クラウドストレージのセキュリティを語るとき、「ウイルス対策機能あり」という一言で片付けられることがあります。しかし実際には、ファイルがクラウドに入るタイミング、端末へダウンロードされるタイミング、同期機能によって複数端末へ反映されるタイミングで、それぞれ異なるリスクが発生します。

本記事では、クラウドストレージ利用時に注意すべき接点を「アップロード時」「ダウンロード時」「リアルタイム同期時」の3つに分けて整理します。ウイルスチェック機能の有無だけでなく、業務フロー上どこに空白が生まれやすいかを確認することが重要です。

クラウドストレージのウイルスチェックは「3つのフェーズ」で考える

クラウドストレージのセキュリティを語るとき、「ウイルス対策機能あり」という一言で片付けられることが少なくありません。しかし実際のファイルの流れを追うと、チェックが行われるタイミングは「アップロード時」「ダウンロード時」「リアルタイム同期時」の3つに分かれており、それぞれに検知できるものとできないものがあります。

フェーズ①：アップロード時のスキャン

ファイルをクラウドストレージにアップロードするタイミングで、サーバー側がウイルスチェックを実施するかどうかは、サービスによって異なります。また、スキャンを実施している場合でも、検知方式や対象ファイル、検知後の挙動はサービスごとに異なります。

ウイルスチェックでは、既知のマルウェアの特徴データと照合する方式に加え、ヒューリスティック検知やサンドボックス解析などを組み合わせるサービスもあります。ただし、どの方式であっても、すべての脅威を完全に検知できるわけではありません。定義ファイルにまだ登録されていない新種のマルウェア、難読化されたコード、正規ファイルを装った不正プログラムなどは、スキャンをすり抜ける可能性があります。

また、暗号化されたZIPファイルや、パスワードで保護されたドキュメントは、サービス側で中身を展開できない場合があります。その場合、ファイル内部に不正なプログラムが含まれていても、アップロード時点では検知できない可能性があります。

業務上は、「取引先から送られてきたファイルがクラウドストレージにアップロードできた＝安全」と判断しないことが重要です。アップロード時のウイルスチェックは有効な入口対策の一つですが、端末側のセキュリティソフトや受け取り時の確認ルールと組み合わせて運用する必要があります。

フェーズ②：ダウンロード時のスキャン

ダウンロードのタイミングでスキャンを実施するサービスもあります。ただし、端末側にインストールされているセキュリティソフトによるスキャンとは別物であることを明確にしておく必要があります。

クラウド側のダウンロード時スキャンは、あくまでサーバー上に保存されたファイルを対象としています。一方、端末のセキュリティソフトは、ダウンロードされたファイルが端末に書き込まれるタイミングや実行されるタイミングでスキャンを実施します。この「クラウド側」と「端末側」の二重チェックが理想的ですが、どちらかに頼り切ることは避けるべきです。

取引先からのファイルをダウンロードした際に端末のウイルス対策ソフトが反応したという事例は、「クラウド側のスキャンをすり抜けたファイルが端末の手前で初めて検知された」ことを意味する場合があります。

フェーズ③：リアルタイム同期時のリスク

クラウドストレージの同期機能は、端末上のファイルをリアルタイムでクラウドに反映させます。この仕組みが、ランサムウェア感染時に最も深刻な被害経路になることがあります。

端末がランサムウェアに感染すると、ローカルの同期対象フォルダ内のファイルが次々と暗号化されます。同期機能はその変更を「正常な更新」として即座にクラウドへ反映するため、クラウド上のファイルも暗号化された状態に上書きされていきます。その後、同じアカウントでログインしている他の端末がその変更を同期することで、被害が複数台に広がります。

業務フローに潜む「スキャンの空白」を整理する

3つのフェーズそれぞれにスキャンの限界があります。以下に代表的なケースを整理します。

シグネチャベースのスキャンが見落とすもの

多くのサーバーサイドスキャンは、既知のウイルスの特徴データ（シグネチャ）と照合する方式です。この方式が対応しにくいのは次のケースです。

  • 定義ファイルに未登録の新種マルウェア（ゼロデイ脅威）
  • 正規のマクロ機能を悪用したOfficeファイル（マクロウイルス）
  • パスワード付きZIPや暗号化コンテナに隠されたファイル
  • 正規のソフトウェアを装った不正なインストーラー

