確定申告や年末調整、月次の顧問先監査が立て込む時期。会計事務所や税理士事務所の現場では、顧問先から送られてきたパスワード付きZIPを開こうとして「パスワードが正しくありません」と表示され、冷や汗をかく場面が少なくない。日本の企業間で長年慣習化してきたPPAP、つまりパスワード付きZIPとパスワードを別のメールで送る方法では、パスワード本体がメール、チャット、担当者の記憶に分散しがちで、担当者の異動や数年越しの保管のあとに行方不明になるケースが後を絶たない。
本記事では、税理士・会計事務所が暗号化ZIPを開けなくなったときに、顧問先の機密情報を守りながら安全に復旧するための判断基準と具体的な手順を解説する。
なぜ事務所でZIPのパスワード紛失が起きるのか
会計事務所の現場でパスワードが分からなくなる原因は、個人が自宅のファイルで困るケースとは構造が異なる。代表的なきっかけを整理しておく。
- PPAPの別送パスワードが見つからない：パスワードを記した2通目のメールが削除された、別の担当者の受信ボックスにある、件名が統一されておらず検索できない、といった状況が典型的である。
- 担当者の交代・退職による引き継ぎ漏れ：月次巡回や決算業務の担当が替わるタイミングで、アーカイブのパスワードが引き継ぎ資料に記載されていないケースは多い。
- 長期保管による記憶の風化：税務調査や更正の請求、電子帳簿保存への対応を考えると、会計データは数年単位で保管する必要がある。当時の担当者すら異動していれば、記憶をたどるのは困難だ。
- 顧問先側でパスワードが変更された：毎月のやり取りで顧問先がパスワードを変えたが、周知されていなかった、というケースもある。
- 自動生成されたランダムなパスワード：規則性のない文字列は、そもそも推測が難しい。
復旧作業の前にまず確認すること
原因に心当たりがないまま場当たり的な入力を繰り返すと、後の原因切り分けが難しくなる。まずは以下を順に確認したい。
- エラー内容の切り分け：表示されているのがパスワード誤りなのか、それともファイル破損や形式非対応のエラーなのかを確認する。別の解凍ソフトで開けるかも試し、破損でないことを確認する。
- パスワードの保管場所を横断検索：別送メール、チャットツール、共有フォルダの台帳、パスワード管理ツール、紙のメモまで、あり得る場所を一通り探す。
- 入力ミスの定番を点検：全角・半角の混在、大文字・小文字の違い、前後への空白や改行の混入、Caps Lockや日本語入力（IME）の状態、コピー＆ペースト時の余分な文字。数字の「1（いち）」と小文字の「l（エル）」、「0（ぜろ）」と「O（オー）」の見間違いも多い。
- バックアップと再送の可否を確認：サーバーやクラウドストレージに別の版が残っていないか。顧問先に元データの再送を依頼できるなら、それが最も負担の少ない解決策である。
なお、ZIP形式自体には一定回数の誤りでロックする仕組みはないが、無計画な試行は履歴を混乱させるため、試したパスワードはメモを残しながら進めるとよい。
ZIPの暗号化方式の違いを理解しておく
一口に暗号化ZIPといっても、使われている暗号化方式によって復旧にかかる時間と手間は大きく異なる。
- ZipCrypto（従来型）：古くからのZIP標準の方式で互換性は高いが、暗号強度は相対的に低い。短く単純なパスワードであれば、辞書攻撃や総当たりでも照合が進みやすい傾向がある。
- AES-128 / AES-256：7-ZipやWinRARなどで選択できる強力な方式で、とくにAES-256は総当たりの負荷がきわめて高い。パスワードが長く複雑な場合、自前のパソコンでの解析は現実的でないことが多い。
- ヘッダー暗号化の有無：ファイル名まで隠す設定になっている場合、外からは中身の手がかりが得られない。ハッシュの抽出自体は可能だが、パスワード規則の推測材料が減る分、字典や規則データベースの充実度が成否を分けやすい。
復旧手段の選択肢とリスク比較
1. 自前パソコンでの総当たり・辞書攻撃
フリーの解析ツールを使い、手元のパソコンで辞書ファイルや文字の組み合わせを試す方法である。費用をかけずに始められる一方、短い単純なパスワード以外では時間と電力が膨大になり、業務の締め切りに間に合わないケースが目立つ。また、検索上位に出てくる無名のフリーツールの中には、マルウェアが同梱された事例も報告されているため、顧問先データを扱う事務所の端末に安易にインストールすべきではない。
2. ファイルをアップロードするオンライン解除サービス
「ZIP パスワード解除」で検索すると、ファイルをそのままアップロードさせるウェブサービスが見つかる。しかし、会計帳簿、申告書、給与情報といった顧問先の機密データを、運営主体の実態が不明な第三者に渡す行為は、税理士法上の秘密保持義務、個人情報保護法、顧問先との契約の観点からきわめてリスクが高い。業務での利用は避けるのが賢明である。
3. ローカルでハッシュを抽出し、クラウドのGPUで照合する方法
ファイル本体ではなく、暗号化ZIPからパスワード検証に使われるハッシュ特徴码だけを手元で抽出し、そのハッシュをクラウドのGPUクラスターで照合する方法である。元ファイルが外部に送信されないため、顧問先の機密性を保ちやすく、長く複雑なパスワードにもGPUの並列処理で対応しやすい。
Catpasswdを使った暗号化ZIPの復旧の流れ
