クリップボードマネージャーは安全?2026年版・脅威モデルで考える

「コピーしたものが全部ずっと保存されるのは怖い」。これは最もよく聞く懸念で、半分は当たっています。クリップボードマネージャーは、コピーしたものをすべて見ています。それが役割だからです。それが問題になるかどうかは、自分で確認できる4点で決まります。データがどこにあるか、誰が読めるか、どれくらい残るか、そしてアプリが何を記録しないか、です。

この記事では「信頼できるアプリを選びましょう」といった一般論は省き、実際の脅威を一つずつ取り上げて、現実的なリスクを正直に評価します。最後に、すぐ実行できる設定チェックリストも付けました。なお、私たちはMaccyの開発側なので、中立ではありません。そのぶん、Maccy Appにできないことや、他のツールやmacOS標準のほうが優れている点も、きちんと書いていきます。

クリップボードマネージャーは実際に何をしているのか?

macOSにはシステム共通のクリップボードが1つあり、正式名称はペーストボード(pasteboard)です。起動中のどのアプリからでも読み取れます。クリップボードマネージャーは、ペーストボードの変化を定期的にポーリングして確認し(macOSにはペーストボードの変更通知がありません)、新しい項目を履歴に保存して、検索や過去項目のペーストを可能にしています。

ここが要点です。クリップボードマネージャーは、コピーしたデータの保管場所を「もう1か所」増やすものであって、露出そのものを新たに生み出すものではありません。もともとクリップボードは、動いているどのアプリからも読める状態でした。変わるのは「残り続けるかどうか」です。マネージャーがなければ、コピーしたパスワードは次にコピーした時点で消えます。マネージャーがあると、履歴に残りうる。この「残ること」こそが、安全性の本当の論点です。

リスク一覧:実際に何が起こりうるのか

1. パスワードが履歴に残る問題

多くの人が心配するのがこれで、設定する価値が最も高い部分でもあります。パスワードマネージャーの多くは、秘密情報をコピーする際に、nspasteboard.orgで文書化されている規約に沿って、ペーストボードにヒントとなる属性を一緒に書き込みます。たとえば org.nspasteboard.ConcealedType(秘密情報)、org.nspasteboard.TransientType、org.nspasteboard.AutoGeneratedType といったタイプです。この規約を尊重するクリップボードマネージャーは、それらの項目を記録しません。Maccy Macもデフォルトでそうなっています。

弱点は、フラグを付けないものすべてです。プレーンテキストファイルからコピーしたパスワード、ターミナルからコピーしたトークン、Webページに表示されたリカバリーコードなどがそうです。こうしたものはフィルタの手がかりがありません。Maccy Clipboardでは Maccy → 設定 → 無視(Ignore) から、この穴を2つの方法で埋められます。アプリ単位で無視する方法と、正規表現に一致するコピー内容を無視する方法です。たとえば ^sk-[A-Za-z0-9]{20,}$(APIキーのような文字列)は、手始めの例として妥当でしょう。ただし、どんなパターンも保険であって、保証ではありません。

2. アプリ自体が脅威になるケース

クリップボードマネージャーはコピーしたものを何でも読めるので、悪意のあるアプリは、コピペ操作に関してはキーロガーに近い危険度になります。オープンソースを選ぶ最大の理由はここです。自分で、あるいは信頼できる誰かが、アプリがデータをどう扱うかをコードで確認できます。ただし万能ではありません。配布されるバイナリがソースと違う可能性は残るからです。現実的な防御策は地味ですが効果的です。

• 開発元の公式サイトやリポジトリ、Homebrew、Mac App Storeからのみインストールする。
• アプリが署名・公証されているか確認する(spctl --assess --verbose /Applications/Maccy.app で判定結果が表示されます)。
• ネットワーク挙動を検証できるアプリを選ぶ。Little SnitchやLuLuのような監視ツールを使えば、外向きの通信はすべて見えます。ローカルファーストのアプリなら、クリップボードの内容をどこかへ送る理由はないはずです。アップデート確認は通常の例外です 。

3. ディスク上に残る履歴

ローカルに履歴があるということは、Mac上にファイルがあるということです。となると当然、「暗号化されているのか」という疑問が出ます。Maccyは、データストアの上に独自の暗号化レイヤーを追加していません 。守っているのはmacOSの仕組みです。FileVaultがディスク全体を暗号化し、OSのアプリサンドボックスとユーザーごとのファイル権限が、他のアカウントから読める範囲を制限します。すでにあなたのユーザー権限でコードを実行できる攻撃者は、マネージャーの有無にかかわらず、クリップボードを直接読めます。これはデスクトップソフトウェア全般の正直な限界で、私たちのアプリも例外ではありません。

残るデータを減らしたいなら、保持期間を減らしましょう。Maccyの履歴件数は設定で変更でき(デフォルトは数百件程度 )、手動でいつでも、あるいは終了時に消去できます。履歴は小さく短くするほど、狙われにくくなります。

4. クラウド同期

同期は、脅威モデルを最も大きく変える機能です。履歴がMacの外に出た瞬間から、ベンダーのサーバー、その暗号化設計、データ保持ポリシーを信頼することになります。ベンダー自身も中身を読めないエンドツーエンド暗号化をきちんと実装しているアプリもあれば、仕組みを明示していないアプリもあります。Maccyはすべてローカルで完結させています。これは設計上の選択で、代償もあります。他のデバイスには履歴が届かないことです。Appleのユニバーサルクリップボードは、検索可能なアーカイブを残さずに現在の項目だけをデバイス間で受け渡すので、妥当な落としどころだと感じる人も多いでしょう。

5. クリップボードのハイジャック(マネージャーの問題ではないが関連あり)

マネージャーを使っていてもいなくても存在する攻撃パターンが2つあります。1つはアドレスすり替え型マルウェアで、コピーした暗号資産のウォレットアドレスを、気付かないうちに攻撃者のものに置き換えます。もう1つは「ClickFix」型の詐欺で、Webページがこっそりクリップボードに悪意あるコマンドを仕込み、ターミナルに貼り付けさせようとします。どちらも教訓は同じで、貼り付ける前に中身を見ること、特にターミナルでは必ず確認することです。項目の内容をプレビューできるマネージャーなら、貼り付け前に全文が見えるので、この確認に役立ちます。

macOSが求める権限はどう考えるべきか?

