zoomのセキュリティは本当に安全？過去の脆弱性と最新の対策を徹底解説

現在のZoomは、通信の暗号化強化（AES-256 GCM）や待機室機能の初期設定化を完了し、政府向けのクラウド評価制度（ISMAP）にも登録された安全性を備えています。2020年に第三者の乱入やデータ送信の問題が指摘されましたが、すでにシステム改修で解決済みです。ただし、情報漏洩や不正アクセスを防ぐには、利用者自身がアプリを最新状態に保ち、会議ごとにパスコードや二要素認証を設定して権限を管理することが不可欠です。

現在のZoomのセキュリティは本当に安全なのか

現在のZoomは、運営元であるZoom Video Communications社による抜本的なシステム改修と第三者機関の厳格な監査を経て、企業の機密会議や公的機関の業務でも安全に利用できるセキュリティ水準を満たしています。2020年の利用急増時に指摘された複数の問題はすでに解消されており、運営側が提供する保護機能とユーザー側の適切な設定を組み合わせることで、情報漏洩や不正アクセスのリスクを最小限に抑えた運用が可能です。

ビジネスや公的機関でも導入が進む現在の安全性

Zoomは現在、高いセキュリティ基準が求められる金融機関、医療機関、教育機関、さらには日本国内外の政府機関や自治体でも公式なコミュニケーションツールとして導入されています。このように幅広い分野で採用が進んでいる背景には、データ通信の保護体制と管理者向けの統制機能が大幅に強化された事実があります。

具体的には、組織内の管理者が従業員のアカウント権限や会議のセキュリティ設定を一元管理できる機能が備わっています。また、有料プラン（プロ、ビジネス、エンタープライズ）の契約者は、会議データが通過するデータセンターの地域（リージョン）を自ら選択したり、特定の国や地域のサーバーを経由しないよう制限したりすることが可能です。これにより、自国の法規制や自社のコンプライアンス基準に準拠した通信経路を確保できます。

さらに、日本国内においては、Zoomの主要製品がISMAP（政府情報システムのためのセキュリティ評価制度）に登録されており、政府機関がクラウドサービスを調達する際の選択肢になっています。各業界における主な導入領域とセキュリティ面の評価理由は以下の通りです。

国際的なセキュリティ認証の取得状況

Zoomの安全性は、独自の対策だけでなく、独立した第三者機関による国際的なセキュリティ認証や政府基準の取得によって客観的に証明されています。クラウドサービスの情報セキュリティ管理体制や個人情報の保護体制について、世界標準の厳格な審査を通過し、継続的な監査を受けています。

代表的なものとして、日本の政府統一基準群に基づいたクラウドサービスの安全性評価制度である「ISMAP（政府情報システムのためのセキュリティ評価制度）」への登録が挙げられます。また、米国連邦政府のクラウド認可制度「FedRAMP」は、政府機関向けの「Zoom for Government」で取得しています（Moderateレベル）。このほか、国際標準化機構（ISO）が定める各種規格にも対応しています。

Zoomが取得している主なセキュリティ認証・準拠規格とその概要は以下の通りです。最新の取得状況や対象サービスの範囲については、Zoom公式のトラストセンターでも公開されています。

これらの認証は一度取得すれば終わりではなく、定期的な更新審査や外部監査をクリアし続ける必要があります。つまり、現在のZoomは国際基準に準拠した高度な管理体制のもとで継続的に安全性を維持しているツールであると評価できます。

過去に指摘されたZoomのセキュリティ脆弱性と問題点

2020年春、リモートワークやオンライン授業の急速な普及に伴い、Zoomの1日あたりの会議参加者はわずか数ヶ月で1,000万人から3億人規模へと急増しました。この爆発的な利用者増をきっかけに、世界中のセキュリティ研究者やメディアによる検証が進み、複数のセキュリティ脆弱性やプライバシー保護に関する設計上の不備が相次いで発覚しました。