特にマクロ付きのOfficeファイルは、見積書や請求書、業務帳票などを装ってやり取りされることがあります。ファイル自体が業務上自然に見えるため、受信者が警戒せずに開封し、マクロの有効化などの操作を行ってしまう点に注意が必要です。 

端末側のセキュリティソフトがカバーできない領域

多くのセキュリティソフトは、ファイルが端末に書き込まれるタイミングや実行されるタイミングでスキャンを実施します。そのため、クラウド上に保存されたままのファイル—つまりダウンロードしていない状態のもの—はスキャン対象外です。

また、共有リンクを発行して外部パートナーにアクセスさせるケース（アップロードは相手側、ダウンロードは自社側という構成）では、アップロードのタイミングに自社のセキュリティソフトが関与できません。受け取り側として「相手が安全なファイルを送ってくれるはず」という前提に依存した運用は、実務上の盲点になります。

ランサムウェアがクラウド同期で全端末に広がるシナリオ

クラウドストレージを経由した感染拡大は、被害に気づいた時点で、すでに複数のファイルや端末に影響が広がっていることがあります。 具体的な流れを確認しておきます。

  1. ステップ1：担当者が取引先からクラウドリンク経由でZIPファイルを受け取り、ダウンロードして展開する。
  2. ステップ2：ZIPファイル内に含まれていたマルウェアが実行され、端末に潜伏する。クラウドのアップロード時スキャンでは検知されていなかった新種の脅威だったとする。
  3. ステップ3：マルウェアがランサムウェアとして活性化し、端末の同期フォルダ内のファイルを次々と暗号化する。
  4. ステップ4：同期機能が暗号化された状態のファイルをクラウドに反映する。バージョン管理機能がない、または保持期間が短い場合は上書きで失われる。また、バージョン管理機能があっても、保持世代数や保持期間を超えた場合は復元できなくなることがある。
  5. ステップ5：同一アカウントでログインしている他の担当者の端末が同期更新を受け取り、暗号化ファイルがダウンロードされる。

このシナリオで特に被害を広げる要因になるのが「同期対象フォルダの範囲が広すぎる運用」です。業務上の利便性を優先するあまり、重要書類をすべて同期対象フォルダに集約していると、感染の影響範囲がそのまま全データに及ぶ可能性があります。

IT専任者でなくても確認できる3つの運用見直し 

仕組みの理解が済んだら、次は具体的な行動に移す必要があります。大規模なシステム変更や多額の投資がなくても、今週の業務フローの中で実施できることがあります。

見直し①：「どのフェーズでスキャンされているか」をベンダーに確認する

自社で利用しているクラウドストレージが、アップロード時・ダウンロード時・リアルタイム同期時のいずれのタイミングでウイルスチェックを行っているかを、公式ドキュメントまたはサポート窓口で確認します。確認すべき内容は以下の通りです。

  • スキャンのタイミング（アップロード時のみか、ダウンロード時も含むか）
  • スキャンエンジンの種類と定義ファイルの更新頻度
  • パスワード付きファイルや暗号化コンテナへの対応可否
  • スキャンで検知した場合の挙動（隔離・削除・通知のいずれか）
  • バージョン管理機能の有無と履歴の保持期間

この情報はベンダーのサポートページか、ヘルプドキュメントに記載されている場合が多いです。見つからない場合は、サポートへの問い合わせで確認できます。

見直し②：社外ファイルの受け取りに「仮置き」ルールを導入する

社外から受け取ったファイルは、すぐに共有同期フォルダへ保存せず、会社が管理する端末上の非同期フォルダ、または検査用の一時保管領域に保存します。そのうえで、端末側のセキュリティソフトによるスキャン結果や送付元・内容の妥当性を確認してから、共有フォルダへ移動します。 

