こんにちは！現場のシステム開発で日夜、自動化やレガシーシステムの維持に奮闘されている皆さん、お疲れ様です。
VBScriptを触っていると、ふとこんな不安が頭をよぎることはありませんか？
「社内用の自動化スクリプトの中に、データベースの接続パスワードや管理者アカウントがそのままベタ書き（平文）されている……これ、誰かに見られたら一発レッドカードじゃないか？」
そうなんです。VBScriptはテキストファイルなので、メモ帳で開けば誰でも中身が丸見えになってしまいます。便利で手軽な反面、セキュリティ面では「丸裸」の状態なのが現実です。
今回は、そんなVBScriptの弱点をカバーし、コードを難読化して保護する「VBE (VBScript Encoded) 化」の技術と、その実務での正しい向き合い方について、徹底的に解説していきます。
ここをクリアすれば、スクリプトのセキュリティに対するモヤモヤがすっきり解消されますよ。さあ、一緒に扉を開けていきましょう！
—
1. なぜVBScriptの「平文コード」は危険なのか？
私たちが普段何気なく書いている `.vbs` ファイルは、純粋なテキストデータです。
例えば、次のようなコードがあったとします。
‘ 【危険な例】パスワードが丸見えのVBScript
Option Explicit
Dim objConnection
Set objConnection = CreateObject(“ADODB.Connection”)
‘ 接続文字列にパスワードが平文で書かれている！
objConnection.Open “Provider=SQLOLEDB;Data Source=ServerName;Initial Catalog=DBName;User ID=sa;Password=SuperSecretPassword123”
WScript.Echo “データベースに接続しました！”
objConnection.Close
Set objConnection = Nothing
このファイルをオフィスの共有フォルダに置いたり、チャットツールで共有したりしたらどうなるでしょう？ メモ帳で開くだけで、誰でも `SuperSecretPassword123` というパスワードを盗み見ることができます。
「うちの会社はみんな善人だから大丈夫」なんて甘い考えは、セキュリティの世界では通用しません。退職者や外部のベンダー、あるいはマルウェアによる情報窃取のリスクを常に考慮する必要があります。
そこで登場するのが、今回主役である VBE化（スクリプトのエンコード） です。
—
2. 標準ツール「screnc.exe」でVBScriptをVBE化する手順
実は、Windowsには標準でVBScriptを難読化（エンコード）するツールが備わっています。それが `screnc.exe`（Microsoft Script Encoder） です。
特別なソフトをインストールしなくても、コマンドプロンプトを叩くだけで一瞬でコードを読めなくしてくれます。実際にやってみましょう。
手順①：難読化したいスクリプトを用意する
先ほどの危険なコードを `app.vbs` という名前で保存しておきます。
手順②：コマンドプロンプトからスクリプトエンコーダを実行する
コマンドプロンプト（またはPowerShell）を開き、以下のコマンドを実行します。
screnc “C:\Work\app.vbs” “C:\Work\app.vbe”
たったこれだけです！実行すると、指定した出力先に `app.vbe` というファイルが生成されます。
生成されたVBEファイルの中身を見てみよう
生成された `app.vbe` をメモ帳で開いてみると……驚くべきことに、次のような暗号のような文字列に変換されています。
@~^FAAAAA==@#@&+W.DmwD~r.Y{Kx.D~r.Y^#~p,lU+DsO[+D+sO[+D+sO[+D+sO[+D+sO[+D:,,q@+WxsYhYx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{Kx.D~r.Y{K|~
これなら、一見しただけでは中身のパスワードやロジックを読み取ることはできません。
しかも、WindowsのWSH（Windows Script Host）は、`.vbe` という拡張子を自動で認識し、平文の `.vbs` とまったく同じように実行してくれます。
—
3. 知っておくべき「VBE化の限界」（ここが重要！）
さて、ここからがチーフアーキテクトとしての核心のお話です。
「よし、これでパスワードも丸見えにならないし、完璧だ！」と思ったあなた。
