロック解除を他人が知る可能性	報告、端末保護、対象アクセスの制限を並行判断	対象登録・セッション・操作結果・未確認範囲
不審な成功ログイン、知らないパスキー・回復先の追加	侵害疑いとしてインシデント窓口へ連絡	証跡保全、失効、後続操作、復旧後の監視
全手段を失い、公式復旧が必要	本人確認・組織承認と業務代替を手配	復旧先・受付番号・担当・次の連絡予定

影響が管理者・主要メール・IdPに及ぶ場合は、単にログインできない利用者数だけで軽微と判断しません。反対に、パスキー候補がないだけで侵害と断定もしません。

復旧・失効の記録テンプレート

次を社内の承認済みの保管先へ転記します。CyberLensへ入力するフォームではありません。個人利用では他人と共有しない自分の管理先を使い、アカウントの識別も必要最小限にします。

確認日時・タイムゾーン / 担当 / 管理番号:
状況（通常移行・故障・紛失盗難・不審操作）:
対象サービス / 個人・職場学校の区別 / アカウントの管理番号:
旧端末の管理状況 / 保存サービス / 同期型・端末固定型・未確認:
利用できる別の認証・公式回復経路（値は書かない）:
報告・本人確認・承認者 / 公式窓口の受付番号:
実施した制限・失効 / 対象登録 / 実施者・時刻・結果:
既存セッションの確認・失効結果 / ログ・証跡の社内保管先:
新端末での新しい認証 / 対象サービス / 確認者・時刻:
業務権限の確認 / 旧端末の消去・返却の判断:
未確認範囲 / 残課題 / 担当・期限 / 次の連絡予定:
※PIN・回復コード・QRコード・秘密鍵・セッション情報は記録しない。

合成例：「通常移行／業務アカウントA／新端末のメールは認証確認済み／経費SaaSは旧端末の承認が必要で未完了／担当Bが翌営業日に確認」。一部のサービスだけの成功を「全て復旧済み」とまとめず、サービス単位で未完了を残します。紛失・侵害疑いの報告は、この記入が終わるまで待ちません。

復旧後の完了条件と、やってはいけないこと

完了判断では、対象サービスごとの新しい認証、必要な業務権限、不要・危険な登録、既存セッション、回復情報、未確認事項の引き継ぎを確認します。OWASPのガイドも、認証器変更の再認証・通知や、復旧後のセッション・認証情報の点検を重視しています。

• 通常移行では、重要な利用先を確認する前に唯一の旧端末・認証器を消去しない。
• 紛失・侵害疑いでは、復旧テストの完了を待ってアクセス制限を遅らせない。
• 試しに同期をオフにする、全パスキーを一括削除する、端末を初期化する、といった不可逆な操作から始めない。
• 会社の認証ポリシーや本人確認を、個人アカウントへの移し替えで迂回しない。
• サポート担当を名乗る相手へ、PIN、MFAコード、回復コード、QRコードを送らない。公式の本人確認画面と、通常のメール・チャットでの要求を区別する。
• 新しいパスキーの追加だけで、不審な既存セッションが全て失効したと考えない。

よくある誤解

「同じ電話番号なら全て戻る」：パスキーの保存先・同期条件・利用先の登録を確認する必要があります。電話番号が同じことだけでは、鍵を利用できる証明になりません。

「アプリを復元できたので認証も戻った」：職場・学校アカウントの追加設定やパスキーの扱いを別に確認します。表示名の復元と、新しい認証の成功は違います。

「旧端末を消したのでサービス側も失効した」：端末・保存先・サービスの登録・ログイン中のアクセスを分けます。残るアクセスの確認はセッションハイジャックの初動対応も参照してください。

関連用語・次に読むページ

• 意味を確認：パスキー、FIDO2、WebAuthn、多要素認証。
• 違いを比較：パスキーとパスワードの違い。
• 基礎を学ぶ：パスキーとパスワードレス認証。
• 実務で使う：SaaS権限棚卸しチェックリストで復旧後の権限・連携を点検し、侵害疑いは漏えい疑い初動テンプレートへ。
• 安全に復習：パスキーを含む用語クイズ。実アカウントの回復を試す演習ではありません。
• あとで使う：記事の「あとで読む」で保存し、保存・学習の続きから再開できます。端末間の自動同期ではありません。

公式情報・参考情報

資料の説明を要約しています。復旧可否や待機期間を保証せず、対応時に対象サービスと組織の最新案内を再確認してください。

• FIDO Alliance：Passkeys — 同期型と端末固定型、異なる端末への移行。
• FIDO Alliance Passkey Central：紛失・盗難時の利用者向け案内 — 保存先の回復と利用先サービスでの失効の違い。
• Google Account Help：パスキーの利用・削除・紛失時の対応 — 別の認証方法と登録・候補の扱い。
• Apple iPhone User Guide：iCloudキーチェーンによる端末間の利用 — 同期と全端末を失ったときの回復条件。
• Microsoft Learn：Authenticatorの新しいスマホへの移行 — バックアップの復元範囲とパスキーの確認。
• OWASP：Passkey Security Cheat Sheet — 登録・失効・復旧の安全なライフサイクル。