MEGAは安全？アプリの危険性・ウイルスの不安まで検証

最終更新日: 2026年8月21日

結論から言うと、MEGAは「ゼロ知識のエンドツーエンド暗号化」を備えた、暗号化の水準が高いサービスです。ただし2022年に暗号の実装へ重大な欠陥が見つかり、修正された経緯があります。さらにパスワードとリカバリーキーの両方を失うと公式の説明ではデータを復旧できず、データの保管国は公式に明示されておらず、日本のプライバシーマークも取得していません。MEGAは「保管」に強いクラウドストレージで、一回限りの大容量送信には設計が重めです。

この記事では、ファイル転送サービスの運営者として、MEGAのセキュリティを正確に整理します。「MEGAは安全？」という不安の核心にある2022年の脆弱性事案に加え、「アプリを入れて大丈夫？」「ダウンロードでウイルスに感染しない？」という身近な不安にも、出典付きで答えます。

この記事はギガワタス（giga-watasu.jp）の運営ブログです。競合サービスについても事実に基づいて解説しています。

MEGA（mega.nz）とは？運営会社・無料容量を30秒で整理

MEGA（メガ）は、ファイルをアップロードして保管し、共有リンクで相手に渡せるクラウドストレージです。2013年にサービスを開始し、最大の特徴は後述する「ゼロ知識のエンドツーエンド暗号化」です。ギガファイル便のような一回送信専用のファイル転送サービスとは、性格が違います。

ここで押さえておきたいのが無料容量です。以前は20GBでしたが、公式の料金ページは10GBと案内しています（2026年8月21日確認）。当ブログでも以前は20GBと記載していましたが、本記事とクラウドストレージ比較記事の該当箇所を修正しました。アチーブメントで足した分は365日で切れるため、「一度20GB近くまで増えたのに減った」と感じるのはこのためです。出典はMEGA公式の料金ページです。

MEGAのセキュリティ機能を正確に整理する

まず、MEGAに「ある機能」と「ない機能」を整理します。ネット上には旧仕様の情報も多いため、公式のセキュリティページと公式の料金ページをもとにまとめました（2026年8月21日確認）。MEGAクラウドの利用契約の相手方は、公式の利用規約によればハンガリーのMEGA Privacy Kft（登記番号 Cg. 13-09-239012）です（無料ユーザーも含む）。保存したファイルを共有リンクで送る使い方ができます。

表のとおり、MEGAの強みは暗号化です。一方で、ウイルススキャンの有無やプライバシーマーク、データの保管国といった「日本のビジネスで確認を求められる要素」は、公開情報からは確かめにくい状態です。料金はユーロ建てが基本で、為替により円換算は変動します（公式料金ページ・2026年8月21日確認）。

MEGA最大の強み「ゼロ知識暗号化」とは

MEGAを語るうえで外せないのが、ゼロ知識のエンドツーエンド暗号化です。「ゼロ知識」とは、サービス提供者であるMEGA自身がユーザーのファイルの中身を一切知らない（見られない）という意味です。

仕組みはこうです。ファイルを暗号化・復号する鍵は、ユーザーのパスワードを起点とする鍵階層で管理されます。鍵はユーザーの手元で扱われ、MEGAのサーバーには「中身を読めない暗号化済みデータ」だけが保存されます。だからMEGAの社員も、サーバーを預かるデータセンターも、原則として中身を見られません。

これは、多くの汎用ファイル転送サービスとの大きな違いです。たとえばギガワタスを含む一般的なサービスは、保存時にAES-256で暗号化していても、鍵はサービス側が管理します。つまりサービス側では復号できる仕組みです。WeTransferも公式ヘルプで、利用規約違反の調査などの場合には転送の中身をレビューすることがあると明記しており（公式ヘルプ）、ゼロ知識型ではありません。MEGAはこの「サービス側を信用しなくてよい」状態を目指した設計で、思想としては一段踏み込んでいます。なおMEGAは、プライバシーポリシーでGDPR（EUの個人情報保護規則）の定義を用いて自らを「データ管理者」と位置づけています。

MEGAに保存したらバレる？ダウンロードは相手にわかるのか

結論から言うと、ファイルの中身はMEGAの運営でも読めません。ただし「いつ・どのIPアドレスから・どのリンクを使ったか」という記録を、暗号化されない形で保持することがあるとMEGA自身が公表しています。「バレる」という不安は、この2つを分けて考えると整理できます。以下はすべてMEGA公式の記載にもとづくものです（2026年8月21日確認）。

