WhatsApp パスキー複数登録・二段階認証強化まとめ

Meta傘下のWhatsAppは2026年8月25日、アカウントの乗っ取り対策を目的としたセキュリティ機能のアップデートを発表した。1台のデバイスに複数のパスキーを登録できるようにしたほか、従来6桁の数字PINのみだった二段階認証を、英数字や記号を含む長いパスワードに変更できるようにした。さらにAndroid向けには、電話帳に登録のない発信者から着信があった際、相手の国や共通のグループの有無といったコンテキスト情報を表示する機能も加わった。

WhatsAppの公式ブログによれば、パスキーの利用者はすでに10億人を超えている。今回の更新は、その基盤の上でさらに乗っ取りリスクを下げるための追加施策という位置づけだ。本稿では発表内容を一次情報ベースで整理したうえで、日本国内で越境ECや海外拠点とのやり取りにWhatsAppを使う企業アカウント運用者が、実務上どう対応すべきかを解説する。

発表の概要と背景

今回のアップデートはWhatsApp公式ブログ「One billion people are now protected with passkeys on WhatsApp, plus more account security features」(2026年8月25日公開)で発表された。TechCrunch(2026年8月25日)およびSocial Media Today(2026年8月25日)も同日付で報じており、発表内容に相違はない。

アップデートの柱は次の3点である。

1台のデバイスに複数のパスキーを登録できる機能(iOS・Android両対応)
二段階認証のPINを、英数字・記号を含む長いパスワードに変更できる機能
電話帳未登録の発信者からの着信時に、国や共通グループなどのコンテキスト情報を表示する機能(Android向け)

WhatsAppはこれらを「アカウント乗っ取りを防ぐための追加の防御層」と説明している。特にワンタイムコードの流出やSIMスワップ詐欺による乗っ取り被害が報告される中、パスワード単体に依存しない認証手段を増やす狙いがある。

複数パスキー登録機能とは何か

パスキーは、指紋認証や顔認証、端末の画面ロックコードを使ってログインできる仕組みで、従来のパスワード入力を代替する。WhatsAppは2023年からパスキー対応を進めており、公式ブログでは利用者数が10億人を超えたと明かされた。

今回追加されたのは、1つのアカウントに複数のパスキーを紐づけられる機能だ。これまでは端末ごとに個別のパスキー設定が求められ、iPhoneとAndroidの両方を使い分けているユーザーや、業務用とプライベート用でスマートフォンを2台持ちしているユーザーには不便があった。複数登録に対応したことで、どの端末からログインする場合でも生体認証だけでスムーズにサインインできるようになる。

設定は「設定 > アカウント > パスキー」から追加できる。既存のパスキーを削除する必要はなく、追加登録する形になる。

二段階認証がPINから英数字パスワードへ

もう一つの柱が二段階認証(2SV)の強化だ。従来のWhatsAppの二段階認証は6桁の数字PINを設定する方式で、組み合わせは最大でも100万通りにとどまっていた。今回のアップデートでは、英字・数字・記号を組み合わせた可変長のパスワードを設定できるようになり、総当たり攻撃への耐性が大きく向上する。

項目	従来のPIN認証	新しい英数字パスワード
使用できる文字種	数字のみ	英字・数字・記号を組み合わせ可能
桁数	固定6桁	可変長(長く設定可能)
組み合わせ数の目安	最大約100万通り	桁数・文字種次第で大幅に増加
設定場所	設定 > アカウント > 二段階認証	同左(アップデート後に文字種を選択可能)
主な用途	電話番号の再登録時などの本人確認	同左(強度が向上)

二段階認証は、電話番号が別端末で再登録された際に本人確認として機能する仕組みで、SMSのワンタイムコードだけに頼らない仕組みとして以前から存在していた。PINが数字6桁の固定長だったため、周囲の人物に推測されやすい、あるいは他サービスと同じ数字を使い回しているケースがあるという課題が指摘されていた。パスワード化によってこのリスクが下がる。

未知の発信者からの着信時にコンテキストを表示

3つ目の機能はAndroid向けで、電話帳に登録されていない番号から着信があった際に、発信元の国旗や、相手と共有しているグループの有無などの情報を通話画面に表示するというものだ。海外からの詐欺電話や、なりすましによる不審な着信を利用者が判断しやすくすることが狙いで、着信を受けるかどうかを決めるための猶予時間を提供する。

TechCrunchの報道では、SignalやTelegramなど競合メッセージングアプリも同種のセキュリティ強化を進めている流れの一環と位置づけられている。

WhatsAppが発表した3つのセキュリティ強化機能と、企業アカウント運用での活用ポイント

独自視点：日本の企業アカウント運用者はどう備えるべきか

WhatsAppの企業利用は、東南アジアや中東、欧州では主要な顧客接点の一つだが、日本国内での企業利用は現時点では限定的だ。LINEが国内のビジネスチャット・顧客対応の主流であることもあり、WhatsAppを軸にした日本語の専門記事はまだ多くない。ただし、越境ECで海外の仕入先や卸業者とやり取りする担当者、海外拠点・現地法人との連絡にWhatsApp Channelsなどの機能を活用している企業、インバウンド需要の高い店舗でカスタマーサポート窓口としてWhatsAppを併用している事業者にとっては、無視できないアップデートだ。

