最終更新日: 2026年5月28日
結論から言うと、WeTransferは通信・保存ともに暗号化された一定水準のサービスです。ただし、自動マルウェアスキャンの適用範囲は公式内で記載が割れています（公式料金ページはUltimate以上の機能として掲載する一方、公式ブログは「every transfer is now automatically scanned＝すべての転送を自動でスキャンする」と説明。2026年8月22日に両方を確認）。ダウンロード回数制限やIPアドレス制限は公開情報では確認できません。運営はオランダの会社で、ISO/IEC 27001認証を公式に明示していますが、日本国内のIPアドレスから送ったファイルの保管先は公式の条件上は米国で、日本のプライバシーマークは登録を確認できませんでした。「WeTransferは危険？」という声の多くは、この日本での使い勝手の差から来ています。
この記事の結論（30秒でわかる）
- 個人で軽いファイル: TLS＋AES-256で暗号化されている。概ね安全（パスワード保護は公式ヘルプに設定手順があるが、無料に適用されるかは公開情報から確定できない）
- 仕事・機密ファイル: 自動マルウェアスキャンの適用範囲は公式内で記載が割れる（料金ページはUltimate以上／公式ブログは全転送）。パスワード保護の適用プラン、DL回数の上限設定・IP制限も公開情報では確定できず
- 日本の法人: 無料は「非商用利用限定」、法人利用はTeams（最低2人〜）が必要。日本国内のIPから送ると保管先は米国・Pマークは登録を確認できず・公式サイトの言語切替に日本語なしもネック（ISO/IEC 27001は公式が明示）
- 代替候補: ギガワタス（333GB・AES-256・Pマーク・無料会員で全機能）
この記事では、ファイル転送サービスの運営者として、WeTransferのセキュリティを正確に整理します。過去に実際に起きた2つの事案も、出典付きで検証しました。
この記事はギガワタス（giga-watasu.jp）の運営ブログです。競合サービスについても事実に基づいて解説しています。
WeTransferのセキュリティ機能を正確に整理する
まず、WeTransferに「ある機能」と「ない機能」を正確に整理します。ネット上には旧仕様の情報も多いため、公式の料金ページと公式ヘルプをもとにまとめました（2026年5月確認、2026年8月20日に新ヘルプセンターで再照合）。
| 項目 | Free（無料） | Starter | Ultimate |
|---|---|---|---|
| 通信の暗号化（TLS） | ○ | ○ | ○ |
| 保存時の暗号化（AES-256） | ○ | ○ | ○ |
| エンドツーエンド暗号化 | △ 明示なし | △ 明示なし | △ 明示なし |
| パスワード保護 | △ 適用プラン不明 | △ 適用プラン不明 | ○ |
| マルウェアスキャン | △ 公式内で記載が割れる | △ 公式内で記載が割れる | ○ |
| ダウンロード回数制限 | △ 記載なし | △ 記載なし | △ 記載なし |
| IPアドレス制限 | △ 記載なし | △ 記載なし | △ 記載なし |
| 最大容量 | 30日で3GB・10回まで | 30日で300GB・10回まで | 1転送あたり最大1TB・転送数は無制限 |
| 保存期間 | 最大3日 | 最大3日 | 期限を任意設定可（ストレージ上限あり） |
| プライバシーマーク | × 取得なし（運営は海外企業） | ||
| サーバー所在地 | 海外（EUまたは米国。運営: WeTransfer B.V.／オランダ） | ||
| 月額料金 | 無料 | US$8前後 | US$23前後 |
料金はUSドル建てで、日本円表記はありません。為替で変動するため、上表は目安としてください（公式料金ページ・2026年5月時点）。
WeTransfer公式の料金ページ。無料プランは「個人の非商用利用限定（For individual, non-commercial use only）」、自動マルウェアスキャンはUltimate以上（Teams・Enterpriseを含む）に記載されている（2026年5月時点）
評価できる点: TLS＋AES-256で暗号化されている