出典はMEGA公式プライバシーポリシー、重複排除の公式解説、リンク解析の公式ヘルプです。

ログインしていなくてもIPアドレスで数えられている

見落とされがちなのが、アカウントを持っていない人がMEGAのリンクからダウンロードする場合も、IPアドレス単位で計測されていることです。公式ヘルプは、無料アカウントおよび非会員のダウンロード上限について「直近6時間にそのIPアドレスからダウンロードされたデータ量にもとづく」と説明しています（有料プランはIPではなくログイン中のアカウントで判定）。「大きなファイルの途中でダウンロードが止まった」というときは、この転送量の上限に当たっている可能性があります。出典は公式ヘルプの転送量の解説です。

捜査機関などから開示を求められたらどうなるか

MEGAは公式ヘルプで、法的な情報開示請求について「プライバシーは絶対的な権利ではなく一定の制限を受ける」としたうえで、「開示が正当化されるのは明らかに違法な行為の場合だ」という立場から出発すると説明しています（実際にどの範囲の請求に応じるかまでは、この記載からは読み取れません）。同時に「保存されているファイルとチャットはすべてユーザー側で暗号化されているため、MEGAが提供できる情報は限られる」とも明記しています。開示した場合は、法的に禁じられている場合などを除き本人に通知し、年次のTransparency Reportで件数を公開するとしています（公式ヘルプ）。

2022年に起きた暗号化の脆弱性事案を検証する

「MEGAは安全か」を判断するうえで、2022年の脆弱性事案は避けて通れません。皮肉にも、MEGAの売りである暗号化そのものに欠陥が見つかった出来事です。

何が起きたか: ETH Zurichが5つの攻撃を発表

2022年6月、スイスの名門ETH Zurich（チューリッヒ工科大学）の暗号研究チームが、MEGAの暗号設計に複数の欠陥を発見したと公表しました。論文「MEGA: Malleable Encryption Goes Awry」では、RSA鍵復元攻撃、平文復元攻撃、フレーミング攻撃、整合性攻撃、GaP-Bleichenbacher攻撃の5種類が示されました（研究チームの解説サイト、ETH Zurich公式ニュース）。

当初の鍵復元攻撃は、対象ユーザーが512回ログインする必要がありました。しかしその後、UC San Diego（カリフォルニア大学サンディエゴ校）の研究者が攻撃を改良し、わずか6回のログインで鍵を復元できる水準まで引き下げました（MEGA公式の対応声明）。

前提条件: 「サーバー側を掌握した攻撃者」が必要

ここは正確に理解する必要があります。これらの攻撃は、街中のWi-Fiで盗み見るような「外部の第三者」が簡単に実行できるものではありません。攻撃にはMEGAのインフラ（サーバー）を掌握した攻撃者が前提です。具体的には、MEGA自身、MEGAを侵害した者、あるいは法的強制でサーバーを操作できる立場の者です。

裏を返すと、これはゼロ知識暗号化の根幹に関わる問題でした。MEGAの売りは「サービス側を信用しなくてよい」ことです。その前提が、悪意あるサーバー側の操作によって崩れうると示されたわけです。共有フォルダやファイルの復号、アカウントへの不正なファイル挿入につながる可能性が指摘されました。

MEGAの対応: パッチ済み・ただし研究者は「応急処置」と指摘

MEGAはETH Zurichの報告を認め、クライアントソフトの更新で攻撃の悪用を遮断するパッチを公開しました。ユーザー側でのパスワード変更やデータの再暗号化は不要とされています（MEGA公式声明、SecurityWeek）。当方が確認した範囲では、この脆弱性の悪用による被害事例の公表を見つけられませんでした。

ただし研究者は、MEGAの修正は問題の根本に踏み込んでおらず、暗号設計そのものの再設計が望ましいと指摘しています。運営者の立場で言うと、重要なのは「欠陥が出たかどうか」より「公表後に誠実かつ迅速に直したか」です。その点でMEGAは速やかに対応しました。一方で、最先端の暗号設計でも実装段階で欠陥が起こりうるという現実も示した事案でした。

MEGAのアプリは危険？ウイルス・不正ログインの不安に答える

MEGAについては、暗号化の議論とは別に「アプリを入れても大丈夫？」「MEGAのリンクからダウンロードしたらウイルスに感染しない？」という不安もよく検索されています。結論から言うと、公式サイトと公式アプリストアで案内されているものが正規の配布物で、インストールすること自体が直ちに危険というわけではありません。なお公式経路は偽物をつかまないための手段であって、安全の保証ではありません（後述のとおり、公式のChromeウェブストア上で拡張機能が改ざんされた事案があります）。さらに「MEGAのサーバー側でウイルスチェックが行われているかを公開情報では確認できない」という、ゼロ知識暗号化ならではの論点があります。