当時指摘された主な問題点と、それによって生じた具体的なリスクは以下の通りです。

第三者が会議に乱入するZoom爆撃（Zoombombing）

2020年3月頃から世界中で多発したのが、招待されていない第三者がオンライン会議や授業に無断で乱入し、進行を妨害する「Zoom爆撃（Zoombombing）」と呼ばれる荒らし行為です。当時のZoomは利便性を最優先した設計となっており、ミーティングID（9〜11桁の数字）さえ分かれば誰でもワンクリックで参加できる状態が初期設定となっていました。

この問題が深刻化した背景には、以下のような当時の仕様と利用者の運用方法が関係しています。

その結果、乱入した悪意ある第三者が画面共有機能を悪用し、暴力的な映像やわいせつな画像を投影したり、チャット欄に差別的な発言を連投したりする被害が学校やイベントで相次ぎました。これはシステムのプログラム上のバグというよりも、誰もが簡単に会議へ参加できる利便性を優先するあまり、アクセス制限の初期設定が甘かったことに起因する問題です。

エンドツーエンド暗号化（E2EE）に関する誤解と不備

Zoomは当時、自社のウェブサイトやホワイトペーパーにおいて、会議の通信が「エンドツーエンド暗号化（E2EE）」によって保護されていると説明していました。しかし2020年3月、調査報道メディアの指摘により、実際に行われていたのはユーザーの端末とZoomのサーバー間を保護する「トランスポート暗号化（TLS）」であったことが判明しました。

本来のエンドツーエンド暗号化とは、会議の参加者同士の端末間でのみ暗号化の鍵を共有し、サービス提供者であるZoom社であっても通信内容を復号・閲覧できない仕組みを指します。しかし当時の仕様では、暗号化と復号を行うための鍵がZoomのサーバー上で生成・管理されており、技術的にはZoom社側で会議の映像や音声にアクセスできる状態でした。さらに、Zoomは「AES-256」を使用すると説明していたものの、検証では実際にはECBモードの「AES-128」が使われていたことや、北米のユーザー同士の会議であっても暗号化キーが中国国内のサーバーを経由して配信されるケースがあったことが、カナダのトロント大学の調査機関（Citizen Lab）によって報告されました。

この事実が明るみに出たことで、機密情報を扱う企業や政府機関から通信の秘匿性に対する強い懸念が示され、米国連邦取引委員会（FTC）からも「ユーザーに誤解を与える不当な表示である」として指摘を受ける事態となりました。

Facebook等へのユーザーデータ無断送信問題

プライバシー保護の観点で大きな批判を集めたのが、iOS版（iPhone・iPad向け）のZoomアプリからFacebookに対して、ユーザーの端末情報が無断で送信されていた問題です。当時のiOS版アプリには、「Facebookアカウントでログイン」する機能を簡単に実装するための開発キット（Facebook SDK）が組み込まれていました。

このSDKの仕様により、ユーザーがZoomアプリを起動するたびに、Facebookのアカウントを持っていないユーザーであっても以下の情報が自動的にFacebook側のサーバーへ送信されていました。

氏名やメールアドレス、会議の具体的な内容などが送信されていたわけではありませんが、当時のZoomのプライバシーポリシーには、こうしたデータが第三者であるFacebookへ送信される旨が明記されていませんでした。ユーザーへの事前説明と同意取得を欠いたままデータ連携が行われていたことが問題視され、発覚から数日後にZoom社は該当のSDKのコードを削除する対応をとりました。

WindowsやMacアプリのインストーラーにおける脆弱性

パソコンにインストールして使用するデスクトップ版のZoomクライアントアプリやそのインストーラーにおいても、OSの仕組みを悪用される深刻な脆弱性が複数発見されました。

Windows版アプリでは、チャット欄に投稿された「UNCパス（ネットワーク上の共有フォルダなどを指定する記述形式）」を自動的にクリック可能なリンクへと変換する仕様が存在しました。攻撃者が細工したUNCパスをチャットに書き込み、参加者がそれを誤ってクリックすると、Windowsのログイン名や暗号化されたパスワード情報（NTLMハッシュ）が外部のサーバーへ自動的に送信されてしまうリスクがありました。また、この仕組みを応用して、ユーザーの意図しないプログラムを勝手に起動させることも可能でした。

