そのFTP、暗号化されていますか？ FTPソフトはそのまま、接続方式を見直そう

サーバにファイルをアップロードしたり、ディレクトリを作ったり、ファイルを直接直したりするとき、今も欠かせないのがFTPソフトだ。ただし、同じFTPソフトでも、接続の方式によって安全性は大きく変わる。昔ながらのFTPは通信が暗号化されない仕組みで、さらに最近は、パソコンに保存したパスワードがウイルスに盗まれ、サイトが改ざんされる被害も起きている。今回は、FTPソフトを安全に使い続けるための接続方式の選び方と、あわせて知っておきたい対策を紹介していこう。

FTPは暗号化されない古い通信方式

FTP（File Transfer Protocol）は、ファイルを転送するための通信の取り決め（プロトコル）だ。ここで注意したいのは、「FTPソフト」と「FTPという接続方式」は別物だということ。FileZillaやWinSCP、MacのTransmitやCyberduckといったFTPソフトの多くは、暗号化しないFTPのほか、暗号化するFTPSやSFTPでも接続できる。

FTPの最大の問題は、通信がまったく暗号化されないことだ。サーバに接続するときに送るIDとパスワード、そして転送するファイルの中身まで、すべてがそのままの形で流れる。公衆Wi-Fiなど、途中の通信をのぞき見られる環境で使えば、IDとパスワードを盗まれるおそれがある。

FTPはすでに主要なブラウザからも外されており、ChromeやFirefoxは2021年にFTPのサイトを開く機能を廃止している。インターネットの世界では、暗号化されない通信は使わないのが当たり前になっている。

いま本当に怖いのは「保存したパスワード」の盗難

2026年の今、盗聴以上に気をつけたいのが、パソコンに保存したFTPのパスワードの盗難だ。情報を盗み出すタイプのウイルス（インフォスティーラー）は、ブラウザに保存したパスワードなどと並んで、FTPソフトに保存された接続先とパスワードも狙う。FTPソフトの中には、保存したパスワードを暗号化せずに記録するものもあり、ウイルスに感染すると、そのまま抜き取られてしまう。

盗まれたアカウントでサーバにログインされると、サイトのファイルを書き換えられ、不正なコードや偽のページを仕込まれる。被害は自分のサイトだけでなく、サイトを訪れた人にも広がる。2009年ごろに日本で多くの企業サイトが改ざんされた「ガンブラー」も、FTPのアカウント情報を盗んでサイトを書き換える手口だった。

接続方式はFTPSかSFTPを選ぶ

FTPソフトはそのままで構わない。変えるべきなのは接続方式で、通信を暗号化するFTPSかSFTPを選べばよい。どちらも安全な方式で、名前は似ているが仕組みは異なる。

SFTP（SSH File Transfer Protocol）は、サーバの遠隔操作に使うSSHの仕組みの上でファイルを転送する方式だ。パスワードの代わりに「鍵」を使って認証することもでき、より安全に使える。FTPS（FTP over TLS）は、FTPの通信をWebサイトのHTTPSと同じTLSで暗号化する方式だ。FTPのアカウントとパスワードをそのまま使え、従来のFTPと同じ感覚で使えるのが利点で、レンタルサーバの標準の接続方式として案内されていることも多い。

FTPSを使うときに確認したいのは、FTPソフトの設定で暗号化が「必須」になっているかどうかだ。「暗号化が使えれば使う」という設定のままだと、何らかの理由で暗号化できなかったときに、暗号化しないFTPで接続してしまうことがある。

かつては、FTPSやSFTPに対応したレンタルサーバは少なかったが、現在は多くのレンタルサーバがどちらか、または両方に対応している。SFTPは、SSHの利用を申し込んだり、鍵を作ったりする準備が必要なことが多い。どちらが使えるかはレンタルサーバのマニュアルで確認し、使えるほうを選べばよい。

FTPソフト・SSH・管理画面を使い分ける

WordPressのインストールやディレクトリの作成、ファイルの差し替えや直接の編集など、画面で見ながら作業できるFTPソフトが便利な場面は今も多い。一方で、たくさんのファイルをまとめて操作したり、圧縮ファイルをサーバ上で展開したりするなら、SSHでコマンドを使ったほうが早い。コマンドを全部覚えていなくても、簡単な作業はFTPソフト、まとめて行う作業はSSH、と使い分ければ十分だ。

このほか、少しの修正なら、レンタルサーバの管理画面にある「ファイルマネージャー」でも、ブラウザからファイルをアップロード・編集できる。WordPressの記事の更新やテーマ・プラグインの追加は、WordPressの管理画面から行える。Web制作会社や開発者なら、Gitでファイルを管理し、GitHubなどから自動でサーバに反映する「自動デプロイ」の仕組みを使う方法もある。

FTPを使うときに最低限やっておきたいこと

まずは、FTPソフトに登録している接続先の設定を見直し、接続方式がFTPのままになっていないかを確認しよう。FTPSかSFTPに切り替えるだけで、使い方は変わらない。

そのうえで、FTPソフトを安全に使い続けるために、次の点に気をつけたい。

• FTPSを使う場合は、暗号化を「必須」に設定する
• パスワードを保存する場合は、ソフトのマスターパスワード機能や、OSのパスワード管理（Macのキーチェーンなど）で暗号化して保存する
• FTPのパスワードは長く複雑なものにし、ほかのサービスと使い回さない
• 作業が終わったら、使わないFTPアカウントは削除・無効にする
• サーバの管理画面で、接続できるIPアドレスや国を制限する機能があれば使う
• パソコンのOSとセキュリティソフトを最新に保ち、出どころの分からないソフトを入れない

あわせて、レンタルサーバの管理画面そのものにも2段階認証を設定しておこう。FTPのパスワードを変えても、管理画面を乗っ取られれば新しいアカウントを作られてしまう。

ファイル転送の方法のまとめ

よくある質問