WeTransferは、転送中の通信をTLS、保存中のファイルをAES-256で暗号化しています。AES-256は広く使われている強力な暗号化方式です。公式ヘルプにも「files are encrypted in transit (TLS) and at rest (AES-256)」と明記されています。暗号化の基本は備わっており、この点は正当に評価できます。GDPR（EUの個人情報保護規則）にも準拠しています。パスワード保護は設定手順が公式ヘルプに載っていますが、無料プランが対象かは公開情報から確定できません。パスワードの公式ヘルプにはプラン制限の記載がなく、プラン一覧はUltimateの機能として挙げています（2026年8月20日確認）。
注意点: ゼロ知識型の暗号化ではない
一方で、公式ヘルプはエンドツーエンド暗号化（送信者と受信者の間だけで復号でき、運営側でも中身を見られない方式）の提供有無を明示していません。ただし、利用規約違反の調査や法的義務の履行などの場合には転送の中身をレビューすることがあると明記されており（公式ヘルプ、2026年8月20日確認）、少なくとも通常の転送は「運営側が中身に一切アクセスできない」ゼロ知識型ではありません。これはWeTransfer特有の弱点ではなく、ギガワタスを含む多くの汎用ファイル転送サービスに共通する仕様です。最高水準の機密性が求められる場合は、この前提を理解しておく必要があります。
過去に実際に起きた2つの事案
「WeTransferは安全か」を判断するうえで、過去に実際に起きた2つの事案は無視できません。どちらも海外メディアで広く報じられたものです。
事案①: 2019年、ダウンロードリンクが第三者に誤送信された
2019年6月16〜17日、WeTransferでシステムエラーが発生し、ユーザーがアップロードしたファイルのダウンロードリンクが、本来とは違う第三者に送信される事案が起きました。WeTransferはリンクをブロックし、一部ユーザーにパスワードのリセットを求め、関係当局に報告しています。原因については「特定できていない」と公表されました（BleepingComputer、SecurityWeek）。
運営者の立場で言うと、ファイル転送で本当に怖いのは「外部からの攻撃」よりも、こうした内部システムの不具合による意図しない流出です。URLを知っていれば誰でもダウンロードできる方式では、誤送信がそのまま情報漏洩につながります。
事案②: 2025年、利用規約の「AI学習」文言が炎上し撤回された
2025年7月、WeTransferは新しい利用規約を発表しました。その中に、ユーザーがアップロードしたコンテンツを機械学習モデルの学習に利用できると解釈される文言が含まれていました。クリエイターを中心に強い反発が広がり、WeTransferは2025年7月15日に該当箇所を修正し、機械学習やAIへの言及を削除しています（The Register、Malwarebytes）。
WeTransfer側は「有害コンテンツの検知にAIを使う可能性を想定した表現で、生成AIの学習に使う意図はなかった」と釈明しました。現在の規約からは該当文言が削除されています。ただし、規約は事業者の判断で変更されるものです。海外サービスを使う以上、規約改定のリスクは継続的に確認しておく必要があります。
日本で使うときの3つのセキュリティリスク
WeTransferは危険なサービスではありません。ただし、日本のビジネスで使う場合に知っておくべきリスクが3つあります。
リスク①: 自動マルウェアスキャンの適用範囲が公式内で割れており、容量・回数の制限も厳しい
WeTransferの自動マルウェアスキャンは、公式料金ページのプラン別機能一覧ではUltimate（US$23/月前後）以上（Teams・Enterpriseを含む）の機能として掲載されています。一方で公式ブログの新機能紹介には「every transfer is now automatically scanned with advanced anti-malware technology（すべての転送が自動でアンチマルウェアによりスキャンされるようになった）」と書かれており、公式サイト内で記載が一致しません（2026年8月22日に両方を確認）。無料プランとStarterがスキャン対象に含まれるかを公開情報から確定できないため、当ブログでは「非対応」とは断定しません。確実にスキャンさせたい業務では、受信者側でも自分のPCでスキャンする運用にしておくのが安全です。