アプリ本体は正規。ただし2018年にChrome拡張の改ざん事件があった

MEGAのスマホアプリ（iOS/Android）やデスクトップアプリは、MEGA公式がApp Store・Google Play・公式サイトで配布している正規のアプリです。アプリ自体がウイルスやスパイウェアというわけではなく、クライアントのソースコードも公開されています。

ただし過去に1件、知っておくべき事件があります。2018年9月、Chromeウェブストア上のMEGA公式拡張機能が攻撃者に改ざんされ、AmazonやGoogleなど他サイトのログイン情報や仮想通貨の秘密鍵を盗む悪意あるバージョンが配信されました（BleepingComputer）。MEGAは約4時間後に修正版を公開して謝罪しており、MEGAの声明では、mega.nz自体のログイン情報は窃取の対象になっていなかったとされています。

ここからの教訓はシンプルです。アプリや拡張機能は必ず公式ストア・公式サイトから入手し、検索結果の広告に紛れた偽サイトからインストーラを落とさないこと。これはMEGAに限らず、どのサービスでも同じです。

MEGAの公式なウイルススキャン機能は確認できない

もう1つ、意外と知られていない事実があります。MEGAの公式サイトには、アップロードされたファイルをサーバー側でウイルススキャンする機能の記載が見当たりません（2026年8月21日確認）。ここで「非対応」と断定はしません。ゼロ知識暗号化では、MEGAのサーバーはファイルの中身を復号できません。そのため、サーバー側で復号してから検査する一般的な方式とは両立しにくいと考えられます。ただしこれはあくまで構造からの推測で、クライアント側での検査や別方式の可能性までは否定できません。当ブログでは、公式の非対応表明か実機での確認が取れないものは「×（提供なし）」ではなく「△（公開情報で確認できず）」として扱っています。

いずれにせよ、MEGAのリンクで受け取ったファイルの安全性をMEGAが保証しているわけではありません。リスクが大きいのはダウンロードしたファイルを開く・実行する瞬間ですが、ページを開くだけなら絶対に安全というわけでもありません（偽のログイン画面へ誘導する手口などがあります）。知らない相手から届いたmega.nzのリンクはそもそも開かず、開く場合もアドレスバーで正規のドメインか確かめ、ダウンロードしたファイル（特にzipやexeなどの実行形式）はMicrosoft Defenderなどのセキュリティソフトでスキャンしてから開いてください。

サービス側のウイルススキャンを通した受け渡しをしたい場合は、転送特化サービスが向いています。たとえばギガワタスは登録不要のゲスト送信でも自動ウイルススキャンが適用されます（動画・音声・500MB超は対象外。詳細は「ギガワタスのウイルススキャン機能」を参照）。

「パスワード解析」「不正ログイン」への現実的な備え

「MEGAのパスワードは解析されないのか」という不安は、こう整理できます。MEGAではパスワードが暗号鍵の材料そのものであり、ゼロ知識設計のためMEGA側にも平文のパスワードは保存されていません。十分に長く複雑なパスワードを総当たりで破るのも現実的ではありません。実際に危ないのは、他のサービスから漏れたパスワードの使い回しです。どれだけ暗号化が強くても、パスワードそのものが分かってしまえば、正面からログインされてしまいます。

対策として特に重要なのは「使い回しをやめて長いパスワードにする」「2段階認証を必ず有効にする」の2つです。設定の考え方は後述の「MEGAを安全に使う4つの対策」を参照してください。

「MEGAのログインで不審な活動が検出されました」というメールが届いたら

MEGAから見覚えのない通知メールが届いて不安になる人は少なくありません。公式ヘルプは、件名が「MEGA login notice」「MEGA suspicious login activity detected」（日本語環境では「MEGAのログインで不審な活動が検出されました」にあたる通知）のメールや、インストールした覚えのないアプリへのお礼メールが届いた場合、すぐにセッション履歴を確認するよう案内しています。

1. ブラウザでMEGAにログインし、右上のプロフィール画像をクリック
2. 「設定」→「セキュリティ」→「セッション履歴」を開く
3. ログイン中の端末を1つずつ確認し、見覚えのない端末は「ログアウト」する
4. パスワードを変更する
5. 2段階認証（2FA）を有効にする