Maccyは、最前面のアプリに直接ペーストするためにアクセシビリティの権限を求めます。内部的には、自動ペーストはCmd+Vを擬似的に実行する仕組みで、macOSはこれをアクセシビリティの許可制にしています(システム設定 → プライバシーとセキュリティ → アクセシビリティ)。強力な権限なので、ためらうのは当然です。知っておきたい点は2つあります。許可しなくてもアプリは使えること(項目をクリップボードに置くだけにして、Cmd+Vは自分で押します)、そして許可はいつでも取り消せて、履歴が消えることもないことです。

Appleは、OSレベルでのペーストボードのプライバシー保護も強化しています。最近のmacOSには、ユーザー操作を伴わないペーストボード読み取りをアプリに許すかどうかの制御が含まれています 。お使いのシステムの「プライバシーとセキュリティ」で確認してみてください。Appleの方向性が、黙ってクリップボードを読む行為を見える化する方向にあるのは明らかです。

macOS標準の機能のほうが安全なのか?

macOS Tahoeでは、Spotlightにクリップボード履歴が追加されました。Apple純正で、項目の保持も短時間(Appleの説明では約8時間 )なので、露出する時間は短くなります。代わりに制御の余地は小さく、アプリ別の無視ルールや正規表現フィルタはほとんどありません。履歴が短いぶん、便利さも限られます。機密情報をめったにコピーせず、直近の数件が使えれば十分という人にとっては、リスクの低い良い選択です。一日中コピーして、検索やピン留め、フィルタリングが欲しい人には、専用ツールのほうが調整できる項目が多くなります。ただし、調整項目は使ってこそ意味があります。

どのクリップボードマネージャーにも使える5つのチェック項目

1. 履歴はどこに保存されるか? Macの中だけか、サーバー上か。
2. コードを読めるか? オープンソースなら安全とは限りませんが、コミュニティが問題を見つけやすくなります。
3. ConcealedタイプやTransientタイプを尊重するか? ドキュメントに書かれていなければ、実際に試しましょう。パスワードマネージャーからパスワードをコピーして、履歴を確認します。
4. アプリやパターンを除外できるか? 無視ルールがないと、秘密情報にフラグを付けないアプリには打つ手がありません。
5. 履歴の上限設定と消去が簡単にできるか? 保持期間は自分で決められるべきです。

Maccyの10分でできる安全設定チェックリスト

• FileVaultをオンにする(システム設定 → プライバシーとセキュリティ → FileVault)。ローカルに保存されるあらゆるデータに対して、最も効果の大きい対策です。
• パスワードマネージャーで動作確認する。 パスワードをコピーしてMaccyを開き、記録されていないことを確認します。記録されていたら、設定 → 無視 → アプリケーションにそのアプリを追加してください。
• 無視するアプリを追加する。 秘密情報を扱うのにフラグを付けないもの(認証情報を扱うターミナル、シークレットの保管庫、銀行系アプリなど)が対象です。
• 正規表現の無視パターンを追加する。 日常的に扱うトークンやキーの形式に合わせます。
• 履歴の件数を実際に使う分まで減らす。 件数が少ないほど、露出も小さくなります。
• 機密性の高い作業の後は履歴を消去し、そのあと無害なテキストを何かコピーして、現在のクリップボードもきれいにしておく。
• 権限を数か月に一度見直す。 場所は「プライバシーとセキュリティ」です。

正直な限界

どんな設定をしても、クリップボードマネージャーのリスクをゼロにはできません。すでにあなたのユーザー権限で動いている攻撃者は、どのみち現在のクリップボードを読めます。正規表現フィルタは、変わった形式の秘密情報を取りこぼします。機密データにフラグを付けないアプリは、除外しない限りどの履歴にも漏れ込みます。そしてローカルファーストの設計は、デバイス間の履歴共有といった利便性と引き換えに、攻撃対象を小さくしています。私たちは、ほとんどの人にとってこれは妥当なトレードオフだと考えていますが、それを理解したうえで選んでほしいと思っています。

結論

2026年にクリップボードマネージャーを安全に使う方法は、広い権限を持つあらゆるツールを安全に使う方法と同じです。中身を検証できるものを選び、データはローカルに置き、記録する内容をフィルタし、記憶する期間を短くすること。そうすれば、現実的なリスクは小さく、得られる生産性は大きくなります。逆に、クローズドソースのアプリに、よく知らないクラウド同期、何年分もの無フィルタの履歴という組み合わせで漫然と使えば、それは負債になります。

ローカルファーストのアプローチを試してみたいなら、Maccyは無料のオープンソースなので、何をしているのかをコードで確認できます。最後に1つ質問です。あなたのクリップボード履歴に実際に何が入っているか、最後に見たのはいつですか?