ハッカーからファイルを守る：必須セキュリティ対策

ハッカーからファイルを守る第一歩は暗号化です。転送時は AES-256-GCM、アップロード前はクライアントサイド暗号化、接続には TLS 1.3 を使います。これに加えて、有効期限付きダウンロードリンク（24時間が妥当なデフォルト）、60万イテレーションの PBKDF2 によるパスワード保護、ダウンロード回数制限、そして機密データを持つアカウントへの二段階認証が必要です。2023年の Verizon Data Breach Investigations Report によると、侵害の74% に人的要素（脆弱なパスワード、フィッシング、設定ミス）が関与しています。技術的な対策は問題の半分を解決しますが、残りは規律あるワークフローで補う必要があります。

ファイル共有時の攻撃対象領域

送信者から受信者へ向かうファイルは、いくつかの危険地帯を通過します。

送信側デバイス — 暗号化前にファイルを読み取るマルウェア
ローカルネットワーク — 悪意ある Wi-Fi、ARP スプーフィング、不正な DNS
ISP とバックボーンリンク — 国家レベルの SIGINT の歴史的標的
転送サービスのサーバー — 侵害、内部不正、法的要求
受信者のメールやメッセージアプリ — 共有リンクが蓄積される場所
受信者のデバイス — 逆方向の同じ問題

各ゾーンには固有の防御が必要です。どれか一つでも無視すると、確実な攻撃経路が残ります。

エンドツーエンド暗号化から始める

最も強力な単一コントロールは、鍵がサーバーに届かないクライアントサイド暗号化です。 Web Crypto API を使ってブラウザ内で AES-256-GCM を実行すると、プロバイダーが侵害されても鍵なしでは解読できない暗号文が生成されます。鍵は URL フラグメント（# 以降すべて）にのみ存在し、ブラウザはサーバーにそれを送信しません。

これを正しく実装しているサービス： Tresorit Send 、 Proton Drive 共有リンク、 SwissTransfer E2EE ティア、 Mega.nz 、 HexaTransfer 。

暗号化しているがクライアントサイドではないサービス： WeTransfer 標準ティア、 Google Drive 、 Dropbox 、 OneDrive 共有リンク、 Box 標準共有。これらはプロバイダーの誠実さと能力に依存しており、低感度コンテンツには問題ありませんが、侵害のニュースに出て困るものには不十分です。

有効期限付きリンクを必ず使う

永続する共有リンクは侵害の種です。メールアーカイブが漏洩し、 Slack エクスポートが盗まれ、ラップトップがブラウザ履歴つきで売られます。時間制限付きリンクは被害を限定します。

用途別の目安です。

個人ファイル：24〜72時間
ビジネス文書：最大7日間
ワンタイムシークレット：1時間または1回ダウンロードで自動消去

利用可能な場合はバーン・アフター・リーディングを設定してください。パスワードリセットや認証情報、ワンタイムコードは読み取られた瞬間に自動削除すべきです。1回ダウンロードリンクが2回アクセスされたことが判明すれば、リンクが傍受されたことを知ることができます。

リンクにパスワードを重ねる

URL フラグメントだけではリンクを持つ誰でもダウンロードできます。パスワードを追加することで二要素認証に近い保護になります。攻撃者はリンクとパスワードの両方が必要で、両方を異なるチャネルで送ることが理想です。

実際に機能する実装要件は次の通りです。PBKDF2-HMAC-SHA-256 で最低60万イテレーション（OWASP 2023準拠）、または Argon2id で64MB メモリ。パスワードはパスワードマネージャーから12文字以上の強いものを選び、リンクとは別のチャネルで送ります。 Signal でリンクを送ったなら SMS でパスワードを送る、といった具合です。

アカウントをしっかり守る

アカウントベースのサービスを使う場合、アカウント自体が攻撃対象になります。2022年の Uber 侵害は、請負業者のログイン情報に対するクレデンシャル・スタッフィングから始まりました。

最低限の衛生管理として次のことが必要です。パスワードマネージャー（ 1Password 、 Bitwarden 、 Proton Pass ）からサービスごとに固有のパスワードを使います。二段階認証は TOTP（ Google Authenticator 、 Authy ）またはハードウェアキー（ YubiKey 、 Titan ）を好みますが、SIM スワップ攻撃に脆弱な SMS は避けます。 WebAuthn ベースのパスキーが使えるなら積極的に使います。セッションタイムアウトは30日以内に設定し、アクティブなセッションを定期的に確認して見覚えのないものは取り消します。

デバイスを監査する

エンドポイントセキュリティは最も弱いリンクです。ラップトップが侵害されれば、暗号化前のすべてのファイルが読まれていた可能性があります。基本として次のことを行います。 macOS では FileVault 、 Windows Pro では BitLocker 、 Linux では LUKS でフルディスク暗号化を有効にします。 OS とブラウザは公開後7日以内に更新します。 Windows では Microsoft Defender が一般ユーザーには十分です。海賊版ソフトウェアは絶対に使いません。ロック画面パスワードは10文字以上のパスフレーズにします。

メタデータを管理する

暗号化はコンテンツを隠しますが、ファイル名・サイズ・タイムスタンプは隠しません。メタデータの漏洩はコンテンツの漏洩と同じくらい深刻です。

Q4-2025-layoffs-final.xlsx というファイル名は、誰も復号しなくても多くを語ります。また、写真に埋め込まれた EXIF の GPS 座標は自宅の住所を明かします。

対策としては、共有前にファイルを無害な名前に変更します（例：attachment.xlsx）。EXIF データは exiftool -all= photo.jpg で削除します。 Tresorit 、 Proton Drive 、 HexaTransfer はファイル名もコンテンツと一緒に暗号化します。

アクセスを監視する

送信後の可視性は重要です。ダウンロードイベントを表示するサービスを使うと問題を早期に検出できます。受信者がダウンロードしたか？別の IP から2回目のダウンロードがあったか（傍受？）。想定外の国からリンクにアクセスされたか（VPN または漏洩？）。パスワードの試行失敗があるか（ブルートフォース進行中？）。

1回ダウンロードのリンクが2回ダウンロードされていれば、それは明確な警報です。

削除前にバックアップする

24時間の転送後にファイルを削除したら、サービスからは消えます。後でファイルが必要になる場合は、ローカルコピーを持ちましょう。 AES-256-XTS フルディスク暗号化（LUKS、 VeraCrypt ）の専用アーカイブディスクに、 Backblaze B2 や AWS S3 へのオフサイトバックアップを組み合わせるのが標準的な個人向けセットアップです。3-2-1 ルール（3つのコピー、2種類の媒体、1つはオフライン）はランサムウェアに対してクラウド専用よりも強い耐性を持ちます。

日常的な実践ルーティン

機密ファイルを定期的に共有する方へ、次の手順を推奨します。

VeraCrypt コンテナや FileVault でローカルの静止データを暗号化する。
クライアントサイド暗号化の転送サービスをデフォルトにする。
有効期限24時間・1回ダウンロード制限を設定する。
パスワードマネージャーから強いパスワードを選び、別のチャネルで送る。
送信前に受信者を確認する。
ダウンロードを確認し、共有リンクのローカルコピーを削除する。

1回の転送あたり追加作業は約30秒です。それに対して侵害リスクの低減は実質的です。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。