Windowsユーザーにとっておなじみの暗号化機能「BitLocker」の安全神話が崩壊の危機に瀕しています。米連邦捜査局（FBI）からの要請に応じ、MicrosoftがBitLockerで保護されたPCの復元キーを提供したことが明らかになりました。これは、テクノロジー企業が法執行機関にユーザーの暗号化キーを渡した初の記録された事例であり、世界中でプライバシー保護に関する広範な議論を巻き起こしています。
BitLockerの「絶対安全神話」に亀裂か？MicrosoftがFBIに暗号化キーを提供
「BitLockerは思ったほど安全ではない」――。この衝撃的なニュースは、米国の経済誌「フォーブス」によって報じられました。事の発端は、2025年初頭にFBIがMicrosoftに対し、特定の3台のノートPCのBitLocker暗号化復元キーを提供するよう捜査令状を発行したことです。
この3台のデバイスは、新型コロナウイルス感染症に関連する失業支援金詐欺事件に関与しているとされ、FBIはデバイス内の暗号化されたデータが容疑者の関与を示す重要な証拠であると判断していました。そしてMicrosoftは最終的に、この要請に応じる形となりました。これは、同社が法執行機関にユーザーの暗号化キーを渡した初めての記録されたケースとされており、世界中のプライバシー保護コミュニティに大きな衝撃を与えています。
BitLockerは、現代のWindows PCに広く搭載されているMicrosoftのディスク暗号化システムです。ハードディスク全体のデータを暗号化し、正規のキーを持つ者だけが復号できるよう設計されています。通常、このキーはUSBメモリなどのハードウェアに保存できるほか、ユーザーがパスワードを忘れた場合に備えて、デフォルトでMicrosoftのクラウドサービスにバックアップされる仕組みになっています。このクラウドバックアップ機能こそが、今回、法執行機関がキーを入手する経路となってしまったのです。
年間20件の要請とMicrosoftの姿勢
Microsoftの広報担当者は、同社が年間約20件のBitLockerキーに関する照会を受けていることを認めました。しかし、その多くはユーザーがキーをクラウドに保存していないため、協力できないと述べています。
担当者はまた、「顧客が自身のキーをどのように管理するかを最もよく理解している」と強調し、ユーザー自身によるキー管理の重要性を訴えました。しかし、皮肉なことに、2013年にはMicrosoftのエンジニアが「政府からBitLockerにバックドアを仕込むよう要求されたが、当時拒否した」と発言していたことがあり、今回のFBIへの協力は、その姿勢からの変化を疑わせるものとなっています。
プライバシー保護と企業倫理：Apple、Metaとの決定的な違い
今回のMicrosoftの対応は、プライバシー保護の観点から多くの批判に直面しています。一部の議員は、テクノロジー企業がユーザーの暗号化キーへのアクセス権を保持することは無責任であり、法執行機関や悪意ある第三者がユーザーのデジタルライフ全体にアクセスし、ユーザーやその家族の安全を脅かす可能性があると指摘しています。
業界内では、特にAppleやMetaといった競合他社との対比が際立っています。AppleのFileVaultやMetaのWhatsAppなどの暗号化システムは、技術的な設計によって、同様の議論を回避しています。これらのサービスもクラウドバックアップをサポートしていますが、そのキー自体は暗号化されたファイル内に保存されるため、法執行機関が要求しても復号することはできません。現時点では、これらの企業がユーザーの暗号化キーをいかなる機関にも提供したという記録はありません。
ジョンズ・ホプキンス大学のマット・グリーン副教授などの専門家は、Microsoftに対し、AppleやGoogleと同様の、より強固なユーザーデータ保護アーキテクチャを採用するよう強く求めています。なお、BitLockerの暗号化アルゴリズム自体は非常に堅牢であり、米国の移民・関税執行局の専門家も、現在のところこの暗号化デバイスを解読するツールはないと法廷文書で述べています。問題は、アルゴリズムの弱さではなく、クラウドバックアップされたキーへの企業のアクセス権にあることが浮き彫りになりました。
まとめ：ユーザーの選択と企業の責任
今回のMicrosoftとFBIの一件は、利便性とプライバシー、そして国家安全保障という複雑な問題のバランスを巡る議論をさらに深化させるでしょう。Microsoftの対応が、将来的に法執行機関からのキー要求を増加させ、ユーザーのプライバシー空間をさらに縮小させる先例となることを専門家は懸念しています。
日本のユーザーも、WindowsデバイスのBitLocker設定を見直し、復元キーのクラウドバックアップを無効にする、あるいは信頼できるローカルストレージにのみ保存するなど、自身のデータ保護に対する意識を高める必要がありそうです。テクノロジー企業には、ユーザーの信頼に応え、デジタル社会におけるプライバシーの守護者としての役割を果たすことが強く求められています。
元記事: mydrivers
Photo by Dan Nelson on Pexels
