- 【最重要】結論：YubiKeyは「2本以上」での運用が鉄則
- 必須のバックアップ戦略
- ケース別：万が一の時の対処法
- （補足）どのYubiKeyをバックアップ用に買うべきか？
- まとめ：YubiKeyは「バックアップとセット」で完成する
こんにちは、情報システム部セキュリティ担当の城咲子です。
YubiKey（ユビキー）は、GoogleやMicrosoft 365、X（旧Twitter）など、多くのサービスで利用できる最強の物理セキュリティキーの一つです。パスワードレス認証や二要素認証（MFA）の手段として、私も業務・プライベート問わず愛用しています。
しかし、物理的な「モノ」である以上、常に「紛失」や「故障」のリスクが伴います。
「もしYubiKeyをなくしたら、自分のアカウントに二度とログインできなくなるのでは？」
この不安は、YubiKeyの導入を検討している方や、すでに1本だけで運用している方が共通して抱える最大の懸念点です。
結論から言えば、対策を怠ると、その不安は現実のものとなります。最悪の場合、あなたの大切なアカウントから永久にロックアウトされる危険性があります。
この記事では、セキュリティの専門家（CISSP、登録セキスペ）として、また日々企業のセキュリティ運用に携わる情シスの立場から、YubiKeyを導入するなら絶対に欠かせないバックアップ戦略と、万が一の際の具体的な対処法を徹底的に解説します。
【最重要】結論：YubiKeyは「2本以上」での運用が鉄則
もしYubiKeyを1本しか持っていないなら、この記事を読み終わったらすぐに2本目を注文してください。
なぜ、そこまで強く推奨するのか。それはYubiKey（というかFIDO2規格）のセキュリティの仕組みそのものに理由があります。
理由：秘密鍵はYubiKeyから「エクスポート不可」
YubiKeyがなぜ安全なのか。それは、認証に必要な「秘密鍵」が、YubiKey内部のセキュアエレメントと呼ばれる専用チップに安全に格納され、そこから一切取り出す（エクスポートする）ことができない仕組みになっているからです。
- 通常のパスワード: サーバー側と利用者側が「同じ合言葉（パスワード）」を知っている。
- YubiKey (FIDO):
- 登録時: YubiKey内で「秘密鍵」と「公開鍵」のペアが生成される。
- 「公開鍵」だけがサービス側（Googleなど）に登録される。
- 「秘密鍵」はYubiKeyの外には絶対に出ない。
- 認証時: サービス側からの「署名要求」に対し、YubiKey内の「秘密鍵」で署名して応答する。
この「秘密鍵がデバイスから出ない」という仕組みこそが、フィッシング攻撃に無類の強さを発揮する理由です。
しかし、これは裏返せば、「そのYubiKey本体を紛失・破損したら、その秘密鍵も永遠に失われる」ことを意味します。PCのデータをバックアップするように、YubiKeyの中身をコピーすることは不可能なのです。
だからこそ、「1本目がメイン、2本目以降がバックアップ（合鍵）」という運用が必須となります。
必須のバックアップ戦略
では、具体的にどう備えればよいのでしょうか。情シスの実務でも推奨している「多層的なバックアップ戦略」を紹介します。優先度の高い順に①→②→③と対策してください。
戦略①：予備のYubiKeyを登録する（最善手）
最も強力で推奨される方法が、2本目（あるいは3本目）のYubiKeyを、メインキーと同じサービスに「追加のセキュリティキー」として登録しておくことです。
ほとんどのFIDO対応サービス（Google, Microsoft, Xなど）は、複数のセキュリティキーを登録できます。
＜城咲子のバックアップ運用例＞
参考までに、私の運用方法を紹介します。私は「用途」と「保管場所」を分けてリスク分散しています。
- 1本目（メイン）: YubiKey 5C NFC
- 用途: 普段使い。オフィスのPCや自宅のMacBook Proに接続。NFC対応なのでスマホ（iPhone）でも利用。
- 保管: PCバッグの小物入れ（保護ケースに入れています）
- 2本目（サブ）: YubiKey 5 nano
- 用途: 自宅PC用。ほぼ挿しっぱなし。
- 保管: 自宅デスクトップPCのUSBハブ。
- 3本目（最終バックアップ）: YubiKey 5 NFC
- 用途: 緊急時用。
- 保管: 自宅の金庫（または鍵付きの引き出し）に厳重保管。
ここまでやる必要はないかもしれませんが、最低でも「普段使い用」と「自宅保管の予備」の2本は用意しましょう。
戦略②：MFAの「回復コード」を必ず保存する（次善手）
YubiKey（セキュリティキー）を登録する際、多くのサービスでは「回復コード（リカバリーコード）」が発行されます。
これは、YubiKeyを含むすべてのMFA（多要素認証）手段を失った場合の「最後の砦」となる、一度きりの使い捨てパスワードです。
これは絶対に、絶対に保存してください。
回復コードはどこに保存すべきか？
デジタルデータと物理的な紙の両方で保存することを推奨します。
- パスワードマネージャー:
- 1PasswordやBitwardenなど、信頼できるパスワードマネージャーの「メモ欄」や「セキュアノート」に保存します。
- ※ただし、そのパスワードマネージャー自体のログインにYubiKeyを使っていると「鶏と卵」になるため、マスターパスワードは厳重に管理してください。
- 物理的に印刷して保管:
- 回復コードを印刷し、前述の「3本目のYubiKey」と一緒に金庫や鍵付きの引き出しに保管します。
- アナログですが、サイバー攻撃の影響を受けない最強のコールドストレージです。
戦略③：紛失防止タグの活用（物理的対策）
YubiKeyをキーホルダーや社員証ケースにつけて持ち歩く方は、紛失防止タグ（スマートタグ）を一緒につけておくことを強く推奨します。