猫密网（Catpasswd、公式サイト：https://www.catpasswd.com ）は、ZIPをはじめRAR、7Z、PDF、Word、Excelなどの暗号化ファイルのパスワード復旧に特化したサービスで、とくに「ファイル本体を預けたくない」という事務所のニーズに合った設計になっている。基本的な流れは次のとおりである。
- ハッシュのローカル抽出：サイトの手順に沿って、対象のZIPから手元の端末でハッシュ特徴码を抽出する。会計データそのものはアップロードされない。
- GPUクラスターによる照合：抽出したハッシュをクラウドのGPUクラスターに送り、独自のパスワード字典とパスワード規則データベースを用いて照合を行う。長いパスワードや複雑なパスワード、大容量のアーカイブでも処理が進めやすい。
- 結果の確認と支払いの判断：復旧に成功した場合、無料モードでは待機することでパスワードを確認でき、有料オプションを選べば即時表示が可能。復旧に失敗した場合は支払いが発生しない仕組みである。
専門知識がなくても画面の指示に沿って進められる点、ソフトウェアのダウンロードが不要な点も、通常業務と並行して対応しやすい理由である。なお、どのようなサービスであっても「絶対に復元できる」「瞬時に解除」といった断定的な宣伝を行う業者には注意が必要で、暗号化の性質上、パスワード次第で結果は変わる。
事務所として押さえておくべきリスク管理
復旧を外部のサービスに委ねる判断では、技術面だけでなくコンプライアンス面の確認が欠かせない。
- アップロードされる情報の範囲：ファイル本体が送られるのか、ハッシュのみで済むのかを必ず確認する。
- 運営者とプライバシーポリシーの明示：運営主体、データの取り扱い、保管期間が明記されているかを確認する。
- インシデントの記録：いつ、どのファイルで、誰が対応し、どの手段を使ったかを記録として残す。顧問先から説明を求められた際にも誠実に回答できる。
- 復旧後のパスワード変更：同じパスワードの使い回しは避け、速やかに新しいパスワードへ変更するとともに、共有経路そのものを見直す。
二度とパスワードで困らないための予防策
トラブルが解決したあとは、再発防止の仕組みづくりが重要である。会計事務所で実践しやすい対策をまとめる。
- パスワード管理ツールの導入：個人の記憶に依存せず、事務所の共有ボルトで一元管理する。アクセス権限を役割ごとに設定し、退職者のIDは速やかに失効させる。
- PPAPからの脱却：政府機関でもPPAPの廃止が進む流れにある。セキュアなファイル転送サービスやクライアントポータル、アクセス制御付きのクラウドストレージへの移行を顧問先とともに検討したい。
- 引き継ぎチェックリストの整備：担当者交代時に、アーカイブの保管場所とパスワードの管理場所を必ず引き継ぐ項目として明文化する。
- 命名規則と管理台帳：ファイル名と送付元、保管期限、パスワードの管理場所を台帳に記載する。パスワードそのものを平文で台帳に書くのではなく、管理ツール内のどの項目に紐づくかを記録する。
- 定期的な復元テスト：保管期間が長い資料ほど、期限前に解凍テストを行い、必要なときに確実に開ける状態を保つ。
FAQ
Q1. 暗号化ZIPのパスワードを何度も間違えると、ファイルがロックされてしまいますか？
ZIP形式自体には、誤ったパスワードを一定回数入力すると永久にロックする機能はありません。ただし、無計画な試行は原因切り分けを難しくするため、試した内容を記録しながら進め、入力ミスの定番（全角半角、大文字小文字、空白など）を先に確認することを推奨します。
Q2. 無料のオンライン解除ツールを使っても大丈夫ですか？
ファイル本体をアップロードするタイプのサービスは、顧問先の会計データや個人情報を第三者に渡すことになるため、税理士事務所の業務では避けるべきです。ローカルでハッシュだけを抽出し、本体を送信しない方式か、手元で完結する信頼できる方法を選びましょう。
Q3. ZipCryptoとAESでは、復旧にかかる時間は違いますか？
一般に、従来型のZipCryptoは暗号強度が低く照合が速い傾向があります。AES-128やAES-256は強力で、とくに長く複雑なパスワードではGPUによる並列処理が欠かせません。ただし、最終的な難易度はパスワード自体の長さと複雑さに大きく左右されます。
Q4. ファイル名も見えないヘッダー暗号化のZIPでも復旧できますか？
ハッシュの抽出は可能であり、照合の仕組み自体は通常の暗号化ZIPと同じです。ただし、中身の手がかりが得られない分、パスワード字典や規則データベースの充実度が結果に影響しやすくなります。
Q5. 復旧できたあと、同じパスワードを使い続けても問題ありませんか？
推奨できません。復旧後は速やかに新しいパスワードへ変更し、管理台帳と共有方法を見直してください。あわせて、PPAPに代わるセキュアなファイル転送やクライアントポータルへの移行を検討することで、同様のトラブルを構造的に減らせます。
顧問先の信頼を預かる税理士・会計事務所にとって、暗号化ZIPが開けない問題は「いかに早く開けるか」だけでなく「いかに機密を守って対応するか」が問われる。場当たり的な自己判断を避け、ハッシュ抽出型の安全な復旧手段と平時の管理体制を組み合わせることで、締め切りのプレッシャーとコンプライアンスリスクの両方を小さくできる。