はじめに
企業のリスク管理部門や情報システム部門にとって、「暗号化したファイルのパスワードが分からない」という社内からの報告は、担当者個人の困りごととして片付けるべき問題ではありません。監査対応中に過年度の財務データが開けない、退職者が残した共有フォルダ上のZIPやRARが複合できない、取引先に提出すべき暗号化PDFが開けない——こうした事態は、業務の停止やコンプライアンス上の遅延に直結する、れっきとしたセキュリティインシデントです。
本記事では、組織で暗号化ファイルのパスワードを喪失した際に、慌てて不審なフリーソフトを実行したり、元ファイルを安易に外部へアップロードしたりする前に知っておくべき、技術的な仕組みと段階的な対応手順、復旧手段の比較、そして再発防止策を解説します。
なぜ組織でパスワード紛失が発生するのか
個人のPC上のトラブルと違い、組織では「パスワードが属人化している」ことが最大の構造的原因です。
- 人事異動・退職：ファイルを作成・暗号化した担当者だけがパスワードを知っており、引き継ぎ文書に記録されていない。
- システム移行・クラウド移行：オンプレのファイルサーバーからクラウドストレージへ移す際、古いアーカイブの複合キーが引き継がれない。
- 長期保管データ：数年にわたって保管しているZIP・RAR・7Z形式のアーカイブで、当時のパスワードルールや担当者の記憶が失われている。
- 共有フォルダ・NASの運用：ファイル自体は共有されているのに、パスワードの記録が別の個人メモやメールに埋もれている。
- パスワード管理の形骸化：パスワードマネージャを導入しても、ファイル暗号化用のパスフレーズまでは登録が徹底されていない。
サイバーセキュリティの現場では、外部からの攻撃だけでなく、こうした「内部の運用の隙間」が業務リスクになるという認識が広まっています。ファイル暗号化はデータを守る手段である一方、鍵の管理が設計されていないと、暗号化そのものが業務を止める原因になり得るのです。
パスワード紛失が「リスク」として扱われる理由
同じ「開けない」でも、家計のメモが開けない場合と、監査期限のある法人文書が開けない場合では影響力が根本的に異なります。
- 業務継続への影響：契約書、設計データ、財務資料などが読み出せないと、取引先対応や社内判断そのものが止まります。
- 監査・規制対応の遅延：開示すべき記録を期限内に提示できない場合、監査法人や規制当局への説明コストが発生します。
- 誤った対処による情報漏えい：出所不明の「パスワード解除ツール」を社内PCで実行すると、マルウェア感染やファイル外部送信のリスクがあります。
- ファイル破損：一部のツールは暗号化ヘッダーを直接書き換えるため、復旧不可能な形でファイルを壊す恐れがあります。
したがって、初動で最も重要なのは「速く解除すること」ではなく、「安全な手順で復旧を試み、二次被害を防ぐこと」です。
仕組みの理解：元ファイルを渡さずに復旧できる理由
暗号化されたZIPやRAR、PDF、Office文書には、パスワードそのものが保存されているわけではありません。ファイル形式ごとに定められた方法で、パスワードから導出される検証用のハッシュ情報が格納されており、入力されたパスワードから同じ計算で導出した値と突き合わせることで「正しい鍵かどうか」を判定しています。
この仕組みを利用すると、重要な点が見えてきます。復旧処理に必要なのは、ファイル本体ではなく、そのハッシュ情報（特徴データ）だけだということです。
- 専用の抽出処理を手元のPC上でローカルに実行し、ハッシュだけを取り出す。
- 取り出したハッシュ値を照合処理にかけ、正しいパスワードを探索する。
- 元の業務ファイルは社内のPCやサーバーから一切外に出さない。
機密性の高い法人データを扱う部門にとって、「ファイルをアップロードしない」という点は、外部サービスを選定する際の必須条件と言えます。なお、形式によって暗号化アルゴリズムや強度は異なります。ZIPの旧来のZipCryptoとAES暗号化、RAR5、7Z、PDF、そしてWord・Excel・PowerPointといったOffice文書では、それぞれ計算コストや有効な攻撃手法が変わるため、形式に応じたアプローチを選ぶ必要があります。
インシデント発生時の段階的対応手順
社内から「暗号化ファイルが開けない」と報告が上がった場合、現場では次の流れで対応することを推奨します。
1. 事実確認と記録
ファイル形式（ZIP／RAR／7Z／PDF／Word／Excel／PPTなど）、作成時期、作成者、保管場所、利用目的、提出期限の有無を確認します。いつ・誰が・何のために暗号化したのかが分かると、パスワードの手がかり（当時の社内パスワード規則、よく使われていた接頭辞・接尾辞など）が浮かび上がります。
2. 作業用コピーの確保と破壊的操作の禁止
オリジナルのファイルには直接手を加えず、必ずコピーを作って作業します。また、ヘッダーを書き換える種類のツールや、出所不明のソフトウェアの実行は禁止します。
3. パスワード候補の棚卸し
担当者が個人で使い回していたパスワード、社内の命名ルール（会社名＋西暦、プロジェクト名＋記号など）、過去のメールやパスワードマネージャ内の記録を整理します。この「人間側の情報」が、探索時間を劇的に短縮します。
4. ハッシュ抽出と復旧手段の選定
ローカルでハッシュを抽出した上で、自前の計算資源で対応可能か、クラウドのGPUサービスを利用するべきかを判断します。短いパスワードや規則性のあるパスワードは辞書・マスク攻撃で足りるケースが多い一方、長く複雑なパスワードには大規模なGPU並列計算が必要になります。