セッションを個別に選んでログアウトできるのはブラウザ版だけで、モバイルアプリでは「他のセッションをすべて終了」しかできない点に注意してください。また公式は、他サイトから流出したパスワードを使い回す攻撃（クレデンシャルスタッフィング）で侵入された場合、アカウントを即座にロックして通知すると説明しています。ロック後はパスワード変更を求められます。心当たりがあるときは、公式も案内しているHave I Been Pwnedで自分のメールアドレスの流出状況を確認しておくと原因の切り分けが早くなります。確認するのはメールアドレスだけで、パスワードそのものは入力しないでください。出典はアカウント侵害時の公式ヘルプとクレデンシャルスタッフィングの公式ヘルプです。

日本で使うときの3つの注意点

MEGAは暗号化に優れたサービスです。ただし、日本のビジネスや一回限りの大容量送信で使う場合、知っておくべき注意点が3つあります。

注意点①: パスワードとリカバリーキーの両方を失うとデータを取り戻せない

前述のとおり、MEGAはパスワードから鍵を生成します。パスワードを忘れてもリカバリーキーがあれば再設定できますが、公式ヘルプは「パスワードとリカバリーキーの両方を失うと、二度とパスワードを再設定できず、アカウント内のデータへのアクセスを永久に失う」と明記しています。これはセキュリティが強いことの裏返しですが、社内で複数人が使う運用や、引き継ぎが多い業務ではリスクになります。パスワード管理を徹底できる前提でなければ、重要データの保管先としては慎重になるべきです。

注意点②: 契約相手はハンガリー法人・プライバシーマークなし

ここは以前の記載を訂正します。MEGAは「ニュージーランドの会社」として知られてきましたが、現在の公式利用規約では、MEGAクラウド（無料ユーザーを含む）の契約相手はハンガリーのMEGA Privacy Kft（登記番号 Cg. 13-09-239012）と定められています。ニュージーランド法人のMEGA Privacy (NZ) Limitedは、MEGA VPNやMEGA Passを単独の有料プランとして契約した場合の相手方です。紛争の管轄も、ハンガリー法人と契約している場合はハンガリーのBalassagyarmat地方裁判所が専属管轄と規定されています（公式利用規約・2026年8月21日確認）。日本から見ると、トラブル時の法的な手当ては現実的に難しい相手だということです。なおファイルの保管国そのものは、公式情報からは特定できませんでした（公式が説明しているのは、処理を担う関係会社の所在までです）。日本のプライバシーマークも取得していません。日本企業が顧客の個人情報を扱う場合、個人情報保護法では外国にある第三者へのデータ提供に追加の対応が求められるケースがあります。取引先によっては「Pマーク取得サービスでないと不可」「データは国内保管が条件」と指定されることもあります。MEGAは日本語UIに対応していますが、保管国の明示やPマークを前提とする取引では選びにくい場面があります。

注意点③: 「保管」が主目的で、一回送信には設計が重い

MEGAは本質的にクラウドストレージです。ファイルをアップロードして自分の領域に保管し、必要に応じて共有リンクを発行します。MEGAはブラウザだけでも使えますが、一回きりの大容量送信が目的だと、アカウント作成や保管領域の管理が手間に感じられることがあります。受信者にとっても、MEGAのリンクから安全にダウンロードできるか戸惑う場面があります。「相手に一度だけ大きなファイルを渡したい」用途には、転送に特化したサービスのほうが軽快です。

MEGAを安全に使う4つの対策

MEGAを使う場合に、今すぐ実践できる対策を4つ紹介します。

対策①: リカバリーキー（MEGA-回復キー.txt）を必ず保管する

MEGAで最初にやるべきは、リカバリーキーの保管です。公式ヘルプは、リカバリーキーを「MEGAの暗号化処理の過程であなたのパスワードからランダムに生成される、固有の22文字の安全なコード」と説明しています。用途は①パスワードを忘れたときの再設定、②認証アプリを失くしたときの2段階認証の解除、③乗っ取られたときのアカウント保全、の3つに使います。

書き出すと「MEGA-回復キー.txt」のようなテキストファイルとして保存されます。パソコンにこのファイルを見つけても消さないでください。中身は鍵そのものです。公式は「パスワードとリカバリーキーの両方を失うと、二度とパスワードを再設定できず、アカウント内のデータへのアクセスを永久に失う」と明記しています。

書き出し方は、ブラウザなら右上のプロフィール画像から「リカバリーキーをダウンロード」、または「設定」→「セキュリティ」→リカバリーキーの「キーをバックアップ」。デスクトップアプリなら「設定」→「セキュリティ」タブ→「キーをエクスポート」でテキストファイルとして保存できます。保管先は、MEGA自身のクラウドではなく、パスワード管理ツールか印刷してオフラインに。出典はリカバリーキーの公式ヘルプと書き出し手順の公式ヘルプです。

