Maccyは安全?2026年版セキュリティレビュー

クイックアンサー:はい、ほとんどのMacユーザーにとってMaccyは安全に使えます。オープンソースで、クリップボード履歴はローカルに保存され、クラウド同期やアカウントを使わない設計です。本当のリスクはマルウェアではなく、クリップボードマネージャーという種類のツールそのものにあります。コピーした内容が、暗号化されないままディスク上に残る点です。無視リストを適切に設定すれば、リスクは小さく、十分に管理できます。

クリップボードマネージャーにおける「安全」とは?

クリップボードマネージャーは、あなたがコピーするものすべてを目にします。パスワード、APIキー、銀行情報、プライベートなメッセージ。だから「安全かどうか」は、実際には次の4つの別々の問いに分かれます。

1. コードと、それを配布している人を信頼できるか?
2. Macの外に何かが送信されていないか?
3. アプリは何を、どこに保存するのか?
4. 取り込まれる内容を、自分で制限できるか?

以下、この順番に見ていきます。

Maccyのコードと開発者は信頼できる?

Maccy AppはGitHub上でMITライセンスのもとに公開されているオープンソースプロジェクトで、Alex Rodionov(p0deje)氏が作成・メンテナンスしています[現在のメンテナーを要確認]。オープンソースだから安全、とは限りません。ただ、信頼のモデルは変わります。あなた自身、あるいはセキュリティ研究者がアプリの動作をソースで確認でき、変更は公開されたコミット履歴に残るからです。

入手方法は主に2つです。

• GitHubのReleasesまたはHomebrew(brew install maccy):無料で、公開プロジェクトからビルドされたものです。
• Mac App Store:開発を支援する有料版です[現在の価格と機能差の有無を要確認]。

どちらを選ぶにせよ、公式リポジトリかApp Storeのページからインストールしてください。サードパーティのダウンロードサイトは避けましょう。人気のMacユーティリティを装った偽の「無料ダウンロード」ページのほうが、アプリ本体よりはるかに現実的な脅威です。

Maccyはクリップボードの内容を外部に送信する?

Maccy Macはローカルファーストなツールとして作られています。アカウントの仕組みもクラウド同期もないので、履歴がMacの外に出ない設計です。とはいえ、鵜呑みにする必要はありません。自分で検証できます。

• 外向きの通信を確認する:Little SnitchやLuLuなどのファイアウォールを入れ、普段どおりMaccyを使ってみてください。クリップボードの内容に関係する通信は出てこないはずです。
• ソースのネットワーク呼び出しを読む:想定されるのは、App Store版以外でのアップデート確認です[要確認:SparkleなのかほかのUpdaterなのかを確認]。

アップデート確認はクリップボードの持ち出しとは別物ですが、慎重に見る人ほど、その違いを理解して自分で確かめておくべきです。

Maccyは何を、どこに保存する?

Maccy Clipboardは、ユーザーアカウント内のデータ領域にあるローカルのデータベースに履歴を保存します。正確なパスや保存形式はメジャーバージョンごとに変わってきたため、お使いのMacで現在の場所を確認してください[最新版のパスを要確認]。ただ、パスよりも大事な事実が2つあります。

• Maccy自体は暗号化しません。ディスク上にあるものは、あなたの権限で動くあらゆるプロセスから読めると考えてください。FileVaultが守るのは、Macの電源が切れているときやロック中だけです。すでにセッション内で動いているプロセスには効きません。
• 取り込んだものは保存されます。クリップボードに届き、無視されなかったものは、すべて履歴に残る可能性があります。

これはほぼすべてのクリップボードマネージャーに当てはまることで、リスクの正直な核心です。

Maccyはパスワードをどう扱う?

