BitLocker回復キーとは何か、48桁の番号の探し方と回復画面が出る原因

BitLocker回復キーは、WindowsのBitLockerで暗号化されたドライブを、いつもの方法(TPMによる自動のロック解除やPIN)で開けないときに入力する48桁の数字です。Microsoftの文書では正確には「回復パスワード」と呼ばれ、ドライブごと、保護の設定ごとに別の番号が作られます。起動時に青い画面で回復キーの入力を求められた場合は、この番号を別の端末で探して入力すれば、データを消さずに起動できます。

回復キーは、ドライブのすべてのデータを開けられる鍵そのものでもあります。この記事では、回復キーの仕組み、探し方とキーIDの照合、回復画面が出る原因、見つからないときの扱いを個人向けに整理したうえで、組織で回復キーを預かる場合の保管と閲覧権限の考え方までを扱います。記述は執筆時点(2026年10月14日)のMicrosoftの公式文書に基づきます。

BitLockerとデバイスの暗号化の関係#

BitLockerは、Windowsのドライブ全体を暗号化する機能です。暗号化の鍵はPCのTPM(セキュリティチップ)に結び付けられ、起動環境が変わっていなければ利用者が意識しないまま自動でロックが解除されます。PCを盗まれてドライブを取り出されても、鍵がなければ中身を読めないことが目的です。

Windows Homeでも、「デバイスの暗号化」という形でBitLockerが働いていることがあります。Microsoftのサポート文書によると、デバイスの暗号化は対応するPCをMicrosoftアカウントや職場、学校のアカウントで初めてセットアップしたときに自動で有効になり、回復キーはそのアカウントにバックアップされます。ローカルアカウントで使い始めた場合は自動では有効になりません。自分で暗号化した覚えがないのに回復キーを求められるのは、多くがこの自動の暗号化によるものです。有効かどうかは、設定の「プライバシーとセキュリティ」にある「デバイスの暗号化」で確認できます。

あわせて読みたい

暗号化の基礎。共通鍵・公開鍵・ハッシュ・TLSはどう情報を守るのか

回復キーとほかの回復手段の違い#

Microsoftの文書は、ロックされたドライブを開ける手段として次の4つを挙げています。一般の利用者が目にするのは、ほとんどが1つ目の回復パスワードです。

一般には48桁の回復パスワードが「回復キー」と呼ばれており、この記事でも以下は回復パスワードを回復キーと書きます。

48桁は6桁ずつ8つのブロックに分かれています。Microsoftの文書によると、回復画面は各ブロックに含まれるチェック用の数字で入力ミスを検出するため、打ち間違えたブロックはその場で気づけます。

回復キーIDで使う番号を照合する#

回復画面には、48桁の入力欄とあわせて「回復キーID」が表示されます。回復キーIDは、どの回復パスワードを使えばよいかを示す識別子です。1台のPCでも、暗号化をやり直したり保護の設定を変えたりすると回復パスワードが複数できるため、保存先に番号がいくつも並んでいることがあります。

Microsoftのサポート文書は、回復キーIDの先頭8桁を書き留め、保存先で同じIDを持つ番号を選ぶよう案内しています。IDが一致しない番号を入力しても開きません。

回復キーを探す場所#

回復画面が出たら、その画面はそのままにして、スマートフォンや別のPCで次の場所を順に確かめます。

Microsoftアカウントに保存されている場合でも、セットアップのときに家族など別の人のアカウントでサインインしていれば、そちらに保存されています。サポート文書によると、Windows 11 24H2以降では回復画面に、関連するMicrosoftアカウントのヒントが表示されます。職場や学校のアカウントで「BitLockerキーの表示」が出ない場合は、組織が利用者自身による閲覧を制限していることがあるため、IT担当者に依頼します。

Microsoftのサポート文書は「Microsoft サポートには、失われた BitLocker 回復キーを取得、提供、または再作成する機能がありません」と明記しています。回復キーが見つからず、回復画面の原因になった変更も元に戻せない場合は、Windowsの回復オプションでPCをリセットすることになり、ドライブ上のファイルはすべて消えます。

Microsoftのサポートが回復キーを出せない以上、電話やチャットで「回復キーを再発行する」「回復キーなしで解除する」と持ちかける相手には応じないでください。サポート詐欺は、こうした困りごとに付け込んで遠隔操作ソフトの導入や支払いを求めてきます。