5. 復旧後の記録と再発防止
復旧できた場合は、当該ファイルの鍵を組織として管理し直すとともに、インシデントの発生原因を記録し、後述する予防策に反映します。
復旧手段の比較：自前処理とクラウドサービス
| 手段 | メリット | デメリット・注意点 |
|---|---|---|
| 社内PCでの総当たり処理 | 外部にデータを出さない安心感 | CPU処理では時間がかかり、業務端末を長時間占有する |
| 自前GPUマシン | 並列計算でCPUより高速 | 導入・電力・保守コストが大きく、年に数件のために用意するのは非効率 |
| 無料のフリーソフト | 費用ゼロで試せる | 対応形式が古い、辞書が弱い、マルウェア混入の報告がある |
| クラウドGPU復旧サービス | 長い・複雑なパスワードに強く、端末を占有しない | サービス選定時にプライバシー保護方式と料金体系の確認が必要 |
探索アルゴリズムの面では、パスワード候補を順に試す辞書攻撃、「8文字目は記号」など規則が分かっている場合に範囲を絞るマスク攻撃、すべての組み合わせを試す総当たり（ブルートフォース）の順に、必要な計算量が大きくなります。人間が決めたパスワードには何らかの規則性が残ることが多く、実績のあるパスワード辞書やパターンデータベースの有無が成功率を左右します。
猫密网（Catpasswd）が選ばれる理由
法人の情シス・リスク管理部門がクラウド型の復旧サービスを比較する際、Catpasswd（猫密网）は次の点で実務的な選択肢になります。
- ソフトウェアのインストール不要：ブラウザ上で手続きが完結し、社内PCへの常駐ソフト導入が不要です。
- ローカルでのハッシュ抽出：元ファイルをアップロードする必要がなく、機密データを手元に置いたまま作業できます。
- GPUクラスタによるクラウド算力：長いパスワードや複雑なパスワード、大容量ファイルにも対応しやすい構成です。
- 成功報酬型の料金体系：復旧成功後、待てば無料で結果を確認できるモードがあり、急ぐ場合は有料で即時表示を選択できます。復旧に失敗した場合の支払いは不要です。
- 豊富な対応形式：ZIP、RAR、7Z、PDF、Word、Excel、PPTのほか、Bitcoin Wallet、1Password、Walletなどの形式にも対応しています。
もちろん、パスワードの長さや複雑さによっては、現実的な時間内に復旧できないケースも存在します。サービスは「必ず開く」ことを保証するものではなく、成功率を高める辞書と計算資源を提供するものである、という前提は正しく理解しておきましょう。
再発防止：インシデントを繰り返さないための運用設計
一度復旧できても、運用を変えなければ同じ問題が再発します。リスク管理の観点からは、次の仕組みを平時に整えておくことが重要です。
- パスワードマネージャの組織導入：ファイル暗号化用のパスフレーズも含めて、個人の記憶に依存しない保管先を一本化する。
- 鍵のエスクロー（封印管理）：業務上重要な暗号化ファイルのパスワードは、部門管理者が封印して保管し、緊急時に開封できる運用にする。
- アーカイブ台帳の整備：長期保管する圧縮ファイルには、ファイル名・作成者・保管期限・鍵の所在を台帳で紐付ける。
- 異動・退職時のチェックリスト：担当者が交代するタイミングで、暗号化ファイルの鍵引き継ぎを必須項目にする。
- 定期的なアクセス点検：共有NASやクラウドストレージ上の暗号化データを年に一度は試しに開き、鍵が生きているか確認する。
よくある質問（FAQ）
Q. 機密性の高い業務ファイルなので、外部サービスに預けることに抵抗があります。 A. Catpasswdでは、パスワード照合に必要なハッシュ情報をお客様のPC上でローカル抽出し、ファイル本体はアップロードしない方式を採用しています。元データは社内に留めたまま復旧処理を進められます。
Q. 暗号化ファイルのパスワードは必ず復元できますか？ A. いいえ。復旧の成否はパスワードの長さ、複雑さ、規則性、ファイル形式の暗号強度に依存します。十分に短い、または規則性のあるパスワードは高い確率で照合できる一方、長く完全にランダムなパスワードは現実的な時間内に復旧できない場合があります。
Q. 対応しているファイル形式を教えてください。 A. ZIP、RAR、7Z、PDF、Word、Excel、PowerPointをはじめ、Bitcoin Wallet、1Password、Walletなど、業務で広く使われる暗号化形式に対応しています。
Q. 復旧にはどのくらい時間がかかりますか？ A. ファイル形式とパスワードの強度、候補情報の量によって変わります。規則性があり短いパスワードは比較的短時間で照合できる傾向があり、複雑なものはGPUクラスタによる長時間の探索が必要になることがあります。
Q. 復旧に失敗した場合、費用は発生しますか？ A. いいえ。失敗した場合には料金は発生しません。また、成功後にすぐ確認したい場合は有料の即時表示を、時間をかけてよい場合は無料の表示モードを選べます。
Q. 自分でフリーの解除ツールを使っても問題ありませんか？ A. 出所不明のツールにはマルウェアが含まれるケースや、ファイルを直接書き換えて破損させるケースが報告されています。業務ファイルでは、まず作業用コピーを確保し、ファイル本体を外部に出さない信頼できる方式を選ぶことを推奨します。