クラウド移行や委託先変更でZIPの鍵が不明になる理由
クラウド移行、マネージドITサービスの切り替え、保守担当者の交代などのタイミングで、それまで使われていたパスワード付きZIPが開けなくなるケースがあります。中にはサーバー設定書、アクセスログ、バックアップ、監査資料、移行前のファイル一式など、業務継続に必要なデータが格納されていることも少なくありません。
よくある原因は次のとおりです。
- パスワードが前任者や旧委託先の個人メモ、個人用パスワード管理ツールにだけ保存されていた
- 引き継ぎ資料にファイルの存在は記載されていたが、復号キーが記載されていなかった
- プロジェクト終了から年数が経過し、当時の命名規則やパスワードの使い分けが分からなくなった
- ファイル共有の権限だけ移行され、暗号化鍵の管理権限が移行されなかった
- 誤ったパスワード入力を繰り返し、入力ミスなのかファイル破損なのか判断できなくなった
ZIPの暗号化は、正しいパスワードを知っている人だけが内容を復号できる仕組みです。そのため、管理情報が属人化していると、ファイル自体は手元にあっても開けない状態が発生します。
最初に確認すべき5つのポイント
復旧作業を始める前に、まず次の確認を行ってください。場当たり的なツール利用や、機密ファイルを不特定のオンラインサービスへアップロードすることは避けるべきです。
1. オリジナルファイルを保護する
復号や解析を行う前に、ZIPファイルのコピーを作成し、原本は読み取り専用の状態で保管します。可能であれば、コピー前後のハッシュ値を記録し、ファイルが変更されていないことを証明できるようにします。
2. 暗号化方式とエラー内容を確認する
7-Zipなどのツールで、ZipCryptoとAESのどちらで暗号化されているか、ファイル名一覧は表示されるか、エラーメッセージは「パスワードが違う」旨なのか「書庫が壊れている」旨なのかを確認します。
パスワード誤りとファイル破損では対処方法が異なります。破損している場合は、別の正常なバックアップや再ダウンロードが必要になることがあります。
3. 引き継ぎ情報を横断的に探す
次の場所に手がかりが残っていないか確認しましょう。
- 引き継ぎ書、運用マニュアル、保守契約の付属資料
- チーム共有のパスワード管理ツールやシークレット管理システム
- 共有ストレージ内の鍵管理フォルダ
- 旧担当者とのメール、チャット、チケットシステム
- 当時のプロジェクト名、サーバー名、契約番号、社内略称
4. パスワードのパターンを書き出す
人間が設定したパスワードには、組織名、システム名、西暦、月、連番、記号の組み合わせなどの傾向が見られることがあります。推測をランダムに入力するのではなく、候補ルールをリスト化しておくと、後のマスク検索や辞書検索に活用できます。
5. 安易なアップロード系サービスを避ける
暗号化されているとはいえ、機密情報を含むアーカイブを信頼できないWebサイトへアップロードするのは安全とはいえません。サービスの運用方針、保存期間、削除方法、第三者提供の有無を確認できない場合は利用を避けるのが無難です。
主な復旧方法の比較
| 方法 | 向いているケース | メリット | 注意点 |
|---|---|---|---|
| 社内資料やパスワード管理ツールの再調査 | 手がかりが残っている可能性がある場合 | 安全でコストがかからない | 時間が経過していると情報が消去されている場合がある |
| 自前の辞書・マスク検索 | パスワードの長さや使用文字の見当がつく場合 | ファイルを外部へ出さずに試せる | GPU性能や辞書の質によって時間が大きく変わる |
| 専門のパスワード復旧サービス | 長いパスワード、複雑なパスワード、GPUが不足する場合 | クラウドGPUと蓄積された辞書・ルールを利用できる | サービスのプライバシー方針と料金体系を確認する必要がある |
短く単純なパスワードであれば、手元のPCでも一定の確率で確認できる場合があります。一方、12文字を超えるランダムなパスワードや、記号・大小文字・数字が混在する場合は、総当たり検索の現実的な時間が極端に長くなります。
安全な復旧手順
ステップ1：ファイルの状態を文書化する
ファイル名、保存場所、ファイルサイズ、タイムスタンプ、表示されるエラー、暗号化方式、ファイル名一覧の有無を記録します。複数のZIPがある場合は、それぞれ別々に管理し、解析結果を混同しないようにします。
ステップ2：ローカルでハッシュ特徴を抽出する
