フィッシング対策でExcelを守る一方で発生する鍵の紛失
なりすましメール、偽の決済案内、社内担当者を装ったメッセージなど、組織や個人を狙うソーシャルエンジニアリングの手口は身近になっています。顧客リスト、見積書、売上データ、アカウント一覧などを含むExcelファイルをパスワードで保護している人も多いでしょう。
暗号化は、ファイルが外部に漏れた際の被害を抑える有効な手段です。しかし、そのパスワードを自分自身が忘れてしまうと、業務に必要な正規の持ち主であってもファイルを開けなくなります。
本記事では、暗号化されたExcelブックのパスワードを忘れた場合に、慌てず安全に対処するための判断基準と復旧手順を解説します。
Excelには複数の「パスワード」がある
最初に確認したいのは、どの種類のロックがかかっているかです。Excelでは、利用者が「パスワード」とひとくくりに呼んでいても、仕組みが異なる場合があります。
1. ファイルを開くためのパスワード
「読み取りパスワード」とも呼ばれ、ファイル自体が暗号化されます。正しいパスワードを入力しなければ内容を表示できません。最新の.xlsx形式で強力な暗号化が使われている場合、単純に保護設定を外すだけでは開けず、設定したパスワードの候補を検証する復旧作業が必要になります。
2. 書き込みを制限するパスワード
ファイルを開くことはできても、上書き保存や変更ができない状態です。読み取り専用で表示できるなら、ファイル全体の暗号化ではなく編集制限である可能性があります。
3. シート保護・ブック保護
セルの編集、シートの追加、構成の変更などを制限する仕組みです。これは本来、誤操作を防ぐための機能であり、ファイル内容の機密性を守る暗号化とは別物です。
ファイルを開く段階でパスワードを求められるのか、開いた後で編集だけができないのかを切り分けることが、無駄な作業を減らす第一歩です。
よくあるパスワード紛失のきっかけ
次のような状況は、個人でも組織でも比較的多く見られます。
- 異動や引き継ぎの際、前任者がパスワードを共有していなかった
- 数年前に暗号化した売上データや顧客リストを久しぶりに開いた
- フィッシング警戒のために現場が独自に複雑なパスワードを設定し、記録先が分からなくなった
- パスワード付きExcelをメール送付したが、別のチャットで送ったパスワードを消してしまった
- パスワードマネージャーの移行や端末変更後に、保存した記録が引き継がれなかった
セキュリティを強化する意識自体は正しくても、記録や引き継ぎの仕組みが伴わないと、正当な業務アクセスまで妨げられます。
安全な復旧手順
ステップ1：入力環境とパスワード候補を確認する
まずは基本的な見落としを排除します。Caps LockやNum Lockの状態、日本語入力と英字入力の切り替え、キーボード配列の違いを確認してください。記号を含むパスワードでは、機種ごとの入力位置の違いが原因になることがあります。
次に、以下の記録先を確認します。
- パスワードマネージャー
- ブラウザやOfficeの保存情報
- チームの鍵管理台帳
- 暗号化ファイルを送受信したメールやチャット
- 紙で封印保管している記録
考えられるパスワードを無秩序に入力すると、記憶があいまいになるだけでなく、ロックポリシーがある環境では状況を複雑にする可能性があります。思いつく候補は文字数、使用文字、前後の固定文字列などに分けてメモしておくと、後のマスク検索に役立ちます。
ステップ2：別の保存先やバージョンを探す
ファイル自体が複数の場所に残っている可能性もあります。外付けHDD、NAS、クラウドストレージ、共有フォルダ、送信済みメール、一時的な作業フォルダなどを確認してください。
クラウドや共有ストレージには、暗号化前の版や、別のパスワードで保護された旧版が残っていることがあります。ただし、復旧作業では必ずコピーを作成し、原本を直接編集しないでください。
ステップ3：ファイルを開くパスワードか、編集制限かを判定する
ダブルクリックした直後にパスワード入力画面が表示される場合は、ファイル暗号化の可能性が高いといえます。一方、読み取り専用で開ける場合や、シートの一部だけが編集できない場合は、保護設定の問題です。
ファイル暗号化と編集制限では復旧アプローチが異なるため、「とにかく解析ツールを探す」のではなく、ロックの位置を特定することが重要です。
ステップ4：源ファイルをアップロードせず、ハッシュ特徴情報を利用する
顧客情報や財務データを含むExcelを、信頼できないウェブサイトにそのままアップロードするのは避けてください。復旧サービスを装った情報窃取や、ファイルの二次流出につながるリスクがあります。