実務面で押さえておきたいポイントは3つある。

1. 複数担当者・複数端末での運用時の乗っ取りリスクが下がる

WhatsApp Businessアカウントを複数の担当者で共有運用しているケースでは、担当者の異動や退職のたびにログイン情報を引き継ぐ必要があり、パスワードやPINの使い回しが起きやすい。パスキーを複数登録できるようになったことで、担当者ごとに自分の端末でパスキーを登録し、必要に応じて特定の端末のパスキーだけを無効化するといった運用が現実的になる。これまでのように1つの数字PINを全員で共有する運用から、端末単位でアクセス権を管理する運用へ移行しやすくなった点は、情報システム部門にとって実務的なメリットになる。

2. なりすまし被害対策として二段階認証パスワードの強度見直しが必要

自社のWhatsApp Businessアカウントが乗っ取られ、取引先に偽の請求書や振込先変更の連絡を送りつけられる被害は、他のメッセージングアプリでも実際に起きている手口だ。InstagramなどSNSアカウントの乗っ取り被害でも、なりすましによる金銭要求や偽の割引案内が拡散されるケースが報告されており(Instagramアカウントの乗っ取り対策を解説した記事も参照)、WhatsAppでも同様の手口が想定される。従来の6桁PINを使い回している企業アカウントがあれば、このタイミングで英数字・記号を含む長いパスワードに切り替えることを推奨する。特に、代表番号として複数人がアクセスするアカウントほど、PINの流出経路が増えるため優先度は高い。

3. 海外拠点との連絡窓口では発信者コンテキスト表示を業務フローに組み込む

海外拠点や現地パートナーからの電話は、そもそも電話帳未登録の番号からかかってくることが多く、これまでは「知らない番号=無視する」か「とりあえず出る」の二択になりがちだった。Android端末を業務用に使っている場合、着信時の国旗表示や共通グループの有無を確認する運用を社内マニュアルに追記しておくと、詐欺電話とビジネス上の正当な着信を見分けやすくなる。

なお、日本語圏でのWhatsApp企業利用者向けの情報はまだ少なく、今回のアップデートについても英語圏メディアの報道が中心である。国内での事例やベストプラクティスが蓄積されるのはこれからの段階であり、本稿の提案も現時点での一般的な考え方として参考にしてほしい。

設定変更の実務チェックリスト

WhatsApp Businessアカウントを運用している場合、以下の順番で見直すとよい。

「設定 > アカウント > 二段階認証」から現在のPINが数字6桁のままかを確認する
英数字パスワードへの切り替えが表示される場合は、担当者間で共有しやすいパスワード管理ルール(パスワードマネージャーの利用など)を決めたうえで変更する
業務用端末が複数ある場合は、「設定 > アカウント > パスキー」からそれぞれの端末でパスキーを追加登録する
退職・異動があった担当者の端末に紐づくパスキーは速やかに削除する
Android端末を使っている場合は、着信時のコンテキスト情報表示がオンになっているか確認する

FAQ

Q. パスキーを複数登録すると、以前登録したパスキーは削除されますか。 A. されない。追加登録する形であり、既存のパスキーはそのまま有効に残る。

Q. 二段階認証のパスワードを設定すると、既存の数字PINは使えなくなりますか。 A. アップデート後は英数字パスワードへの切り替えが可能になるという内容で、切り替え自体は利用者の任意である。切り替えた場合は新しいパスワードでの本人確認に置き換わる。

Q. 発信者のコンテキスト情報表示はiPhoneでも使えますか。 A. 現時点の報道では、この機能はAndroid向けとして発表されている。iOSでの対応時期は明らかにされていない。

Q. WhatsApp Businessアカウントでもこれらの機能は使えますか。 A. 公式発表・報道ともにビジネスアカウントへの言及は明記されていないが、パスキーおよび二段階認証はアカウントの認証機能全般に関わる仕組みであり、Businessアプリでも同様のセキュリティ設定画面が用意されている。実際の対応状況は自社のアプリ上で設定画面を確認することを推奨する。

まとめ

WhatsAppは2026年8月25日、パスキーの複数端末登録、二段階認証PINの英数字パスワード化、未知の発信者に関するコンテキスト情報表示という3つの機能を発表した。いずれもアカウント乗っ取り対策としての位置づけで、パスキー利用者はすでに10億人を突破している。日本国内でのWhatsApp企業利用はまだ限定的だが、越境ECや海外拠点との連絡窓口として使っている事業者は、複数担当者でのアカウント運用体制や二段階認証パスワードの強度を見直す好機といえる。