Dropboxはプライベートファイルの保存先として十分に安全か？セキュリティの実力と課題を徹底解説

Dropboxは、世界で最も人気のあるクラウドストレージサービスの一つです。長年の実績があり、幅広いユーザーに信頼されているため、「安心してファイルを預けられる会社」として真っ先に候補に挙がる存在でしょう。

しかし、データのプライバシーを重視するなら、話は少し複雑になります。Dropboxはこの分野でも高評価を受けていますが、決して業界最高水準というわけではありません。

本記事では、Dropboxがどのようにファイルを保護しているのかを詳しく解説するとともに、改善すべきと指摘されるポイントについても掘り下げていきます。

Dropboxの主なセキュリティ機能

Dropboxはデータセキュリティに非常に真剣に取り組んでいます。そうした姿勢がなければ、ここまで世界的な人気を獲得することはなかったはずです。まずは、同社が提供している主なセキュリティ対策を見ていきましょう。

強力な暗号化技術

Dropboxでは、転送中のファイルには128ビットAES暗号化、保存時（サーバー上）のファイルには256ビットAES暗号化を採用しています。どちらも暗号化キーを持たない限り解読が事実上不可能とされる、非常に強固な暗号方式です。

二要素認証（2FA）

二要素認証は2016年以降、Dropboxで利用できるようになったオプション機能です。設定を行えば、第二の認証要素なしにはアカウントへアクセスできなくなります。

例えば、アカウントにログインする際、パスワードの入力だけでなく、スマートフォンなど特定のデバイスを所持していることの確認を求められる仕組みです。仮にパスワードが漏洩しても、第三者が不正にログインする可能性を大幅に減らせます。

TLSによる通信の保護

さらにDropboxはTLS（Transport Layer Security）も採用しています。これは通信経路上のデータを保護し、中間者攻撃（MITM攻撃）から守る技術です。そのため、公衆Wi-Fiを使ってファイルにアクセスする場合でも、技術的には安全だと言えます。

定期的な脆弱性テスト

企業規模を考えれば当然のことですが、Dropboxではシステム全体に対して定期的に脆弱性診断が実施されています。潜在的な弱点を早期に発見し、修正する体制が整えられているのです。

Dropboxのセキュリティにおける問題点

Dropboxは「信頼性」において高い評価を得ています。ファイルを預ければ、確実に取り戻せることは間違いありません。

しかしその一方で、「本来あるべき水準ほど安全ではない」という評価も根強く存在します。具体的な問題点を順番に見ていきましょう。

過去に発生したセキュリティインシデント

2011年には、アップデート時のエラーにより、パスワードなしで関連付けられたメールアドレスだけで任意のDropboxアカウントにアクセスできる状態が発生しました。幸い、この問題は4時間以内に修正されています。

2012年には大規模なデータ漏洩事件が発生し、約6,800万人分のメールアドレスとパスワードが流出しました。さらに問題を複雑にしたのは、被害の全容が判明したのが2016年になってからだったという点です。それまでDropboxは、流出したのはメールアドレスのみだと考えていました。

2017年には、複数のユーザーから「以前削除したはずのファイルがアカウントに再び現れた」という報告が相次ぎました。原因は、削除処理を妨げるエラーが存在し、そのエラーを修正したことで古いファイルが復活してしまったというものです。再表示されたファイルの中には数年前のものも多く含まれていたため、特に深刻な問題として受け止められました。

サイバー犯罪者の格好の標的

Dropboxには1,500万人以上の有料ユーザーがいます。これはPR面でも収益面でも大きな強みですが、同時にサイバー犯罪者にとって魅力的な標的にもなることを意味します。

マルウェア開発者がiOSよりもWindowsを狙うことが多いのと同じ理屈で、機密ファイルを盗もうとする者にとって、Dropboxはクラウドストレージの中でも最有力の攻撃対象となります。個人・金融・ビジネスデータを盗むフィッシングサイトを作るなら、Dropboxユーザーをターゲットにするのが最も効率的だからです。

ゼロ知識暗号化に対応していない

Dropboxにファイルをアップロードすると、同社はあなたの暗号化キーのコピーを保持します。

この仕組みのおかげでサービスは高速に動作し、アカウントに問題が生じた際もサポートを受けられてファイルを復旧できます。しかし、セキュリティの観点から見ると、これは重大な弱点になり得ます。

暗号化キーをDropbox自身が持っているということは、Dropboxがファイルにアクセスできるだけでなく、同社のセキュリティを突破した攻撃者もファイルを読めてしまうということです。これはクラウドストレージ業界全体に共通する課題であり、例えばBox.comも同様の方式を採用しています。

一方で、いわゆる「ゼロ知識暗号化」を採用するプロバイダーも存在します。この方式では、暗号化キーを知っているのはユーザー本人だけです。暗号化はユーザーのコンピューター上で行われるため、サービス提供企業の従業員でさえキーにアクセスできません。

その結果、たとえそのサービスがハッキングされても、あなたのファイルは完全に安全なまま保たれます。

米国に本社を置くことのリスク

Dropboxは米国に本社を構えているため、プライバシーの観点から疑問視される法律の適用を受ける立場にあります。

その代表例が愛国者法（Patriot Act）です。この法律により、米国政府は相当な理由（probable cause）を立証しなくても米国市民を監視できるようになりました。

Dropboxがゼロ知識暗号化を採用していないことを思い出せば、この問題はさらに深刻です。対照的に、米国外に拠点を置き、そもそも自社がファイルへのアクセス手段を持たないプロバイダーも存在します。

Dropboxの代替となるサービス

Dropboxのセキュリティやプライバシーに不安を感じているなら、朗報があります。代替となるサービスは決して少なくありません。

Tresorit

Tresoritは、世界でも最も厳しいプライバシー法制を誇るスイスに拠点を置くサービスです。転送中も含めて256ビット暗号化を使用しており、ゼロ知識暗号化にも対応しています。唯一の欠点を挙げるなら、オープンソースではない点でしょう。

SpiderOak

SpiderOakは2007年に設立された老舗ですが、広く知られるようになったのは、エドワード・スノーデン氏が推奨したことがきっかけでした。Tresoritとほぼ同等の機能を備えつつ、オープンソースである点と、政府からの捜査要請の有無を示す「ウォラント・キャナリー（warrant canary）」を公開している点が大きな強みです。

NextCloud

NextCloudは少し異なるアプローチを取るサービスで、自らファイルを保管するのではなく、クラウドへアップロードする前にファイルを暗号化する役割を担います。

つまり、Dropboxを含む他のクラウドストレージと組み合わせて使うことで、既存のサービスにゼロ知識暗号化の機能を後付けできるのです。

これらの企業についてさらに詳しく知りたい方は、最も安全なクラウドストレージプロバイダーのランキング記事もぜひご覧ください。

結論：Dropboxは安全なのか？

セキュリティの観点から見ると、Dropboxは多くの点で正しい選択をしています。

最大の問題は、ゼロ知識暗号化に対応していないことです。そしてこれは偶然ではなく、プライバシーと利便性（ユーザー体験）のトレードオフとして、意図的に選ばれた設計なのです。

多くの人にとって、Dropboxは十分に安全なサービスと言えるでしょう。しかし、プライバシーを強く意識している方や、機密性の高いファイルを扱う方にとっては、より優れた選択肢が確かに存在するのも事実です。