「そもそも紛失しない」ための対策です。
- iPhoneユーザー: Apple AirTag
- Androidユーザー: Eufy Security SmartTrack など
これにより、万が一どこかに置き忘れても、スマホから位置を探したり、音を鳴らしたりすることが可能になります。
ケース別：万が一の時の対処法
上記のバックアップ戦略を講じていれば、紛失・故障時も慌てる必要はありません。冷静に対処しましょう。
ケース1：YubiKeyを「紛失」した場合の対処手順
外出先で「YubiKeyがない！」と気づいても、焦ってはいけません。YubiKeyは「PINコード」が設定されている限り、拾った第三者が即座に悪用することは困難です。（PINの試行回数制限でロックがかかるため）
冷静に以下の手順を実行してください。
- バックアップ手段でログインする
- 自宅に保管している「予備のYubiKey」を使います。
- または、印刷しておいた「回復コード」を使います。
- （もしTOTPアプリ（Google Authenticatorなど）も併用登録しているなら、それでも構いません）
- 紛失したYubiKeyの登録を「即時削除」する
- ログインできたら、真っ先にアカウントのセキュリティ設定画面を開きます。
- 「セキュリティキーの管理」や「2段階認証プロセス」の項目から、紛失したYubiKeyの登録を削除（無効化）します。
- これを全サービスで行います。
- 新しいYubiKeyを注文・再登録する
- メインキーを紛失した場合は、バックアップキーをメインに昇格させ、すぐに新しいYubiKeyを注文して「新しいバックアップキー」として登録し、常に2本以上の体制を維持します。
ケース2：YubiKeyが「壊れた・認識しない」場合の切り分け
「PCに挿してもランプが光らない」「NFCが反応しない」といった故障が疑われる場合。これは情シスのトラブルシューティングの出番です。
以下の手順で、問題がYubiKey本体にあるのか、PC側にあるのかを切り分けます。
- 試すこと①：PCの再起動とポートの変更
- まずはPCを再起動します。一時的な不具合はこれで直ることが多いです。
- USBポートを変えて挿し直してみます。ハブを使っている場合は、PC本体のポートに直接挿します。
- 試すこと②：別のデバイスで試す
- 可能であれば、別のPCや、NFC対応のスマートフォンで認識するか試します。
- どのデバイスでも認識しない場合、YubiKey本体の物理故障の可能性が濃厚です。
- 試すこと③：Yubico公式ツールで確認する
- PCに「YubiKey Manager」という公式アプリをインストールします。
- このアプリでYubiKeyが認識されるかを確認します。認識されれば、キー自体は生きている可能性があります。
物理的な破損（水没、強い衝撃、端子の折れ曲がりなど）が明らかな場合は、諦めて「紛失」と同じ手順を踏みます。バックアップキーでログインし、壊れたキーの登録を削除、新しいキーを注文してください。
（補足）どのYubiKeyをバックアップ用に買うべきか？
「バックアップ用にもう1本」と言われても、種類が多くて迷うかもしれません。
結論：メインキーと全く同じモデルである必要はありません。
例えば、以下のような選び方が合理的です。
- メイン: Yubikey 5C NFC （最新のUSB-C & NFC対応）
- バックアップ: Yubikey 5 NFC （安価なUSB-A & NFC対応）
バックアップ用は自宅保管がメインであれば、安価な旧型（Type-A）モデルで十分です。PCがType-Cポートしかなくても、
逆に、iPhone/iPadでの利用がメインの方は、Type-CとLightningが一体になった YubiKey 5Ci をメインにし、バックアップに安価なモデルを組み合わせるのも良いでしょう。
まとめ：YubiKeyは「バックアップとセット」で完成する
YubiKeyは、現代のデジタル社会においてアカウントを守るための強力な「鍵」です。
皆さんが自宅の「鍵」に必ず「合鍵」を用意するように、YubiKeyも「合鍵（バックアップキー）」を用意するところまでがワンセットです。
- 購入時： 必ず2本以上購入する。
- 登録時： 登録したサービスすべての「回復コード」を印刷・保管する。
- 運用時： 1本は普段使い、1本は安全な場所（金庫など）に保管する。
この3点を徹底するだけで、「YubiKeyをなくしたらどうしよう」という不安は解消されます。
セキュリティ対策とは「最悪の事態を想定し、事前に対策しておくこと」。専門家として、私はYubiKeyの導入を強く推奨しますが、それはバックアップ運用とセットであることが大前提です。
ぜひ万全の対策を講じて、安全で快適なデジタルライフを送ってください。
おすすめのYubiKeyと関連アクセサリ
【YubiKey本体】
- USB-C & NFC対応（イチオシ）: Yubikey 5C NFC
- USB-A & NFC対応（定番）: Yubikey 5 NFC
- USB-C & Lightning対応（iPhone/iPadメインなら）: YubiKey 5Ci
- 超小型（挿しっぱなし用）: YubiKey 5 nano
【アクセサリ】
- 紛失防止タグ (iPhone): Apple AirTag
- 紛失防止タグ (Android): Eufy Security SmartTrack
- 保護ケース (Type-C): Yubikey 5C NFC 保護ケース
- 保護ケース (Type-A): Yubikey 5 NFC 保護ケース
- 変換アダプタ:
- USB-A (メス) to USB-C (オス)
- USB-C (メス) to USB-A (オス)
- USB-A (メス) to USB-C (オス)