ちょっと待ってください。 ここを見誤ると、思わぬセキュリティ事故やトラブルに繋がります。
VBE化（Script Encoder）の本質は、高度な「暗号化（Encryption）」ではなく、あくまで「難読化（Obfuscation）」にすぎません。以下の限界をしっかりと心に留めておいてください。
① 復元ツール（Decompiler）が存在する
VBEのアルゴリズムは古くから解析されており、ネット上には「VBEDecoder」のような逆コンパイルツール（復元ツール）や、Web上で一発で元の `.vbs` に戻してくれるサービスが存在します。
つまり、「ちょっと詳しい人が本気を出せば、数分で元の平文に戻せる」ということです。
② WSH自身が実行時に復号している
WindowsでVBEを実行する際、WSHのエンジンは内部で自動的にVBEを復号してメモリ上に展開し、実行しています。つまり、OSが解読できる仕組みである以上、完全な機密性を保つことは理論的に不可能なのです。
—
4. 実務における「本当に正しいセキュリティ運用法」
では、実務の現場ではVBEやパスワードの管理をどう行えばよいのでしょうか？
プロのエンジニアが実践している、安全な設計のベストプラクティスを伝授します。
運用ルール 1：「VBE化」は覗き見防止と知的財産保護と割り切る
VBE化の正しい使い道は、「一般のユーザーが誤って中身を見て書き換えてしまうのを防ぐこと」や、「自作のスクリプトロジックが簡単にコピーされるのを防ぐこと（簡易的な知的財産保護）」です。
「絶対に破られない強固な暗号」として過信してはいけません。
運用ルール 2：スクリプト内に機密情報を直書きしない（外部ファイル化）
VBE化する・しないに関わらず、パスワードやAPIキーなどの機密情報をスクリプトのソースコード内に埋め込むこと自体がアンチパターンです。
安全なシステムを構築する場合、次のようなアプローチをとります。
- 設定ファイルを分ける: パスワードは暗号化した別ファイル（またはアクセス権を厳しく制限したINIファイル・環境変数）に逃がし、実行時に読み込ませる。
- Windows資格情報マネージャーを使う: スクリプト内に平文を書くのではなく、Windowsに安全に保存された資格情報を呼び出す。
【参考】設定ファイル（config.txt）を読み込む堅牢なVBScriptの例
Option Explicit
Dim fso, configPath, ts, password
Set fso = CreateObject(“Scripting.FileSystemObject”)
‘ スクリプトと同じ場所にある設定ファイルから機密情報を読み込む
configPath = fso.GetParentFolderName(WScript.ScriptFullName) & “\config.ini”
If fso.FileExists(configPath) Then
Set ts = fso.OpenTextFile(configPath, 1) ‘ 読み取り専用
password = ts.ReadLine ‘ 1行目にパスワードが書かれている想定
ts.Close
Set ts = Nothing
Else
WScript.Echo “エラー: 設定ファイルが見つかりません。”
WScript.Quit
End If
‘ 読み込んだ変数を使って処理を行う（パスワードがコード内に露出しない）
WScript.Echo “安全に読み込んだパスワードで処理を実行します。”
Set fso = Nothing
※この `config.ini` 自体にも、WindowsのNTFSアクセス権を設定して「Administratorsと実行ユーザー以外は読み書き不可」にするのが鉄則です。
—
まとめ
今回は、VBScriptの平文コードを保護するVBE化の手順と、その裏にあるセキュリティの限界、そして実務での正しい運用法について解説しました。
- VBE化（`screnc.exe`） は、コマンド一つでコードを難読化でき、うっかり見られるリスクを防ぐのに非常に手軽で便利。
- しかし、VBEはあくまで「難読化」であり、復元ツールを使えば中身は簡単に暴かれる。
- 本当に機密を守りたいなら、コード内にパスワードを直書きせず、アクセス権を絞った外部ファイルや環境変数、資格情報マネージャーを併用するのがプロの鉄則。
「ここをクリアすれば、VBScriptの基本はバッチリですよ！」
ツールの特性を正しく理解し、安全で堅牢な自動化スクリプトを組めるエンジニアを目指していきましょう。日々の開発業務、応援しています！
