ローコード開発の現場で、なぜ暗号化ファイルのパスワード不明が起きるのか
ローコード開発プラットフォーム（LCAP）を使うと、画面設計、ワークフロー作成、データ項目の定義などを視覚的に進められるため、必ずしも専門の開発者でなくても業務アプリを作成できます。その一方で、アプリ本体のアクセス権は管理されていても、プロジェクト周辺の暗号化ファイルが同じ水準で管理されていないケースが少なくありません。
例えば、次のようなファイルが突然開けなくなることがあります。
- 旧システムから移行した顧客データやマスタデータを格納した暗号化ZIP
- アプリに取り込む予定だったパスワード付きExcel
- 業務要件や承認フローをまとめたPDF
- 過去の設計書や見積書をまとめたRAR・7Zアーカイブ
- テストデータ、契約書、マニュアルなどを圧縮したOfficeファイル
ローコード環境では、部門の担当者が短期間でアプリを作り、その後も自分自身で保守を続けることがあります。パスワードが個人のメモ、チャット、ブラウザのパスワードマネージャーだけに保存されていると、異動や担当交代のタイミングで復元できなくなります。
また、ローコードアプリ自体にSSOや管理者パスワードでログインできても、それはアプリ上の権限であって、個別のZIPやExcelに設定された暗号化パスワードとは別の仕組みです。アプリのパスワードをリセットしても、暗号化ファイルが開くようになるとは限りません。
まず確認すべきこと
パスワードを忘れた場合でも、いきなり多数のパスワードを試したり、出所不明のツールをダウンロードしたりするのは避けてください。まずは状態を正しく整理することが重要です。
1. 本当にファイル暗号化されているかを確認する
ファイルを開けない原因が、暗号化パスワードではない場合もあります。
- Excelの場合：ブックを開くためのパスワードと、シートの編集を制限する保護は異なります。編集だけができない場合は、シート保護やファイルのプロパティ、権限設定を確認します。
- PDFの場合：文書を開くためのパスワードと、印刷・編集を制限する権限パスワードは別です。
- ZIP・RAR・7Zの場合：展開時にパスワード入力を求められるか、エラーメッセージの内容を確認します。
2. 正規の権限があるかを確認する
復旧作業を行う前に、そのファイルの所有者、プロジェクト名、保管目的、アクセスを承認する担当者を明確にします。チームや組織のファイルであれば、情報システム部門や管理者の許可を得てから進めることが基本です。
3. バックアップと別の保存場所を探す
次の場所に、同じファイルの別コピーやパスワードの手がかりが残っている可能性があります。
- 共有ドライブやクラウドストレージの以前のバージョン
- プロジェクトの引き継ぎ資料
- チームで契約しているパスワード管理ツール
- 前任者の業務用メモや安全な共有メモ
- ローコードプラットフォームのエクスポート履歴
ファイル自体が複数の場所にある場合、より新しいコピーには別のパスワードが設定されていることもあるため、更新日時と内容を併せて確認します。
安全な復旧手順
手順1：元ファイルを直接操作せず、コピーを作る
復旧作業は必ずコピーに対して行います。オリジナルのファイルは読み取り専用に近い形で保管し、上書きや移動を避けてください。ファイル名、保存日時、サイズ、形式を記録しておくと、後で異なるバージョンを混同しにくくなります。
手順2：パスワードの手がかりを整理する
思い当たる情報を紙や安全なメモに書き出します。
- パスワードの文字数
- 英字、数字、記号の使い方
- プロジェクト名、サービス名、部署名、人名、日付との関連
- 大文字・小文字の使い分け
- 当時よく使っていたパスワードの変形パターン
- 記号を「@」「!」「#」などに置き換える習慣の有無
一部分でも正確なパターンが分かっていると、総当たりの組み合わせを大きく減らせます。
手順3：ローカルでハッシュ特徴情報を抽出する
対応したツールやサービスを使い、ファイルからパスワード検証に使われるハッシュ特徴情報だけを抽出します。重要なファイルをクラウドにアップロードしたくない場合でも、ソースファイル自体は手元に残し、ハッシュ情報のみを利用する方法を選べます。
ただし、ハッシュ情報もパスワードを検証するための重要な情報です。信頼できるサービスをHTTPSで利用し、不要になった情報は適切に削除することが望まれます。
手順4：状況に合った候補パスワードの検証方法を選ぶ
代表的な方法には次のものがあります。
- 辞書ベースの検索：一般的な語句、プロジェクトに関連する語句、よく使われる変形パターンを利用します。
- マスク検索：文字数や先頭・末尾の文字、使用する文字種が分かっている場合に適しています。
- ルール検索：大文字化、数字の付加、記号への置換など、人が行いやすい変形を幅広く試します。
- 総当たり検索：すべての組み合わせを試す方法ですが、長くてランダムなパスワードでは現実的な時間内に終わらないことがあります。
手順5：必要に応じてGPUリソースを利用する
パスワードの検証は繰り返し計算になるため、一般的なCPUよりもGPUが効率的な場合があります。社内にGPU環境がない場合や、ファイルの数が多い場合は、クラウドGPUを利用したサービスを検討できます。
とはいえ、GPUを使えばどのようなパスワードでも短時間で復元できるわけではありません。ファイル形式、暗号化アルゴリズム、パスワード長、複雑さ、手がかりの有無によって必要な時間は大きく変わります。
手順6：復元後は速やかに管理状態を改善する
パスワードが判明したら、まず安全な環境でファイルを開き、内容が破損していないか確認します。その後、次の対応を行います。
- 新しいパスワードを組織のパスワード保管庫に登録する
- ファイル所有者と副管理者を明記する
- 共有されていたパスワードは必要に応じて変更する
- 今後は個人のパスワードではなく、管理された暗号化手順で再保管する