一方、Mac版（macOS）では、2019年7月に発覚した「ローカルWebサーバー」の仕様と、2020年4月に指摘された「インストーラーの権限昇格」という2つの問題が挙げられます。2019年の事例では、ブラウザからワンクリックでZoom会議を起動できるよう、端末内に独自のWebサーバーを常駐させる仕組みが採用されていました。この仕組みを悪用すると、悪意のあるWebサイトを閲覧しただけで、ユーザーの同意なしにWebカメラがオンになった状態で強制的に会議へ参加させられる危険性がありました。さらに、ZoomアプリをアンインストールしてもこのWebサーバーが端末内に残り続け、勝手にアプリを再インストールできる状態になっていたことも批判の対象となりました。

また、2020年4月に発覚したMac版インストーラーの脆弱性では、インストール処理の過程に不備があり、端末内に潜む悪意のあるプログラムが管理者権限（root権限）を不正に取得して、ユーザーのマイクやカメラを無断で操作・盗聴できるリスクが指摘されました。これらのOS固有の脆弱性は、いずれも発覚後速やかに提供されたセキュリティパッチ（修正プログラム）によって解消されています。

過去の脆弱性に対するZoom公式のセキュリティ改善策

2020年春に複数のセキュリティ上の課題が指摘された際、運営元であるZoom Video Communications社は、新機能の開発を90日間凍結し、すべての開発リソースを安全性とプライバシーの強化に投じる計画を実行しました。この期間中に外部のセキュリティ専門家や機関との連携を強化し、システムの根本的な見直しと機能改修を完了させています。

通信の暗号化技術（AES-256 GCM）の強化と実装

かつて指摘された暗号化方式の脆弱性や定義の曖昧さに対し、Zoomは2020年4月27日公開の「Zoom 5.0」で、通信の暗号化規格にAES-256 GCMを導入し、2020年5月30日からアカウント全体に適用しました。それまでのECBモードのAES-128から、より強固な方式へ移行しています。GCM（ガロア/カウンタモード）の採用により、通信データの秘匿性が高まっただけでなく、通信途中のデータ改ざんを検知する仕組みが組み込まれ、盗聴や不正アクセスに対する耐性が向上しています。

さらに、Zoomは2020年10月、無料・有料を問わずすべてのユーザーを対象に、エンドツーエンド暗号化（E2EE）の提供を開始しました（当初は技術プレビューで、無料ユーザーは電話番号などによる一度きりの本人確認が必要でした）。通常の暗号化（AES-256 GCM）とエンドツーエンド暗号化（E2EE）には、暗号化キーの管理場所と機能面で以下の違いがあります。

E2EEを有効にした場合、会議の暗号化キーは参加者の端末上でのみ生成・管理され、Zoomのサーバーを経由してもZoom社自身を含む第三者が通信内容を復号することはできません。ただし、サーバー側で音声や映像の処理を行えなくなるため、クラウド録画や電話回線からのダイヤルイン参加、Webブラウザからの参加など一部の機能が制限されます。扱う情報の機密性に応じて、ホスト側で暗号化方式を選択できる仕組みが整えられています。

パスワード設定と待機室機能のデフォルト化

第三者がミーティングIDを推測して無断で会議に乱入する「Zoom爆撃（Zoombombing）」への対策として、会議作成時の初期設定が変更されました。以前はミーティングIDさえ分かれば誰でも即座に入室できる状態が標準でしたが、仕様変更により、新規にスケジュールされる会議では「パスコード（旧パスワード）」と「待機室」の機能がデフォルトで有効化されています。

また、無作為に入力された数字で会議が特定されるのを防ぐため、画面上部のタイトルバーにミーティングIDを直接表示しないようにユーザーインターフェースも改修されました。これにより、会議中の画面をキャプチャして共有した際に、画像からミーティングIDが漏洩するリスクが排除されています。

さらに、2020年9月からは、無料アカウントや単一ライセンスの有料アカウントを含むすべての枠組みにおいて、パスコードまたは待機室のいずれか一方の設定がシステム上で必須化されました。ユーザーが誤って両方の機能をオフにした状態で会議を開くことができなくなったため、設定漏れによる不正侵入のリスクはシステムレベルで抑止されています。

