対象：サイトの管理画面やアカウントのパスワードを、Googleドライブのドキュメントやスプレッドシートにまとめて保存している人。「これって安全？」という素朴な疑問に、正直に答えます。ここでは攻撃手順は扱わず、安全な保管のしかただけを扱います。
当サイトの視点：問題は『Driveを使うこと』ではなく『平文であること』
よくある誤解は「クラウドに置くのが悪い」です。違います。本当の問題は平文で一覧にしてあること。暗号化済みのパスワード管理ファイル（例：KeePassの.kdbx）をDriveで同期するのは、世界中で普通に行われている安全なやり方です。ファイルはマスターパスワードという鍵がなければただの暗号文だからです。
逆に、いくら厳重なGoogleアカウントでも、中身が平文の表なら、アカウントに入れた相手にそのまま全部読まれます。クラウドか否かより、あなたの鍵なしで読めるか否かで考えてください。
なぜ平文の一覧が危険なのか
「ちゃんとパスワードをかけたGoogleアカウントに入れているから大丈夫」と思いがちですが、平文一覧には固有のリスクが積み重なります。
具体的には、次のどれが起きても一覧まるごとが漏れます。
Googleアカウントの乗っ取り
不正な連携アプリへの権限付与
手作業コピペによるフィッシング被害
端末・共有リンクの拡散
そしてGoogleドライブ自体の暗号化は「Googleが読める」前提のもので、秘密専用ではありません。保管先に預ける前に、あなたの鍵がなければ読めない状態にしておく。これが秘密の取り扱いの原則です（.envファイルと秘密情報でも同じ考え方）。
危険から安全までのものさし
同じ「Driveに保存」でも、中身の状態で安全性はまるで変わります。
✗ 平文の表
ドキュメント/スプレッドシートに直書き
△ 暗号化zip
パスワード付き圧縮。手間がかかり使われなくなりがち
○ 暗号化vault
KeePassの.kdbx等をDriveで同期
◎ 専用マネージャ
Bitwarden/1Password等。自動入力・監視つき
よく使われる置き場所ごとに、「Googleアカウント（またはPC）に入られたとき、中身が読めるか」で比べると次のとおりです。
| 置き場所 | 入られたとき中身は読めるか | 判定 |
|---|---|---|
| Googleドキュメント／スプレッドシートに直書き | そのまま読める | 危険 |
| Excelの「シートの保護」だけ | 読める（変更を防ぐだけで、暗号化ではない） | 危険 |
| Excelの「パスワードを使用して暗号化」 | 開くためのパスワードがなければ読めない | 次善（自動入力・警告なし） |
| KeePassの.kdbxをDriveで同期 | マスターパスワードがなければ読めない | 安全 |
| Googleパスワードマネージャー（デバイス上の暗号化を設定） | Googleの説明では本人以外は読めない | 安全 |
| 専用パスワードマネージャー（Bitwarden／1Password） | マスターパスワードがなければ読めない | 安全 |
分かれ目は「暗号化されているか」と、「パスワードを手で写す運用が残るか」の2点です。暗号化したExcelは前者を満たしますが、開くたびに表から手でコピーするため、偽サイトに貼ってしまう危険は残ります。
正しい保管のしかた
最も安全なのは、専用のパスワードマネージャに移すことです。次の手順で平文の一覧をやめられます。
専用パスワードマネージャを使う
マスターパスワードは長く一意に
マネージャとGoogleアカウントにフィッシング耐性MFA
移行できたら平文一覧を確実に消す
可能ならパスキーへ
Googleドキュメントに平文一覧
- アカウント1つ乗っ取られると全部漏れる
- 偽サイトでも手で貼ってしまう（フィッシングに無防備）
- 漏えい検知・自動入力・世代管理が無い
- 連携アプリ権限でも中身が見える
専用パスワードマネージャ
- 中身は暗号化されたまま同期（提供元も読めない）
- 偽ドメインでは自動入力しない＝フィッシング耐性
- 強い生成・漏えい監視・履歴を内蔵
- マスターパスワード＋MFAで二重に守れる
それでもDriveに置きたいなら
最低条件は2つです。
- 保存するのは暗号化済みの管理ファイル（.kdbx等）だけ。平文のドキュメント/スプレッドシートは不可
