無料オンラインPDFツールは便利ですが、同時に文書を他者のサーバーに転送します。これがリスクの全体像です。注意深くないアップロードは機密データを露出させ、規制対象の資料の場合は義務違反につながる可能性があります。
このガイドでは一般的な脅威と実践的な緩和策を取り上げます。本記事は無料オンラインビューアのサイト上で執筆しているため、以下の開示が必要です: Doconut.app は本記事で注意を促すツールの一つです。私たちはサーバー上でファイルをレンダリングし、セッション終了時に削除しますが、セキュリティ認証は取得しておらず、契約書をアップロードする前にこれらの点をご理解いただきたいと考えています。文書がネットワークから出せない場合は、自己ホスト型ソフトウェア—自社製でも他社製でも—が解決策です。
1. データ漏洩： “無料” が “世界に公開” を意味する時
リスク
ほとんどの無料コンバータはファイルをブラウザウィンドウにドロップさせ、リモートサーバーで処理します。UI は無害に見えますが、ファイルは共有クラウドノードに保存され、適切な権限を持つ誰でもアクセスできる可能性があります。「SSL 暗号化」を謳うサービスでも保護されるのは 転送中 のデータだけで、保存時 のデータは保護されません。
- 一時保存: 一部のプラットフォームはファイルを数時間から数日間保持し、内部脅威や誤設定されたストレージバケットにさらされます。
- メタデータ漏洩: 隠された作者名、リビジョン履歴、埋め込み URL が変換後も残り、ボットに収集される可能性があります。
実際に起こる失敗例
失敗は劇的である必要はありません。ファイルがマーケティングが示すより長く一時保存され、バケットが想定以上に多くの人に読み取り可能で、クローラが予測可能な URL を見つけるだけです。攻撃者が高度な手法を使う必要はなく、アップロードをクリックした瞬間からコントロール外になります。
サービスに対して尋ねるべき質問は「安全か？」ではなく「どれくらい保存するのか、何に保存されているのか」です。明確に答えられないツールは信頼できません。
緩和策
| アクション | 効果 |
|---|---|
| ローカル処理を優先 – デスクトップソフトやオフラインライブラリを使用し、機械を離れないようにする。 | 「保存時」の露出を完全に排除します。 |
| アップロード前に暗号化 – PDF にパスワードベースの AES 暗号化を適用する。 | ファイルが保存されても、キーがなければ内容は読めません。 |
| 保持ポリシーを確認 – 数分以内に削除するサービスを選び、数時間ではなく数分で削除されることを確認する。 | 攻撃対象となる時間窓を短縮します。 |
| メタデータのサニタイズ – 変換前に作者、作成者、隠しフィールドを除去する。 | ソーシャルエンジニアリングに利用され得る手がかりを除去します。 |
ヒント: Web ツールを使用せざるを得ない場合は、削除タイムラインが明示されているか、変換完了後に「ワンクリック削除」ボタンがあるかを確認してください。
2. マルウェア＆ドライブバイ攻撃： PDF 変換に潜む隠れペイロード
リスク
PDF はリッチフォーマットで、パーサ脆弱性の歴史が長く、PDF リーダーは長年にわたり標的となってきました — ブログ記事で引用された CVE 番号だけでなく、使用しているリーダーの公式アドバイザリを必ず確認してください。
リスクは大きく二つに分けられます。第一は サービス自体が侵害され、期待したものとは異なるファイルが返される 場合。第二は ファイル自体が次に開く環境を狙ったペイロードを内包している 場合です。無料コンバータがファイルを返すと両方のリスクにさらされますが、ページをレンダリングして表示するだけのビューアであれば、機械に何も落ちてこないためリスクはありません。
レンダリングが何を行い、何を行わないかを理解しておくことが重要です。文書を描画することは実行することではありません：.docm や .xlsm のマクロはビューアでは実行されず、PDF のアクションもトリガーされません。これはレンダリングモデルの特性であり、セキュリティ製品の機能ではありません。
緩和策
- チェックサムを検証する – ダウンロード後、ファイルの SHA‑256 ハッシュをローカルで生成したもの（元のものがある場合）と比較します。 不一致は改ざんを示します。
- サンドボックスで開く – 仮想マシンやハード化されたコンテナなど、サンドボックス化された環境で動作する PDF リーダーを使用します。
- PDF リーダーを常に最新に保つ – 多くの攻撃は古いリーダーを狙います。自動更新を有効にしましょう。
- ファイルをサーバー側で分離コンテナ内で処理するサービスを選ぶ – これにより、攻撃者が変換エンジンに到達する可能性が低減します。
3. 不十分な暗号化： “HTTPS” の偽の安心感
リスク
HTTPS（TLS）はブラウザとサーバー間のデータを暗号化しますが、サーバーにファイルが保存された後は 暗号化されません。一部の無料ツールは “安全なアップロード” と宣伝しながら、実際にはバックエンドでファイルを平文で保存しています。
- 中間者（MITM）攻撃 は、TLS 証明書が誤発行または期限切れの場合でも発生し得ます。