画面下部に配置されたセキュリティアイコンの導入

会議の進行中に突発的なトラブルが発生した際、ホストが即座に対処できるようにするため、ミーティング画面下部のコントロールバーに「セキュリティ」アイコンが新設されました。以前は設定画面の深い階層に分散していた安全管理機能がこのアイコンに集約され、ホストおよび共同ホストは会議中であってもワンクリックで以下の制御を実行できます。

特に「参加者アクティビティの一時停止」機能は、万が一会議に不審者が紛れ込んだ場合でも、ホストが瞬時にすべての共有や発言を遮断して被害の拡大を防ぎ、該当者を安全に排除できる仕組みとして機能します。このように、事前設定の厳格化だけでなく、会議中のリアルタイムな管理権限を視覚的かつ操作しやすい形で提供したことで、ホストによる安全管理の負担が軽減されました。

ユーザーが今すぐ実践すべきZoomのセキュリティ対策7選

Zoom公式による通信技術や基本設定の強化が進んだ現在でも、利用者の設定不備や運用ミスを突いた情報漏洩や部外者の乱入リスクは残っています。安全にオンライン会議を実施するために、ホスト（主催者）および参加者が実践すべき7つの具体的な対策を解説します。

Zoomアプリを常に最新バージョンへアップデートする

Zoomのデスクトップクライアント（Zoom Workplaceアプリ）やモバイルアプリは、発見された脆弱性の修正（セキュリティパッチの適用）や新機能の追加のために頻繁にアップデートが提供されています。古いバージョンのまま放置すると、修正済みのシステム上の弱点を突かれ、マルウェアへの感染や不正操作の被害に遭う危険性が高まります。

また、Zoomにはバージョンの最小要件が定められており、古いバージョンのままだと、サインインや会議への参加ができなくなる場合があります。脆弱性を悪用した攻撃を防ぐには常に最新バージョンのアプリを利用することが不可欠です。パソコン版アプリの手動アップデート手順は以下の通りです。

なお、デスクトップアプリの設定画面（「一般」タブ）にある「Zoomを自動的に最新の状態に保つ」にチェックを入れておくと、バックグラウンドで自動更新されるため更新漏れを防げます。

会議ごとに異なるミーティングIDとパスコードを設定する

ZoomのミーティングIDには、アカウントごとに固定で割り当てられる「パーソナルミーティングID（PMI）」と、会議を作成するたびにランダムに発行される「自動生成ID」の2種類があります。PMIは番号が変わらないため使い回しが容易ですが、一度でも外部の人間や取引先に知らせると、その相手が後日別の会議が開催されているタイミングに同じIDで入室できてしまうリスクがあります。

ビジネスでの商談や機密情報を扱う会議では、PMIの使用を避け、スケジュール作成時に必ず「自動的に生成」を選択してワンタイムのIDとパスコードを発行する運用を徹底してください。これにより、過去の会議参加者が別の会議へ誤って、あるいは意図的に侵入する事態を遮断できます。

待機室機能を有効にして参加者を事前に承認する

待機室機能とは、参加者がミーティングIDとパスコードを入力して接続した際、すぐには会議室に入れず、仮想の待合スペースに一時留め置く機能です。ホスト側には待機している参加者の表示名が通知され、一人ずつ確認したうえで「許可する」か「削除する」かを判断できます。

招待メールの誤送信や転送によって部外者にパスコードが渡ってしまった場合でも、ホストが待機室で名前を照合することで、予定外の人物の入室を水際で食い止めることが可能です。社内メンバーのみを自動で通し、外部のゲストだけを待機室へ誘導するといった細かい条件分岐も、Webポータルの設定画面から指定できます。

画面共有やチャットの権限をホストのみに制限する

多数の参加者が集まるウェビナー形式の会議や、社外の人を交えたミーティングでは、参加者に与えられている操作権限を必要最小限に絞ることが有効です。初期設定のまま参加者に自由な操作を許可していると、悪意のある人物が紛れ込んだ際に無関係な映像を画面共有されたり、チャット欄にウイルス感染を促す不正なURLを書き込まれたりする被害が発生します。また、善意の参加者が誤って自社の機密ファイルが開かれたデスクトップ画面を共有してしまう情報漏洩事故も少なくありません。