さらに、無料プランは30日間で3GBまたは10回までの送信、保存期間は最大3日と制限が厳しめです。不特定多数からファイルを受け取る業務（採用応募、取引先からの納品物受領など）では、スキャンがない点が特に効いてきます。業務で日常的に使うには、有料プランへの移行がほぼ前提になります。
リスク②: 日本国内のIPから送ると保管先は米国・プライバシーマークは確認できず
WeTransferの運営はオランダのWeTransfer B.V.で、2024年にイタリアのBending Spoons社に買収されています。公式ヘルプも「WeTransferはオランダに拠点を置き、GDPRを含む欧州のデータ保護法の下で運営している」と述べています。
ここは以前の記載を訂正します。当ブログではこれまで「サーバーも海外にある」とだけ書いていましたが、公式が説明している保管先はEUと米国の両方です。公式ヘルプに「WeTransferはファイルをEUと米国の両方に保管する。EUのIPアドレスから（匿名プロキシを使わずに）アップロードした場合はEUに保管され、それ以外は米国に保管される」と明記されています（WeTransfer公式ヘルプ、2026年7月17日更新・2026年8月21日確認）。
この条件をそのまま当てはめると、通常の日本国内のIPアドレスから送った場合、保管先は米国になります（公式が日本について名指しで説明しているわけではなく、「EUのIPアドレス以外」という条件から導かれる帰結です）。保管先が米国になると、「データは国内保管が条件」と定めている社内規定・取引先要件は満たしません。海外に保管されること自体が直ちに危険なわけではありませんが、どこに置かれるかを知らずに使うのは避けたほうがよい、という話です。
公平に書いておくべき点もあります。公式ヘルプは「情報セキュリティプログラムをISO/IEC 27001に基づいて運用し、ISO/IEC 27001認証を維持している」と明記しています（2026年8月21日確認）。認証関連の文書はWeTransfer Trust Centerに置かれ、ISO/IEC 27001:2022レポートとペネトレーションテストレポート（2025年5月）が閲覧申請制で提供されています。ただし当ブログは申請が必要な文書までは確認しておらず、認証機関名・登録番号は照合できていません（同じコンプライアンス欄にPCI DSS v4.0.1も掲載されていますが、適用範囲や検証文書は確認していないため、ここでは判断材料に含めません）。
日本のプライバシーマークについては、JIPDEC認定事業者検索で「WeTransfer」「ウィートランスファー」「Bending Spoons」のいずれも登録を確認できませんでした（2026年8月21日照合。自社「グッドヒル」が同じ手順でヒットすることを対照確認しています）。Pマークの登録は確認できませんでしたが、公式ヘルプにはISO/IEC 27001認証の維持が明記されています。従来の記事ではこの点を反映できていなかったため、訂正します。
日本企業が顧客の個人情報を国外の事業者に取り扱わせる場合、契約形態や委託関係に応じて個人情報保護法上の確認が必要になることがあります。取引先によっては「Pマーク取得サービスでないと不可」「データは国内保管が条件」と指定されることもあります。日本国内のIPアドレスから送る限り保管先は米国になるため、「国内保管」を条件とする要件は満たしません。
リスク③: 個人向けプランは「非商用・個人利用限定」、管理機能も乏しい
WeTransferの料金ページでは、無料プランに「For individual, non-commercial use only（個人の非商用利用に限る）」と明記されています。上位のUltimateも「個人利用限定（For individual use only）」とされ、法人で正式に使うには最低2ユーザーからのTeams（US$19/ユーザー/月〜）が必要です。会社の業務で無料プランを使うこと自体が、規約上は想定されていません。
さらに、ダウンロード回数の上限設定とIPアドレス制限は公開情報では確認できません（公式の機能一覧に記載なし・2026年8月22日時点。「非対応」と断定はしません）。なおUltimateのAccess Controlを使えば、受信者を限定したうえで誰がいつダウンロードしたかを追跡できます。Free・StarterでURLが流出した場合は、誰が何回ダウンロードしたかを制御できません。UI・サポートに日本語はありません（公式ヘルプの言語切替は英語・オランダ語・フランス語など8言語／2026年8月22日確認）。
