Secure Boot証明書がFalseの場合は危険？確認方法とデータ保護の対策

PowerShellでSecure Boot証明書を確認したときに「False」と表示されると、「このPCは危険なのか」「2026年以降に起動しなくなるのか」と不安になる方は少なくありません。

結論から言うと、Secure Boot証明書がFalseと表示されても、それだけでPCがすぐに起動しなくなるとは限りません。Falseは、Windows UEFI CA 2023など新しいSecure Boot関連証明書がまだ確認できない可能性を示すものであり、ウイルス感染や故障を直接意味するものではありません。

ただし、2011年版のSecure Boot関連証明書は2026年にかけて順次期限を迎えるため、今後のWindows Boot Manager更新や起動前セキュリティ更新を正しく受けるには、Windows UpdateやPCメーカーのファームウェア更新を確認しておく必要があります。

特に注意したいのは、False表示を見て焦ってBIOS/UEFI設定を変更したり、BitLocker回復キーを確認しないままSecure Bootを切り替えたりすることです。設定変更の仕方によっては、Windowsが起動しない、回復キーを求められる、リカバリメディアが使えないといったトラブルにつながる場合があります。

Part1：Secure Boot証明書のFalseとは？すぐに危険という意味ではない

Secure Bootは、PCの起動時に信頼できるソフトウェアだけを実行するための仕組みです。Windowsの起動前に不正なブートローダーや改ざんされた起動プログラムが動かないよう、UEFI側に保存された証明書データベースを使って確認します。

この証明書をPowerShellなどで確認したときに「False」と表示される場合があります。ただし、Falseは「PCが壊れている」「すでに危険な状態」「明日からWindowsが起動しない」という意味ではありません。

Part1-1：Falseが示す主な意味

一般的には、PowerShellの確認結果がFalseになる場合、Secure BootのDBに新しいWindows UEFI CA 2023が確認できていない可能性があります。Microsoftは2026年に向けて、2011年版のSecure Boot関連証明書から2023年版証明書への移行を進めています。

Microsoftの説明では、2023年版の証明書はWindows Updateを通じて段階的に配信されます。そのため、Falseが出ても、更新の配信タイミングやPCメーカー側のファームウェア対応状況によって、まだ反映されていないだけのケースもあります。

Part1-2：Windows UEFI CA 2023とKEK 2023の違い

Secure Boot関連の証明書には、DB、DBX、KEKなど複数の要素が関係します。ただし、一般ユーザーが最初からすべてを理解する必要はありません。まずは「Windows Updateを最新にしているか」「Secure Bootが有効か」「Windows UEFI CA 2023が確認できるか」の3点を見れば十分です。

Microsoftは、2026年4月以降の更新でPowerShellのGet-SecureBootUEFIに-Decodedパラメータを追加し、証明書情報を読みやすく確認できるようにしています。たとえばDB内にCN=Windows UEFI CA 2023が表示されれば、新しいWindows用証明書を確認しやすくなります。

Part2：2026年のSecure Boot証明書問題で何が起きるのか

2026年のSecure Boot証明書問題は、「期限が来た瞬間にすべてのWindows PCが起動しなくなる」という単純な話ではありません。実際には、古い2011年版の証明書が期限を迎え、今後のBoot ManagerやSecure Boot関連の保護更新を受けるために、2023年版証明書へ移行する必要があるという問題です。

Part2-1：2011年版証明書と2023年版証明書

PC Watchの解説でも触れられているように、従来のWindows PCではMicrosoft Corporation KEK CA 2011やMicrosoft Windows Production PCA 2011などの証明書がSecure Bootの信頼チェーンに関わっていました。これらは2026年に期限を迎えるため、Windows UEFI CA 2023などの新しい証明書への移行が進められています。

MicrosoftのWindows Securityアプリの説明でも、2011年に発行されたMicrosoft Secure Boot証明書が2026年に期限を迎え、2023年版証明書がWindows Update経由で自動配信されると説明されています。

Part2-2：どのPCで注意が必要になりやすいか

2026年のSecure Boot証明書問題は、すべてのPCで同じように起きるものではありません。Windows UpdateやPCメーカーの対応状況、起動方式、BitLockerの有無によって注意点が変わります。

Falseが出たからといって、すぐ起動不能になるわけではありません。ただし、次のような条件が重なると、起動トラブルのリスクが上がります。

• Windows Boot Manager側は新しい署名に更新されたのに、UEFI側のDBが古いままになっている
• Secure Bootキーを初期化したり、DBを手動でクリアしたりした
• 古いリカバリメディアや特殊なブート環境を使っている
• Legacy BIOS、CSM、MBR、デュアルブートなど、通常とは異なる起動構成になっている
• BitLockerが有効な状態で起動設定を変更した

