「鍵はバックアップに乗せない」と決めた2週間後、別の名前で乗っていた

パソコンの中身は、自宅の別の機械（NAS）に毎晩バックアップしている。

2026年9月の初めのこと。自作の日本酒アプリを、使ってもらう人がすぐ開けるように、読み取るだけでその人としてアプリに入れるQRコードを作る仕組みを足していた。いわば、アプリの合鍵。人ごとに1つずつ渡すもので、持っていれば誰でもその人として入れてしまう。そのQRコードの画像が毎晩いっしょにバックアップで運ばれていたことに気づいた。

すぐバックアップの設定に「この名前のファイルは乗せない」というルールを足した。これで安心、と思っていた。

それから2週間後。AIと、鍵を配りやすくする機能を足した。今度は画像ではなく、何人分かの鍵を文字で一覧にしたファイルを作る機能。

次の日、ふと思った。

「あれ？もしや一覧もバックアップに乗っちゃってない？」

パソコンの中を見られるAIに、バックアップの先にあるファイルの一覧を見てもらうと、しっかりちゃっかり乗っていた。作ったその夜のバックアップで、もう運ばれていた。私のルールが外していたのは、QRコードの画像を名指しした「この名前のファイル」だけ。名前の違う新しいファイルは、そのままバックアップされちゃっていた。

バックアップの先が自宅の機械でも安全とは言い切れない。鍵の写しが増えるほど、どこかから漏れる入口も増える。バックアップは、何でもまるっと取ればいいわけじゃない。鍵のような機密情報は、何でも入る毎晩のバックアップに混ぜないほうがいい。取っておくなら、暗号をかけて、ほかとは別にしまう。暗号を解くための鍵は、さらに別の場所に置く。

世間でも起きている。2023年には大きなIT企業で、元社員2人のパソコンのバックアップが、外から見える状態になっていた。
見つけた会社の報告では、その中にパスワードや秘密の鍵も入っていた。2022年には、サービスを動かしている機械とは別の場所に保管していたバックアップが、ほかで盗まれた鍵で開けられて持ち出された例もある（どちらも下の参考に載せた）。

直したこと

• 新しいファイルの名前もルールに足してNASからは消した。ただ、私の環境では、そこからさらに別の保管場所へも写しが送られていて、前の日の写し、その前の日の写し、と何日分も残る。全部を確かめて消すのは大変

• だから、消すより、鍵のほうを使えなくした（アプリの側で、その鍵では入れないようにする）。まだ誰にも渡していなかった鍵は、その日のうちに使えなくした。もう渡していた鍵は、替えると、使っている人に新しい鍵で入り直してもらうことになる。替えるかどうかは別に決めることにして、まだ決めていない

• 数日後、バックアップのルールの書き方を逆にした。「乗せないもの」を書くのをやめて、「乗せていいもの」だけを書く形に（いわゆる許可リスト、ホワイトリストと呼ばれるものだね）。これなら、新しいファイルが増えても、書いていないものは最初から乗らない。そのかわり、書き忘れたものはバックアップされないので、新しいものを作ったら、乗せるかどうかをその場で決める

人もAIも、足し忘れる。

「書いておけば守られる」が効かなかった話は、AIへのお願いでも起きた。

今、私がやっていること

鍵やパスワードが入ったファイルは、バックアップや同期されるフォルダに置かない。もし乗ってしまったら、消すより先に、その鍵を使えなくできないかを考える。

クラウドに預けた時点で、写しはよその会社の機械に置かれる。
自分で設定した覚えがなくても、パソコンのデスクトップやドキュメントのフォルダが、クラウドに自動で同期されていることもある。パスワードのメモを置いていないか、一度見てみるといいかも。Windowsなら、画面右下の雲のマーク（OneDrive）から設定を開き、「同期とバックアップ」の「バックアップの管理」で、同期されているフォルダが見られる（2026年10月時点・画面の名前はバージョンによって少し違う）。

参考

Microsoftの報告（英語・2023年9月。元社員2人のパソコンのバックアップが入った保管場所が、外から見える状態だった）：

見つけたWizの報告（英語・2023年9月。そのバックアップに、パスワードや秘密の鍵が入っていた）：

LastPassの報告（英語・2022年12月。サービスを動かしている機械とは別に保管していたバックアップが、盗まれた鍵で開けられ、持ち出された）：

ワンポイント用語

• NAS（ナス）：家のネットにつないで使う、ファイルの保管庫になる機械

• バックアップ：もしものときのために、ファイルの写しを別の場所にとっておくこと

• QRコード：スマホのカメラで読み取れる、白黒の四角い模様。中に文字やURLを入れられる

• 許可リスト（ホワイトリスト）：入れていいものだけを書いた一覧。書いていないものは、全部はじかれる

• 同期：パソコンとクラウドなどで、同じ中身になるように自動でそろえること。片方で消すと、もう片方からも消えることがある

• クラウド：ネットの向こうの、よその会社の機械にファイルを預けておく仕組み（OneDriveなど）

#AIとやってみた #Claude #ClaudeCode #生成AI #非エンジニア #個人開発 #バイブコーディング #パソコン #セキュリティ #失敗談