ホストは会議中、画面下部のツールバーにある「セキュリティ」アイコンから、参加者に許可する以下の権限をリアルタイムで切り替えられます。

参加者に資料を発表してもらう場面だけ一時的に画面共有を許可し、発表が終わったら再びオフに戻す運用を行うことで、会議の安全性を高く保てます。

全員が揃ったら会議をロックして乱入を防ぐ

予定していた参加者が全員入室した後は、会議室自体に鍵をかける「ミーティングのロック」機能を活用します。会議をロックすると、たとえ正しい招待URLやミーティングID、パスコードを知っている人物であっても、新規の入室は一切できなくなります（待機室への接続も拒否されます）。

操作は会議画面下部の「セキュリティ」アイコンをクリックし、メニュー最上部にある「ミーティングをロックする」にチェックを入れるだけで完了します。ただし、ロック中に既存の参加者が通信エラーなどで一度退出してしまうと、ロックを解除するまで再入室できなくなる点には注意が必要です。そのため、参加者の途中入退室が想定されないクローズドな会議で特に効果を発揮します。

ミーティングのURLやIDをSNS等で公開しない

オンラインイベントや勉強会などの参加者を募る際、X（旧Twitter）やInstagram、誰でも閲覧可能なWeb掲示板などにZoomの招待URLやミーティングID、パスコードを直接書き込むことは絶対に避けてください。インターネット上には公開されている会議情報を自動収集するプログラム（ボット）や、会議の妨害を目的とするグループが存在しており、情報を公開した瞬間に標的となります。

独立行政法人情報処理推進機構（IPA）のテレワークセキュリティ案内でも、Web会議のURL等をSNSなどで不特定多数に公開しないよう注意喚起が行われています。不特定多数から参加者を募るイベントを開催する場合は、事前登録フォームを用意し、登録を完了した人のメールアドレス宛に個別で招待URLとパスコードを送付する手順を踏むことで、荒らし目的の乱入を防げます。

二要素認証（2FA）を設定してアカウント乗っ取りを防ぐ

会議室自体の防御だけでなく、ホスト自身のZoomアカウントが乗っ取られないための対策も重要です。メールアドレスとパスワードのみのログイン設定では、他社サービスから流出した認証情報リストを悪用する「リスト型攻撃」などを受けた際、第三者に不正ログインされる危険があります。アカウントが乗っ取られると、登録されている連絡先情報や、クラウド上に保存している過去の会議の録画データ（クラウドレコーディング）がすべて窃取されてしまいます。

これを防ぐには、パスワードに加えてスマートフォンアプリ等で生成される一時的な確認コードの入力を必須とする「二要素認証（2FA）」の有効化が効果的です。ZoomのWebポータルで二要素認証を設定する手順は以下の通りです。

二要素認証を有効化すれば万が一パスワードが漏洩しても第三者による不正ログインを阻止できるため、特に有料ライセンスを契約している管理者や、クラウド録画機能を利用しているユーザーは必ず設定しておきましょう。

よくある質問（FAQ）

無料版のZoomでもセキュリティ機能は十分に備わっていますか？

無料版（基本プラン）のZoomであっても、通信の暗号化（AES-256 GCMおよびエンドツーエンド暗号化）や待機室、パスコード設定、二要素認証（2FA）といった主要な保護機能は有料版と同等に提供されています（無料ユーザーがE2EEを使う場合は、初回に本人確認が必要になることがあります）。そのため、個人間での通話や小規模なオンライン会議であれば、無料版のままでも安全な通信環境を確保できます。

ただし、企業や組織で複数人のアカウントを統括する場合、無料版では管理機能が不足する場面があります。無料版と有料版（プロプラン以上）におけるセキュリティ・管理面の主な違いは以下の通りです。

法人利用において従業員のセキュリティ設定漏れを防ぎたい場合や、社内システムと連携したシングルサインオン（SSO）によるアクセス制御、通信データが経由するサーバーの地域指定が求められる環境では、有料プランの契約が必要です。