- Googleアカウントにフィッシング耐性MFAを必ずかける
この2つが揃えば、Driveは暗号文を同期するだけの場所になり、リスクは大きく下がります。
スプレッドシートの一覧をパスワードマネージャーに移す手順
一覧を手で1件ずつ打ち直す必要はありません。CSVという表形式のファイルを経由すれば、まとめて取り込めます。
移行先を決めてから、CSVでダウンロードする
Googleスプレッドシートなら「ファイル」→「ダウンロード」→「カンマ区切り形式（.csv）」です。このCSVは暗号化されていない一覧そのものなので、作ったらその日のうちに取り込みと削除まで終わらせるつもりで進めます。
列名を移行先の形式に合わせる
Googleパスワードマネージャーは、1行目に url, username, password の見出しが必要です。Bitwardenは独自の見出し（name, login_uri, login_username, login_password など）を指定しています。列名が違うと取り込めないので、移行先のヘルプにある見本に合わせます。
インポートする
Googleパスワードマネージャーは passwords.google.com の「設定」→「インポート」から、Bitwardenはウェブ版の「ツール」→「インポート」から取り込みます。Googleは1回に3,000件までです。
CSVと元の一覧を削除する
ダウンロードしたCSVを削除し、パソコンのごみ箱も空にします。GoogleもBitwardenも、取り込み後にこのファイルを消すよう案内しています。Drive上の元のスプレッドシートも削除し、Driveの「ゴミ箱」から完全に削除します（そのままでも30日後に自動で消えますが、それまでは残ります）。
長く平文で置いていた重要なものから変える
メール、ネット銀行、サイトの管理画面など、漏れたときの被害が大きいものから、パスワードマネージャーが生成した別のパスワードに変えます。一覧に載っていた期間は、Googleアカウントに入られれば読める状態だったからです。
自分の環境で確認する方法
「もう移したはず」でも、古いコピーや共有設定が残っていることがよくあります。自分のアカウントで、次の4点を見てください。
Driveで「パスワード」を検索する
Driveの検索は、ファイル名だけでなくファイルの中の文字も対象です。「パスワード」「password」「PW」「ログイン」などで検索し、type:spreadsheet や type:document を付けると表や文書に絞れます。共有ドライブや、ほかの人から共有されたファイルも確認します。
見つけたファイルの共有設定を見る
ファイルを選んで「共有」を開き、「一般的なアクセス」が「リンクを知っている全員」になっていないか確認します。この設定だと、リンクを知っている人はGoogleアカウントにログインしなくても開けます。消せない事情があるなら「制限付き」に変えます。
Driveにアクセスできるアプリを見直す
Googleアカウントの「リンク済みアプリ」のページ（myaccount.google.com/linkedapps）で、Googleアカウントへのアクセスを許可したアプリを一覧できます。使っていないもの、心当たりのないものは「アクセス権を削除」します。
パソコンのダウンロードフォルダとExcelファイルを見る
過去に書き出した .csv や .xlsx が残っていないか確認します。Excelの一覧を使い続けている場合は、「シートの保護」ではなく「ファイル」→「情報」→「ブックの保護」→「パスワードを使用して暗号化」になっているかを確認します。
あわせて、Googleアカウント自体のログインにパスキーまたは2段階認証が設定されているかも確認します（→ 多要素認証ガイド）。
よくある間違いと直し方
- 行を消しただけでファイルを残す：Googleドキュメントやスプレッドシートには「版の履歴」があり、以前の版を開いたり復元したりできます。移行後はファイルごと削除するか、オーナーとして版の履歴を削除します。
- 「シートの保護」で守ったつもりになる：Microsoftは、シートの保護はセキュリティ機能ではないと説明しています。読めなくするには、ファイル全体の暗号化が必要です。