あわせて読みたい

偽のウイルス警告で電話させるサポート詐欺の手口と対処

回復画面が出る主な原因#

BitLockerは、起動のたびにファームウェアや起動の構成を測定し、前回と違えば攻撃の可能性があるとみなして回復を求めます。Microsoftの文書が挙げる代表的な原因を、身近な場面に分けて整理します。

ファームウェアの更新のように前もって分かっている変更は、BitLockerを一時停止(中断)してから行えば回復画面を避けられます。一時停止してもドライブは暗号化されたままで、保護を再開すると鍵が新しい環境に結び付け直されます。Microsoftの文書によると、回数を指定せずに一時停止した場合は、次の再起動で自動的に保護が再開されます。

一方、思い当たる変更がないのに回復画面が出た場合は、誰かがPCに物理的に触れて起動環境を変えた可能性も残ります。会社のPCであれば、自分で解除して終わらせず、IT担当者に経緯を伝えてください。Microsoftも、回復の原因を調べることを回復の手順の一部として勧めています。

起動できるうちに確かめておくこと#

回復画面が出てから慌てないために、PCが普通に起動するうちに次を確かめておきます。

あわせて読みたい

セキュリティを重視して選ぶノートパソコンの見どころ

組織で回復キーを預かるときの設計#

会社のPCで回復キーを利用者任せにすると、紛失や退職の際に誰も開けないPCが残ります。Microsoftは、Entra IDに参加した端末はEntra IDへ、Active Directoryに参加した端末はAD DSへ、回復キーを自動でバックアップする構成を推奨しています。グループポリシーには、回復情報をAD DSに保存できるまでBitLockerを有効にしないという設定もあり、預け忘れを防げます。

誰が回復キーを読めるかを絞る#

回復キーを集めて預かるということは、そこを読めればすべてのPCの中身に届くということです。

ADへの委任は、一度設定すると見直されないまま残りがちです。VPN機器やアプリケーションが使うサービスアカウントに、回復キーを読める権限が付いていないかを定期的に棚卸ししてください。2026年10月には、Ivanti Connect Secureのゼロデイで侵入した攻撃者が、機器に保存されたドメインの資格情報を盗み、ADからBitLockerの回復キーとLAPSのパスワードを探していたとVolexityが報告しています。回復キーの保管庫は、攻撃者にとっても狙う価値のある場所です。

あわせて読みたい

Ivanti Connect SecureのCVE-2026-104935がKEV入り、認証回避ゼロデイの影響版と侵害調査

ヘルプデスクで回復キーを渡す手順#

利用者から回復キーを求められたときに、電話の声だけで番号を読み上げると、なりすましに番号を渡すことになりかねません。Microsoftの文書は、ヘルプデスクの手順として次の流れを示しています。

• 依頼してきた人がそのPCの正当な利用者かを確認する
• PC名と、回復画面に表示された回復キーIDを記録する
• ADやEntra IDで、IDが一致する回復パスワードを探す
• 番号を渡す前に、回復が必要になった理由を聞き取る
• 使った回復パスワードをローテーションする

使った回復キーはローテーションする#

一度入力した回復キーは、画面を見られたり、メモが残ったりして他人に知られている可能性があります。Microsoftの文書によると、Entra IDに参加した端末とハイブリッド参加の端末では、自動ローテーションを有効にしておけば、回復パスワードでロックを解除した後に端末が新しい回復パスワードを作り、Entra IDに保存します。IntuneやConfiguration Managerから、個別の端末のローテーションを指示することもできます。ADのみの環境では古い回復パスワードの履歴がコンピューターオブジェクトの下に残り続けるため、使った番号の扱いを運用で決めておきます。

あわせて読みたい

Active Directoryセキュリティの基礎。侵入後の横展開を止める防御設計

まとめ#

BitLocker回復キーは、暗号化されたドライブをいつもの方法で開けないときのための48桁の番号です。回復画面が出たら、回復キーIDの先頭8桁を控えて、Microsoftアカウント、職場や学校のアカウント、印刷物、USBメモリ、IT担当者の順に探します。Microsoftのサポートでも失われた回復キーは取り出せないため、起動できるうちに保存先を確かめ、PCとは別の場所に保管しておくことが一番の備えです。組織では、回復キーを自動で預けたうえで、読める人を絞り、使った番号はローテーションしてください。

この記事は2026年10月14日時点のMicrosoftの公式文書に基づいています。画面の名称や設定項目はWindowsの版や更新で変わることがあるため、操作の前にMicrosoftのサポート文書で最新の手順を確認してください。