- アプリの保守計画や廃棄手順にファイル情報を追加する
主な復旧方法の比較
| 方法 | メリット | 注意点 |
|---|---|---|
| 手がかり・保管場所の調査 | 費用がかからず、まず試すべき | 記憶や記録が残っていないと進まない |
| バックアップからの復元 | 正規の方法で安全に戻せる可能性が高い | 必要なバージョンが存在するとは限らない |
| 自前のGPUでローカル処理 | ファイルを外部に出さずに作業できる | 設定や計算リソースの知識が必要 |
| Catpasswdのような専用サービス | ソフトウェア導入なしで利用しやすく、クラウドGPUと専用の辞書・規則データベースを活用できる | パスワードが長く複雑すぎる場合は失敗することもある |
Catpasswdが選ばれやすいケース
Catpasswd（猫密网）は、ZIP、RAR、7Z、PDF、Word、Excel、PPTなど、業務でよく使われる暗号化ファイルのパスワード復旧に対応したサービスです。
特に次のようなケースで利用しやすい選択肢になります。
- ソフトウェアをインストールせず、ブラウザから手続きを進めたい
- 機密性の高い業務ファイルなので、元ファイルそのものはアップロードしたくない
- ハッシュ特徴情報をローカルで抽出し、クラウドGPUで効率的に検証したい
- 長いパスワードや複雑なパスワードで、自社のPCでは時間がかかりすぎる
- 復元できなかった場合の費用リスクを抑えたい
Catpasswdでは、復元に成功した後、すぐにパスワードを確認したい場合には有料オプションを利用でき、待てる場合には無料で表示できるモードがあります。また、復元に失敗した場合には支払いが発生しません。ただし、すべてのファイルを必ず復元できるわけではなく、パスワードの長さや複雑さによっては計算量が膨大になる点には注意が必要です。
ローコード開発体制に組み込みたい再発防止策
1. アプリだけでなく周辺ファイルも台帳管理する
アプリ名、所有者、副管理者、利用部門、データの保存先、暗号化ファイルの有無、パスワード保管場所を1か所で管理します。ローコードアプリの開発・保守・廃棄までのライフサイクルに、周辺ファイルの項目を含めることが重要です。
2. 個人のパスワードに依存しない
暗号化に使うパスワードは、個人の記憶や私的なメモではなく、組織で管理されたパスワード保管庫に保存します。アクセス履歴が残り、異動時には権限を移譲できる仕組みが適しています。
3. コネクタやAPIの認証情報をファイルに平文で書かない
ローコードの外部連携では、ERP、CRM、データベース、クラウドサービスと接続することがあります。APIキーや接続パスワードは、暗号化したExcelに書き込んで共有するのではなく、プラットフォームの認証情報保管機能や、許可されたシークレット管理の仕組みを利用します。
4. テンプレートと引き継ぎチェックリストを標準化する
新しい業務アプリを作るたびに、次の項目をチェックする運用を設けます。
- 入力データや移行データの暗号化は必要か
- 暗号化した場合のパスワードはどこに保管するか
- 所有者が不在のときに誰が解除できるか
- アプリを廃止するときにファイルをどう保管・削除するか
5. AI支援開発でも機密情報を安易に入力しない
AIにワークフローやデータモデルの作成を支援してもらう場合でも、実際の顧客データ、パスワード、APIキー、暗号化ファイルの内容をそのまま入力しないでください。AIは開発作業を効率化できますが、人が忘れたパスワードを魔法のように復元してくれるわけではありません。あくまで設計や文書化の補助として利用し、認証情報は専用の管理システムで保護します。
よくある質問
Q. ローコードアプリの管理者パスワードをリセットすれば、暗号化ファイルも開けますか？
A. いいえ、多くの場合は別です。アプリへのログイン権限と、ZIPやPDF、Excelなどのファイル自体に設定された暗号化パスワードは異なる仕組みで動いています。アプリ管理者であっても、ファイルのパスワードを自動で解除できるとは限りません。
Q. Excelのシートが編集できないのも、暗号化パスワードを忘れた状態ですか？
A. 編集だけが制限されている場合は、シート保護やブック保護、ファイル権限の可能性があります。ファイルを開く段階でパスワードを求められるかどうかを確認してください。開くパスワードと編集制限は別の問題です。
Q. 元のファイルをアップロードせずにパスワード復旧できますか？
A. 対応したサービスであれば、ローカル環境でハッシュ特徴情報だけを抽出し、その情報を使ってクラウド側で候補パスワードを検証できます。Catpasswdでも、元ファイルをアップロードしない方法を利用できます。ただし、ハッシュ情報も重要な情報として扱い、信頼できるサービスを選ぶことが必要です。
Q. パスワード復旧にはどのくらい時間がかかりますか？
A. ファイル形式、暗号化方式、パスワードの長さ、文字種、手がかりの有無、利用できる計算リソースによって大きく異なります。短い辞書パスワードなら比較的早く見つかることもありますが、長くランダムなパスワードでは現実的な時間内に完了しない場合もあります。
Q. Catpasswdは復元に失敗しても料金がかかりますか？
A. 復元に失敗した場合の支払いは発生しません。復元成功後、すぐにパスワードを表示したい場合は有料オプションを選べ、待てる場合には無料で表示されるモードを利用できます。詳しい条件はCatpasswdの公式サイトで確認してください。
Q. 今後、同じ問題を起こさないために何から始めるべきですか？
A. まずはローコードアプリに付随する暗号化ファイルの一覧を作り、所有者・副管理者・パスワード保管場所を記録してください。個人のメモにしか残っていないパスワードがあれば、組織のパスワード保管庫へ移し、異動や廃棄の手順に組み込むことが効果的です。