手順としては、以下のような流れになります。

  • 不審な点がある場合は、クリック前に送付元に連絡し、ファイルの内容を確認する（口頭・メール・チャット等）
  • ダウンロード先を共有同期フォルダ以外（例：デスクトップ上の非同期フォルダ）に指定する
  • 端末のセキュリティソフトが反応しないことを確認してから共有フォルダへ移動する
  • 不審に思ったファイルはIT担当者に確認を依頼する

この手順をチーム内で文書化しておくことで、「確認した」「していない」という曖昧さを防ぎ、インシデント発生時の責任の所在を明確にすることができます。

見直し③：同期フォルダの範囲を見直し、重要データを分離する

同期対象フォルダに重要データをすべて集約している場合、感染時の被害範囲を最小化するために、フォルダ構成を整理することを検討します。具体的には、以下の観点で見直しを進めます。

  • 外部受け取りファイルの一時保管フォルダを同期対象から外す
  • 社内の機密書類（契約書・財務データなど）を、アクセス権限が絞られた別フォルダに移動する
  • バージョン管理機能が有効になっているかを確認し、履歴の保持期間を把握しておく

この見直しはIT担当者との連携が必要な場合もありますが、「現在の同期フォルダの構成がどうなっているか」「重要データがどこに入っているか」を自分でリスト化しておくだけでも、IT担当者への依頼内容が具体的になります。

ストレージ選定・見直し時にベンダーへ聞くべき質問リスト

現在利用しているサービスの確認や、新たなサービスへの乗り換えを検討する際には、以下の質問をベンダーに投げかけることをお勧めします。

  • スキャンのタイミング：アップロード時・ダウンロード時のどちらか、あるいは両方でスキャンを実施しているか
  • スキャンエンジン：どのエンジンを使用しており、定義ファイルはどの頻度で更新されているか
  • 検知できないファイルの扱い：パスワード付きZIP、暗号化ドキュメント、マクロ有効ファイルはどのように扱われるか
  • バージョン管理：ランサムウェアで上書きされたファイルを復元できるか。バージョン履歴は何世代・何日分保持されるか
  • インシデント時の通知：不審なファイルを検知した場合、管理者にアラートが届く仕組みがあるか
  • 責任範囲：サービス側のスキャンをすり抜けた脅威による被害について、契約上の責任はどこまでか

この確認作業を済ませておくことで、インシデント発生後に「サービスの問題か、運用の問題か」を切り分けやすくなります。また、IT担当者や上司への報告・提案の場でも、根拠のある説明ができるようになります。

Fleekdriveのウイルスチェック対応について

Fleekdriveでは、ファイルのアップロード時に自動でウイルスチェックを実行する機能を備えています。感染ファイルの拡散リスクを抑えるうえで、クラウドストレージ側の入口対策として有効です。

ただし、本記事で整理したとおり、どのサービスのスキャン機能にも検知の限界はあります。Fleekdriveのウイルスチェック機能を活用しつつ、端末側のセキュリティソフト、社外ファイル受け取り時の仮置きルール、同期フォルダの範囲見直し、バージョン管理の確認を組み合わせることで、より現実的な多層防御につながります。

まとめ：「クラウドに入れたから安全」の先へ

クラウドストレージのウイルスチェックは、感染ファイルの拡散を防ぐうえで有効な入口対策です。しかし、「ウイルスチェック機能がある＝すべてのファイルが安全」とは限りません。

アップロード時のスキャンでは、ゼロデイ脅威、難読化されたコード、パスワード付きZIP、暗号化ファイルなどを検知できない場合があります。また、ダウンロード後の実行時には端末側のセキュリティソフトが関与し、リアルタイム同期ではランサムウェアによる暗号化ファイルがクラウド上に反映されるリスクもあります。

「クラウドに入れたから安全」という前提に立つのではなく、ファイルが入る・出る・同期されるそれぞれのタイミングで、どこにリスクが残るのかを把握しておくことが大切です。端末・クラウド・運用ルールを組み合わせた多層防御を整えることで、ウイルス感染やランサムウェア被害の影響を抑えやすくなります。