- 移行に使ったCSVをダウンロードフォルダに残す：パソコンを使える人なら誰でも開けます。取り込んだらすぐ削除します。
- 暗号化したファイルの「開くためのパスワード」を同じDriveにメモする：Googleアカウントに入られると両方そろってしまいます。そのパスワードだけは記憶するか、紙で手元に置きます。
- 家族やチームで共有するために表を使う：共有にはパスワードマネージャーの共有機能を使います。人が抜けたときに、その人の権限だけを外せます。
具体例：1か所で読めた情報から、次の認証情報が取られた
クラウドファンディングのCAMPFIREは2026年6月、不正アクセスの調査結果を公表しました。同社の説明では、従業員が発行したGitHubの認証情報が第三者に不正利用され、GitHub上で閲覧できた情報をもとに、社内業務用クラウド環境の認証情報が探索・取得されました。その結果、225,846件（対象ユーザーの重複除外）の個人情報に漏えいのおそれがあるとしています（詳しくは CAMPFIREの不正アクセスの解説）。
これは企業の開発環境の事例ですが、構図は個人のパスワード一覧と同じです。1つのアカウントに入られたとき、その中で読める場所に別の認証情報があると、被害はそこで止まらずに広がります。Googleアカウントの中に平文のパスワード一覧を置くことは、次に使える認証情報を、入った相手のために用意しておくのと同じです。
当サイトはどうしているか
当サイトは、パスワードや鍵・接続情報といった秘密を共有ドキュメントにも、コードのリポジトリにも、引き継ぎ資料にも平文で置かない運用を徹底しています（→ 秘密をgitに入れない話）。日常のログイン情報はパスワードマネージャで管理し、重要アカウントはフィッシング耐性のあるMFAで二重化。理由はシンプルで、「1か所が破られたら全部漏れる」状態を作らないためです。平文の一覧は、まさにその状態を生む典型例なので避けています。
次に読む
- 漏れていないか確かめる：パスワード漏洩の確認方法（Have I Been Pwned など）
- データ：パスワードの保管、みんなどうしてる？ ── 調査データで見る実態と安全な方法
- 仕組み：パスワードの安全な保存方法（ハッシュ化＋ソルト） ── 自分の保管の次は「サービス側がどう保存すべきか」
- 用語：ハッシュ化とは / ソルトとは
- 基本：セキュリティ最低限チェックリスト（最優先で守るアカウント・秘密の守り方）
- 用語：.envファイルと秘密情報
- 事例：CAMPFIREの不正アクセス（GitHubから業務用クラウドへ）
- 自前運用：秘密をgitに入れない／自前Git vs GitHub
- ツール：パスワード強度チェッカー
出典
- Microsoft サポート「Excel の保護とセキュリティ」（シートの保護はセキュリティ機能ではない／ファイルの暗号化）: support.microsoft.com
- Google ドライブ ヘルプ「Google ドライブでファイルを検索する」: support.google.com／「ファイルを共有する」（一般的なアクセス）: support.google.com／「ファイルを削除、復元する」（ゴミ箱は30日）: support.google.com
- Google ドキュメント エディタ ヘルプ「ファイルの以前の版を確認する」（版の履歴と削除）: support.google.com
- Google アカウント ヘルプ「Google アカウントと他のデベロッパーのアプリとのリンクを管理する」: support.google.com
- Google アカウント ヘルプ「パスワードをインポートする」（CSVの見出し・件数上限・取り込み後の削除）: support.google.com／「デバイス上の暗号化」: support.google.com
- Bitwarden ヘルプ「Import Data to Bitwarden」「Condition a Bitwarden .csv or .json」: bitwarden.com／bitwarden.com
- 株式会社CAMPFIRE「不正アクセス事案にかかる調査結果について」（2026年6月2日）: campfire.co.jp