ファイル転送サービスで社外の相手にデータを届けるとき、発行されたURLが意図しない相手の手に渡るケースがあります。パスワード認証は、URLを知っているだけではファイルにアクセスできないようにするための仕組みです。
この記事では、パスワード認証つきファイル転送がどのように機能するか、そしてOTP（ワンタイムパスワード）と組み合わせることで、どのようにアクセス制限を強化できるかを解説します。
パスワードなしで共有すると起こりうるリスク
URLが転送・拡散されて意図しない相手にアクセスされる
パスワードが設定されていないURLは、それを知っている人なら誰でもアクセスできる状態になります。送り先の担当者がURLをメールやチャットで社内の別の人に転送した場合、そのメッセージを受け取った人も同じURLを使ってファイルを開けてしまいます。
「ファイルを届けたのは特定の1人だけのつもり」だったとしても、URLが共有された先では意図の届かないアクセスが発生する可能性があります。
メールの誤送信でファイルを別の相手が開いてしまう
宛先を間違えてURLのメールを送ってしまった場合、パスワードがなければ誤送信先の相手はそのままダウンロードページにアクセスできます。社外秘や個人情報が含まれるファイルの場合、誤送信に気づいたときには、すでに相手がファイルをダウンロードしている可能性があります。
パスワード認証を設定しておけば、誤送信先の相手がURLを開いた場合でも、認証情報がなければアクセスできません。
ダウンロード後もURLが有効なまま残り続けてアクセスされる
相手がダウンロードを完了した後も、URLが有効な状態のまま残ることがあります。
有効期限の設定がないサービスでは、URLを保持している人は後からいつでもアクセスできる状態が続きます。業務が完了した後にファイルへのアクセスが続くことは、情報管理の観点から望ましくありません。
有効期限とパスワード認証を組み合わせることで、必要な期間やアクセスできる利用者の範囲を制限しやすくなります。
パスワード認証で不正アクセスを防ぐ仕組み
1. URLとパスワードは、同じ経路ではなく、別々の経路で共有する方法
パスワード認証を設定すると、URLを開いた時点でパスワードの入力画面が表示され、正しいパスワードを入力しなければダウンロードに進めません。
重要なのは、URLとパスワードを「別の手段」で伝えることです。URLとパスワードを別々の経路で伝える方法が採られることがあります。URLとパスワードが同じメールに含まれていると、そのメールが転送・誤送信された際に両方が同時に漏れてしまうためです。
受け取る側にとっては一手間増えますが、情報漏えいのリスクを大幅に抑える考え方です。
2. OTP（ワンタイムパスワード）との組み合わせでさらに強固にする
OTP（ワンタイムパスワード）とは、1回だけ使える使い捨てのコードのことです。
パスワード入力後に、受取人のメールアドレス宛に数字のコードが自動送信され、そのコードをダウンロードページに入力することで認証をおこないます。
コードは一定時間が過ぎると無効になり、1回使い切りです。万が一パスワードを第三者が知っていたとしても、受取人のメールアカウントにアクセスできなければ認証を通過しにくくなります。
3. 認証の失敗回数制限で総当たり攻撃への対策
パスワードを何度も試して正解を探す「ブルートフォース攻撃（総当たり攻撃）」への対策として、認証に一定回数連続して失敗するとアクセスを制限する仕組みを設けているサービスがあります。
パスワード認証・OTP認証・試行回数制限という複数の対策を組み合わせることで、不正アクセスのリスク低減につながります。
よくある質問
Q. パスワードだけ設定すれば十分ですか？
A. パスワードがあれば一定の防御にはなりますが、パスワードが相手を通じて第三者に知られてしまうリスクはゼロではありません。OTP（ワンタイムパスワード）を組み合わせると、パスワードが漏れた場合でも認証を通過しにくい状態にできます。機密性の高いファイルを送るときは、パスワードとOTP（ワンタイムパスワード）の多要素認証に対応したサービスを選ぶことをお勧めします。
Q. パスワードをURLと同じメールで送ってもいいですか？
A. URLと同じメールでパスワードを伝えることは避けることをお勧めします。URLとパスワードが同じメールに含まれていると、そのメールが誤送信や転送されたときにパスワード認証の意味がなくなります。パスワードは電話・SMS・LINEなど、URLとは別の手段で伝える運用が一般的です。
Q. OTP（ワンタイムパスワード）はどのように受け取りますか？
A. 受取人のメールアドレス宛に数字のコードが自動送信されます。受取人はそのコードをダウンロードページに入力することで認証が完了します。コードは1回限りで、一定時間が経過すると無効になります。
Q. 受け取る側はアカウント登録が必要ですか？
A. ファイルを受け取る側のアカウント登録が不要なサービスもあります。ただし、「URLをクリックするだけでダウンロードできる」わけではなく、パスワードやOTPによる認証が必要になります。あらかじめ受取人に「認証が必要な手順がある」ことを伝えておくとスムーズです。
まとめ
パスワード認証つきファイル転送サービスを選ぶ際には、以下のポイントを確認することをお勧めします。
- URLとは別にパスワードを設定できるか
- パスワードがURLのメールには含まれない仕組みになっているか
- OTP（ワンタイムパスワード）など二段階認証の仕組みがあるか
- 認証失敗が続くとアクセスを制限する対策があるか
- 通信がSSL暗号化（HTTPS）されているか
- ファイルが暗号化されてサーバーに保存されるか