行儀のよいパスワードマネージャーは、クリップボードへの書き込みを「concealed(秘匿)」や「transient(一時的)」としてマークし、クリップボードツールに無視してもらえるようにします。Maccyもこの慣例に対応しています[要確認:対応しているペーストボードタイプ。例:org.nspasteboard.ConcealedType、TransientType]。実際のところ、主要なパスワードマネージャーの多くは履歴に漏れません。ただし、思い込みは禁物です。必ず試してください。

1. パスワードマネージャーからパスワードをコピーする。
2. ホットキーでMaccyを開く。
3. パスワードが表示されたら、そのアプリをMaccyの無視リストに追加する。

Webサイト、ターミナル、メモアプリからコピーしたテキストにはマークが付かないため、Maccyはそのまま記録します。

Maccyに必要な権限は?

権限	必要な理由	許可した場合のリスク
アクセシビリティ	選択した項目を、前面のアプリに直接ペーストするため	できることが広い(キー入力を送信できる)ので、信頼できるソフトにだけ許可しましょう。許可を外すと、Maccyはコピーのみの動作になります[挙動を要確認]。
ネットワーク(外向き)	直接ダウンロード版でのアップデート確認[要確認]	低い。ファイアウォールでブロックもできます。
フルディスクアクセス	通常の利用には不要[要確認]	許可しないでください。

最近のmacOSでは、システム側にもクリップボードアクセスに関するプライバシー制御が追加されており、アプリがバックグラウンドでペーストボードを読むと確認が表示されることがあります[要確認:対象のmacOSバージョンと正確な表示文言]。Maccyについてこの確認が出ても、それはOSが役目を果たしているだけで、不審な動作の兆候ではありません。

現実的なリスクは?

リスク	可能性	対処
機密テキストが履歴に残る	中程度	機密性の高いアプリを無視する。定期的に履歴を消す。「終了時に消去」を使う。
ほかのプロセスやユーザーに履歴ファイルを読まれる	1ユーザーでFileVault有効のMacなら低い	Macを最新の状態に保つ。信頼できないソフトを実行しない。
ポップアップののぞき見	状況による	画面共有の前に履歴を消去する。
偽物・改ざんされたダウンロード	現実にあるが、避けられる	公式のGitHubリポジトリ、Homebrew、App Storeからのみインストールする。
Maccy自体が悪意あるものである	非常に低い(オープンソースで履歴も公開)	確実にしたいなら、ソースに目を通すか通信を監視する。

Maccyを堅牢にする設定手順

1. Maccy → 設定 → 無視を開き、パスワードマネージャー、銀行系アプリ、機密情報を扱うツールを追加する[最新版でのメニュー名を要確認]。
2. 履歴の保存件数を減らし、ディスクに残る量を抑える。
3. 履歴をセッションとともに終わらせたいなら、終了時の消去を有効にする[オプション名を要確認]。
4. 画面共有やデモの前に履歴を消去する。
5. システム設定でFileVaultを有効にし、データベースを保存時に暗号化する。
6. 外向き通信をゼロにしたいなら、ファイアウォールでアップデートやネットワークを制限する。

Maccyとクラウド同期型クリップボードマネージャーの違い

決定的な違いは、脅威モデルです。クラウド同期型のマネージャーは、クリップボードの内容を他社のサーバー経由で運びます。つまり、信頼すべき対象として、企業、アカウント、ネットワーク経路が加わります。Maccyはそうした層を取り除いているので、残るリスクはローカルのもの、つまりディスクと自分自身の使い方だけです。複数のデバイス間で同期したい場合、これは本物のトレードオフになります。Maccyにその機能を求めることはできません。

結論

コピーするものすべてを見るツールとして、Maccyの設計は、考えうる限りかなり保守的です。コードは公開、アカウントなし、同期なし。ただし、機密情報をそもそもコピーしてしまうことまでは防げません。履歴は、机の上のメモ帳のようなものだと考えてください。便利ですが、短く保ち、機密情報からは遠ざけておくのが一番です。

ご自分のパスワードマネージャーでMaccyを試した方は、どのアプリが無視リストに入りましたか?