対策②: 2段階認証（2FA）を有効にする

MEGAは全ユーザーで2FAを設定できます。パスワードが漏れても、second factor（2つ目の認証）がなければログインを防げます。重要データを扱うなら必須の設定です。

対策③: クライアントは常に最新へ更新する

2022年の脆弱性パッチは、クライアントソフトの更新で適用されました。古いバージョンを使い続けると、修正の恩恵を受けられないことがあります。アプリやブラウザ拡張は常に最新に保ってください。

対策④: 共有リンクの扱いに注意する（パスワード保護は有料プラン）

注意したいのは、パスワード付きリンク・期限付きリンクはPro・ビジネスなどの有料プランの機能で、無料プランでは設定できない点です（公式セキュリティページで確認）。無料プランの場合は、リンクと一緒に送られる復号鍵を分けて相手に渡す「鍵の別送り」設定でリスクを下げられます。いずれにせよ、リンクだけで誰でもアクセスできる状態は避け、鍵やパスワードは別経路（チャットや電話）で伝えてください。一回送信が主目的なら、保管型のMEGAより、回数制限やIP制限を備えた転送特化サービスの併用も検討する価値があります。

MEGAとギガワタスはどう使い分ける？

MEGAとギガワタスは、似ているようで役割が違います。なお当社の機能は使える段階が分かれており、パスワード保護・ダウンロード回数制限・ワンタイムダウンロードは登録不要のゲストから、IP制限・受取フォルダ・ダウンロード通知は無料会員登録から使えます。MEGAは暗号化に強い「保管型クラウドストレージ」、ギガワタスは日本国内向けの「一回送信に特化した転送サービス」です。下の表で違いを整理しました。

暗号化の思想ではMEGAが一段上です。MEGA側でも中身を見られないゼロ知識方式は、ギガワタスにはない強みで、正当に評価すべき点です。一方で、一回限りの大容量送信や、受取フォルダを使った不特定多数からの受け取り、日本のコンプライアンス対応では、ギガワタスのほうが扱いやすい場面が多くあります。

ギガワタスの弱み（正直に書きます）:

• ゼロ知識のエンドツーエンド暗号化には対応していない。鍵はサービス側が管理する（多くの汎用転送サービスと同じ仕様）
• クラウドに長期保管し続ける用途には向かない（最大111日の転送サービス）
• 知名度では海外で長く使われるMEGAに劣る

こんな人にはMEGAがおすすめです:

• サービス側にも中身を見られたくない、ゼロ知識の暗号化を重視する
• ファイルをクラウドに長期保管し、必要なときに共有したい
• パスワードとリカバリーキーを厳格に管理できる

こんな人にはギガワタスがおすすめです:

• 一回限りの大容量ファイルを、登録不要で手早く送りたい
• ウイルススキャン・IP制限・ダウンロード回数制限を無料で使いたい
• プライバシーマーク取得・国内運営のサービスが必要
• 333GBの大容量を無料で送りたい

よくある質問

まとめ

MEGAは、ゼロ知識のエンドツーエンド暗号化を備えた、暗号化の思想が明確なサービスです。MEGA側でも中身を見られない設計は、多くの汎用ファイル転送サービスにはない強みで、正当に評価できます。

ただし、利用前に以下の点を理解しておく必要があります。

• 2022年にETH Zurichが暗号実装の欠陥を発見。MEGAはパッチ済みだが、研究者は根本的な再設計を推奨している
• パスワードとリカバリーキーの両方を失うと、公式の説明ではデータを永久に復旧できない（リカバリーキーの保管が必須）
• データの保管国は公式に明示されていない。プライバシーマークもなし
• 本質はクラウドストレージで、一回限りの大容量送信には設計が重い

クラウドに長期保管し、ゼロ知識の暗号化を重視するならMEGAは有力な選択肢です。一方、一回限りの大容量ファイルを国内向けに送るだけなら、転送に特化したサービスのほうが手順も管理もシンプルです。ギガワタスなら、登録不要で333GBまで送れて、AES-256暗号化・ウイルススキャン・ダウンロード回数制限が使え、無料会員登録でIP制限などの管理機能も使えます。日本企業が運営し、プライバシーマークも取得しています。

セキュリティ重視のサービス比較は「セキュアファイル転送サービス比較」、暗号化の基礎は「ファイル転送の暗号化」、クラウドストレージ全体の選び方は「クラウドストレージ比較」も参考にしてください。