スマートフォンやタブレットからZoomを利用する場合の危険性はありますか？

iOSやAndroid向けのZoomモバイルアプリ自体には、パソコン版と同様に通信の暗号化技術が実装されており、アプリの構造上の安全性に違いはありません。しかし、モバイル端末特有の持ち運びやすさや通信環境、画面サイズに起因する情報漏洩リスクが存在するため、利用時には以下の対策が求められます。

特にモバイル端末での画面共有は、パソコンのように特定のウィンドウだけを選択して共有することが難しく、意図せずプライベートな通知や機密情報が映り込む事故が起きやすいため注意が必要です。

Zoomの会議を録画した場合のデータはどこに保存されますか？

会議の録画データの保存先は、契約しているプランと録画時の選択によって「ローカル保存（パソコン本体）」または「クラウド保存（Zoomのサーバー）」の2つに分かれます。それぞれの保存先とセキュリティ上の管理方法は以下の通りです。

ローカル保存したファイルは、パソコン自体のウイルス感染や紛失、あるいは誤ってファイル共有ソフトや外部ストレージへアップロードすることによる流出リスクがあります。機密性の高い会議をパソコン内に保存した場合は、ファイル自体にパスワードをかけるか、アクセス権限が制限された社内サーバーへ速やかに移動し、端末内のデータは削除してください。

一方、有料版のクラウド保存を利用する場合は、共有リンクの公開範囲を「特定のユーザーのみ」に制限し、視聴用パスコードの設定とダウンロード禁止設定を併用することで、外部への二次流出を防止できます。

招待URLをクリックするだけでウイルスに感染することはありますか？

正規のZoom招待URL（zoom.usのドメイン）をクリックして会議に参加するだけで、パソコンやスマートフォンがコンピュータウイルス（マルウェア）に感染することはありません。ただし、Zoomの招待を装ったフィッシング詐欺や、会議内のチャット機能を悪用したウイルス感染の手口には警戒が必要です。

攻撃者は「オンライン会議の招待」や「アカウントの一時停止通知」といった名目で偽のメールやSMSを送り、本物のZoomに酷似した偽サイトへ誘導します。アクセスした先でログインIDやパスワードを入力させたり、「最新のZoomインストーラー」と偽って不正なプログラム（.exeファイルなど）をダウンロード・実行させたりすることで、認証情報の窃取やウイルス感染を引き起こします。

また、正規のZoom会議中であっても、参加者がチャット欄に貼り付けた不審な外部URLをクリックしたり、送信された未知のファイルを開いたりすると感染する危険があります。招待URLを開く際はドメインが正規のものであるかを確認し、会議中のファイル転送機能は事前にホスト側で無効化しておくことが安全に繋がります。

Microsoft TeamsやGoogle Meetと比較してZoomのセキュリティは劣りますか？

現在のZoomは、公開情報を見る限り、Microsoft TeamsやGoogle Meetと比べて大きく劣るとはいえません。通信の暗号化方式や第三者認証の取得状況において、3社ともエンタープライズ（大企業や公的機関）向けの基準に対応しています。ただし細かな仕様は各社で異なるため、比較表の各項目は公式情報で確認してください。

3つのツールの違いは、通信そのものの安全性ではなく、既存の社内ITインフラとの統合性にあります。すでにMicrosoft 365やGoogle Workspaceを全社導入している企業であれば、既存のID管理基盤やセキュリティポリシー（条件付きアクセスや情報漏洩防止機能など）をそのまま適用できるTeamsやMeetの方が、管理者の運用負担を抑えやすいという側面があります。

一方で、社外の取引先や個人顧客など、異なるシステム環境を持つ相手と頻繁に会議を行う場合は、アカウントを持たないゲストでも安全かつ容易に参加でき、ホスト側が画面下部のアイコンから直感的に権限を制御できるZoomが適しています。セキュリティ機能自体の優劣ではなく、自社のアカウント管理体制や主な会議の用途に合わせてツールを選定することが重要です。

まとめ

Zoomは過去の脆弱性を改善し、現在はユーザーが適切な設定を行うことで安全に利用できるツールとなっています。この記事の要点は次の通りです。

安全な会議環境を守るには利用者自身の対策が必要です。まずはZoomアプリを最新バージョンへ更新し、セキュリティ設定の見直しを実践してみましょう。