ZIPのパスワード検証に使われるハッシュ特徴を、ファイル本体からローカル環境で抽出します。この方法であれば、機密ファイルそのものを外部へアップロードせずに済みます。
抽出には専用のツールを使う方法もありますが、コマンド操作に慣れていない場合は、入力ミスや形式違いを防ぐためにも専門サービスの補助ツールを利用する選択肢があります。
ステップ3：辞書検索とマスク検索を組み合わせる
手がかりがある場合は、既知の単語や社内用語をまとめた辞書リストを使います。さらに、先頭や末尾の西暦、連番、記号のパターンが分かっている場合は、マスク検索を組み合わせます。
例えば、「社内略称＋4桁の西暦＋記号」のような規則性が見えていれば、完全な総当たりよりも大幅に効率的です。ただし、パスワードが無作為に生成されていた場合は、辞書や規則ベースの検索が機能しにくくなります。
ステップ4：GPUクラスターによる計算を検討する
長いパスワードや複雑なパスワードでは、検索時間がGPUの性能に依存します。社内に十分なGPU環境がない場合や、業務停止時間を短縮したい場合は、クラウドGPUを活用した専門サービスが選択肢になります。
Catpasswd（猫密网）では、ZIP向けのパスワード復旧に対応しており、源ファイルではなくローカル抽出したハッシュ特徴を利用する方法を選べます。独自に整備されたパスワード辞書やパスワード規則データベース、GPUクラスターを活用することで、手元のPCだけでは時間がかかるケースでも復元できる可能性を高められます。
復元が成功した場合、待機することで無料で確認できるモードがあり、すぐに表示したい場合の有料オプションも選択できます。復元に失敗した場合には料金が発生しないため、まず可能性を確認したいときにも利用しやすい仕組みです。
ステップ5：復元後に鍵管理を立て直す
パスワードが判明したら、まず副本で復号を確認します。その後、次の対応を行います。
- 新しい強力なパスワードで再暗号化する
- パスワードを個人メモではなく組織の管理システムへ登録する
- アーカイブ本体と復号キーを別の場所に保管する
- 復号テストと復元テストを実施する
- いつ、誰が、どのファイルを復元したか記録する
再発を防ぐための管理体制
パスワード紛失は個人のうっかりだけでなく、組織の鍵管理プロセスの問題として捉える必要があります。特に委託先やクラウド環境をまたぐデータでは、次の仕組みが重要です。
- 所有者の明確化：各アーカイブに管理責任者と代理権限者を設定する
- 鍵の分離保管：ファイル保存場所とパスワード保存場所を分ける
- ブレイクグラス手順：緊急時にだけ開封できる封印された鍵管理手順を用意する
- 定期的な復元テスト：バックアップが実際に復元できるかを半年ごとなどに確認する
- ベンダー退出時のチェックリスト：アカウント、MFA、トークン、暗号化鍵、パスワード管理ツールの権限をすべて回収・引き継ぐ
FAQ
Q1. 暗号化ZIPのハッシュ特徴だけを送ってもファイル内容は分かるのですか？
ハッシュ特徴はパスワード検証に使われる情報であり、ファイル本文そのものではありません。源ファイルをアップロードしないことで、機密データの外部流出リスクを大きく下げられます。ただし、抽出方法やサービスの管理方針は事前に確認してください。
Q2. 復旧までどのくらい時間がかかりますか？
パスワードの長さ、文字種、辞書に含まれるかどうか、GPU性能によって異なります。短い辞書パスワードであれば比較的短時間で済むこともありますが、長いランダムなパスワードでは長時間の計算が必要になる場合があります。
Q3. 無料の解析ツールだけで十分ですか？
手がかりが明確で、短いパスワードであれば有効な場合があります。ただし、ツールの入手元が不明だとマルウェアのリスクがあるほか、GPUがないと計算時間が不足することがあります。重要な業務ファイルでは、安全性と計算資源を両方確認する必要があります。
Q4. パスワードが違うのか、ZIPが壊れているのか分かりません。
7-Zipなどでエラー内容を確認し、可能であれば同じファイルを別の環境で開いてみてください。ダウンロードやコピーの途中で壊れた場合は、正常な原本から再取得することが優先です。エラー内容とファイル状態を記録してから復旧作業を進めましょう。
Q5. 今後同じトラブルを起こさないために何をすべきですか？
パスワードを個人のメモやメールに残さず、組織のパスワード管理システムで管理します。アーカイブと鍵を分離し、管理責任者を設定し、定期的に復号テストを行うことが基本です。ベンダー切り替え時には、暗号化鍵の引き継ぎを契約終了チェックリストに含めてください。