Catpasswd（猫密网）では、ローカル環境で暗号化ファイルからハッシュ特徴情報を抽出し、源ファイル自体をアップロードせずに復旧を試みる方法を利用できます。Excel本来の内容を外部に渡さずに済むため、機密性の高いワークブックに適した方法です。
ステップ5：パスワードの規則性に合わせて検索する
すべての文字列を片っ端から試すブルートフォースは、短い数字だけのパスワードなどを除き、現実的な時間で成功するとは限りません。一方、利用者が設定しそうな単語、日付、記号、社内用語などをもとにした辞書検索やマスク検索は、候補を効率よく絞り込めます。
Catpasswdは、クラウドGPU集群と独自のパスワード辞書・規則データベースを活用し、長さや複雑さに応じた検索を行います。専門的なツールを自分で構築したり、長時間PCを稼働させたりする必要がなく、ブラウザから手順に沿って進められます。
ただし、十分な長さのランダムなパスワードは、技術的に短期間で特定できないこともあります。サービスを利用する場合も、必ず復旧できるわけではない点は理解しておく必要があります。
ステップ6：復旧後はパスワードを安全に再管理する
ファイルを開けたら、まず複合化したコピーを安全な場所に保存し、パスワードを再設定します。新しいパスワードは、本人だけが分かる場所ではなく、業務上必要な管理者がアクセスできる鍵管理の仕組みに記録してください。
ファイルのパスワードをメール本文や同じチャットに平文で送ることは避け、別の安全な経路で伝えるか、アクセス権限で制御します。
ツール選びで注意すべき点
Excelのパスワード復旧を検索すると、多数のソフトやオンラインサービスが表示されます。次の点を確認し、安全性を優先してください。
- 源ファイルのアップロードが必須かどうか
- ハッシュ抽出をローカルで行えるかどうか
- 成功条件や料金発生のタイミングが明確かどうか
- 不審なインストール型ソフトを強要しないかどうか
- 第三者のファイルを無断で解析する用途を禁止しているかどうか
Catpasswdでは、復旧に成功した後、待機することで無料で確認できるモードがあり、すぐに表示したい場合の有料オプションも用意されています。復旧できなかった場合は料金が発生しません。
平時からできる予防策
- Excelの暗号化パスワードをパスワードマネージャーに登録する
- チームの引き継ぎ手順に「鍵の保管場所」を明記する
- ファイル名に「顧客名簿」「パスワード一覧」などの機密性を露骨に示す言葉を使わない
- 重要なExcelはアクセス権限制御と併用する
- 社内アカウントに多要素認証を設定し、なりすましログインのリスクを下げる
- フィッシングメールの添付ファイルやマクロを安易に開かない
- 暗号化したファイルは保管後に一度、正しいパスワードで開けるか確認する
暗号化とアクセス管理を組み合わせることで、フィッシングや情報漏えいへの耐性を高めつつ、自分たちがロックアウトされる事故も減らせます。
FAQ
Excelのパスワード復旧は違法ですか？
自分が所有するファイル、または企業から正式に依頼されたファイルを復旧すること自体は問題ありません。一方、第三者のExcelファイルを許可なく解析することは、プライバシー侵害や不正アクセスに関わる可能性があります。必ず正当な権限を確認してください。
シート保護とファイル暗号化はどう違いますか？
シート保護は誤編集を防ぐ制限で、ファイル内容を強力に暗号化する仕組みではありません。ファイルを開くためのパスワードを設定した場合は、ファイル自体が暗号化されているため、より慎重な復旧作業が必要です。
どんなExcelでも必ず開けるようになりますか？
いいえ。パスワードが長く、十分にランダムであるほど、技術的な特定は難しくなります。パスワードの長さ、使用文字、規則性、手がかりの有無によって結果は変わります。
CatpasswdにExcelファイル本体を送る必要はありますか？
多くのケースで、ローカル環境で抽出したハッシュ特徴情報を利用できます。源ファイルをアップロードしない方法を選べるため、機密情報を含むワークブックでもプライバシーリスクを抑えられます。
復旧までどのくらい時間がかかりますか？
短く規則的なパスワードは比較的早く見つかる可能性がありますが、長いランダム文字列では現実的な時間内に特定できないこともあります。時間はパスワードの複雑さと利用可能な手がかりに依存します。
フィッシング対策として他に優先すべきことはありますか？
多要素認証、端末やアクセス権限の管理、不審メールに対する訓練、パスワードマネージャーの利用を優先してください。ファイル暗号化は重要ですが、それだけでなりすましリスク全体を防げるわけではありません。