- サイドチャネル漏洩（例：ログ、バックアップ）は、生の PDF を保持する可能性があります。
緩和策
- エンドツーエンド暗号化を確認する – プロバイダーはファイルがサーバーに触れる前に暗号化し、保存時も暗号化されたままにすべきです。
- TLS 証明書を検証する – アドレスバーの鍵アイコンをクリックし、証明書が正しいドメインに発行されており、期限切れでないことを確認します。
- クライアント側暗号化ツールを使用する – GPG などのプログラムで、ウェブページにアクセスする前に PDF を暗号化できます。
4. コンプライアンス上の落とし穴： GDPR、HIPAA、その他の規制
リスク
個人識別情報（PII）や保護された医療情報（PHI）、金融データを扱う場合、未知の第三者サーバーにファイルを移すことは規制違反となり得ます。多くの無料ツールはデータ処理契約（DPA）や事業提携契約（BAA）に署名せず、巨額の罰金リスクにさらされます。
なぜこれが他と違うのか
この記事の他のリスクは確率的であり、何かが傍受されたり、何かが侵害されたりする可能性があります。こちらは違います。PHI や規制対象の個人データを契約のないプロセッサに移すと、侵害が実際に起きていなくても、アップロード時点で違反が成立します。
この点を理解することが重要です。なぜなら、意思決定の責任が変わるからです。「たった一つのファイル、今回だけ」 という考え方が問題の本質であり、無料ツールのプライバシーページは署名済み契約の代替にはなりません。
緩和策
| コンプライアンス項目 | 緩和策 |
|---|---|
| GDPR – EU から出る個人データ | EU 拠点のデータセンターを持ち、明確な DPA を提示するプロバイダーを選択する。 |
| HIPAA – PHI の取り扱い | BAA に署名し、監査ログを提供するサービスを利用する。 |
| PCI DSS – カード保有者データ | 無料ツールは使用せず、検証済みの PCI 準拠ソリューションを選ぶ。 |
| General – 契約の欠如 | “利用規約” のみで判断せず、明示的なセキュリティ文書を要求する。 |
5. ベストプラクティス：安全な PDF ワークフローの構築（そして Doconut アプリ が優れている理由）
5.1 可能な限り オフライン で処理する
無料のオンラインツールは便利ですが、データの管理権を手放すことになります。ローカルで動作するデスクトップやセルフホストのライブラリを使用すれば、“クラウド露出” のリスクを完全に排除できます。
5.2 設計段階でセキュリティを強制する API を使用する
サービスと統合せざるを得ない場合、トークンベース認証、レートリミット、暗号化ペイロードをサポートする、十分に文書化された API が重要です。
5.3 なぜ Doconut が適しているのか
| 機能 | リスクへの対策 |
|---|---|
| 自社インフラ上で実行 | SDK は自社環境にインストールされ、Doconut サーバーへの呼び出しは行いません。ドキュメントは、既に評価済みでない境界を越えることはなく、これが実際のセキュリティ根拠であり、唯一の根拠です。 |
| 閲覧と変換 | ビューアは 75 種類の拡張子をレンダリングし、別途ライセンスされた Converter プラグインが他形式への書き出しを行います。Doconut 製品には マージ、分割、圧縮 機能はありません。 |
| テキスト層検索 | Search プラグインはドキュメントに既に含まれるテキストを検索します。OCR 機能はないため、スキャンページは検索対象になりません。 |
| セキュリティ制御は利用者が提供 | 暗号化保存、キー管理、トークン認証、監査ログはすべて利用者側のアプリケーションで実装し、既存の運用基盤上に構築します。SDK にはこれらは含まれず、ビューアライブラリだけでプラットフォームをコンプライアンス対応にすることはできません。 |
| 認証なし | Doconut は ISO 27001、SOC 2、HIPAA、PCI DSS、FedRAMP のいずれの認証も取得していません。質問票で求められても、該当する認証はありません。 |
| 単発ファイル向け無料ビューア | Doconut.app はアカウント不要で最大 25 MB の PDF を開き、閲覧後に削除します — ただしホスト型アップロードであるため、適切に取り扱ってください。 |
このトレードオフは魔法的ではなく正直なものです。ソフトウェアの運用を自分で引き受ける代わりに、ファイルの流出が止まります。対象となる文書にとっては、通常この選択が最も価値あるものです。
結論
無料のオンラインPDFツールは本当に便利で、ほとんどの人が扱う文書は機密ではありません。守るべき規律は、アップロードする前にファイルがどのカテゴリに属するかを知り、推測しないことだけです。
一度だけ読む普通の文書であれば、何も保存しないホスト型ビューア—Doconut.app（無料、アカウント不要、タブを閉じると削除）— が妥当な選択であり、ファイルをダウンロードしてインストールされているもので開くよりも安全です。コンプライアンス義務がある場合は、Doconut SDK など、あなたが管理できるハードウェア上で処理を行い、求められる証拠を保持してください。