つまり、重要なのは「Falseを見たら何でも手動で直す」ことではなく、現在の起動方式と更新状態を確認し、リスクの高い操作を避けながら対応することです。

Part3：まず確認すべき3つの項目

Secure Boot証明書がFalseと表示された場合は、いきなりBIOS画面を開くのではなく、Windows上で確認できる項目から順番に見ていきます。

Part3-1：msinfo32でBIOSモードとSecure Bootを確認する

まずはWindowsの「システム情報」で、PCがUEFI環境で起動しているか、Secure Bootが有効かを確認します。

1. Windowsキー + Rを押します。
2. msinfo32と入力してEnterキーを押します。
3. 「BIOS モード」と「セキュア ブートの状態」を確認します。

Part3-2：Windows セキュリティで証明書更新状態を確認する

Windows セキュリティアプリでは、Secure Bootの状態や証明書更新状態に関する表示が出る場合があります。Microsoftによると、2026年4月以降、Windows セキュリティの「デバイス セキュリティ」内でSecure Boot証明書更新の状態を確認できるようになります。

表示の色やメッセージは環境によって異なりますが、Microsoftは次のような考え方を示しています。

緑のチェックだけでは証明書更新済みとは限らない点にも注意が必要です。Microsoftは、証明書更新が完了している場合の文言もあわせて確認するよう説明しています。

Part3-3：PowerShellでWindows UEFI CA 2023を確認する

以下は証明書の状態を確認するための読み取りコマンドです。設定を書き換えるものではありませんが、PowerShellは管理者権限で慎重に実行してください。操作に不安がある場合は、Windows Update、Windows セキュリティ、PCメーカーの案内を優先しましょう。

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

今後のWindows更新では、Secure Boot関連の証明書情報をより確認しやすくする改善が案内されています。環境によっては、PowerShellでDB内の証明書情報を読みやすく表示できる場合があります。

Get-SecureBootUEFI -Name db -Decoded

出力にCN=Windows UEFI CA 2023が含まれていれば、新しいWindows用証明書を確認しやすくなります。ただし、利用できるパラメータや表示内容はWindowsの更新状態によって異なるため、コマンドが使えない場合は無理に進めず、Windows UpdateとPCメーカーの案内を確認してください。

Part4：False・True・エラーが出た場合の意味

PowerShellの結果は、TrueかFalseだけで短く表示されるため不安になりやすい部分です。重要なのは、結果を単独で判断せず、Secure Bootの状態、Windows Update、BIOS/UEFI構成とあわせて見ることです。

Part4-1：結果別の判断表

Falseが出ても、PCが通常どおり起動し、Windows Updateも受け取れているなら、まずは更新状態を整えて再確認するのが安全です。

Part4-2：Falseの場合にやってはいけないこと

Falseを見て不安になっても、いきなりBIOS/UEFI設定を触るのは避けてください。Secure BootはWindows起動前の信頼チェーンに関わるため、操作によってはWindowsの起動、BitLocker、回復メディアの利用に影響することがあります。

Falseが出ても、PCが通常どおり起動し、Windows Updateも受け取れている場合は、まず更新状態を整えて再確認するのが安全です。強い操作は、MicrosoftやPCメーカーの案内を確認してから行いましょう。

Part5：PCが起動しない前にデータを守る準備

Secure Boot証明書のFalse自体は、個人ファイルを直接削除する原因ではありません。ただし、Secure Boot、BIOS/UEFI、BitLocker、起動修復に関わる操作を誤ると、結果としてWindowsが起動しなくなったり、保存データへアクセスできなくなったりすることがあります。

そのため、証明書や起動設定を確認する前に、重要データの退避、BitLocker回復キーの確認、リカバリメディアの準備を済ませておくと安心です。

Part5-1：更新・BIOS操作前に退避すべきデータ

次のようなデータは、外付けHDD、USBメモリ、クラウドストレージなどへ事前に退避しておくと安心です。

• 仕事用ドキュメント、請求書、会計データ
• 写真、動画、音声ファイル
• デスクトップやダウンロードフォルダ内の未整理ファイル
• ブラウザのブックマークや認証情報のバックアップ
• アプリ固有のプロジェクトファイルや設定ファイル

特にWindows 10の古いPCや、長くBIOS/UEFI更新をしていないPCでは、更新前にバックアップを取っておく価値が高くなります。

Part5-2：BitLocker回復キーとリカバリメディアの確認

BitLockerが有効なPCでは、起動環境の変化により回復キーを求められることがあります。Secure BootやUEFI設定を変更する前に、Microsoftアカウント、職場や学校の管理画面、印刷・保存済みの回復キーを確認してください。

また、古いリカバリメディアを使っている場合、Secure Boot証明書の世代差によって起動や回復に影響する可能性があります。メーカーが新しい回復メディアやBIOS更新手順を案内している場合は、それに従うのが安全です。

Part6：もしWindowsが起動しなくなった場合、データは消える？

Secure Boot関連の操作後やWindows Update後にPCが起動しなくなると、「中のデータも消えたのでは」と感じるかもしれません。しかし、Windowsが起動しないことと、保存データが完全に消えたことは同じではありません。

Part6-1：起動しない状態でもデータが残っている可能性

Windows Boot Manager、起動構成、システムファイル、ドライバー、更新プログラムに問題がある場合、Windowsは起動できなくても、SSDやHDD内のユーザーデータは残っていることがあります。

たとえば、自動修復ループに入った場合でも、ドキュメント、写真、動画、デスクトップ上のファイルなどがストレージ内に残っているケースはあります。大切なのは、データが必要な状態で初期化や再インストールを急がないことです。

Part6-2：初期化や修復コマンドを急がない理由

起動しないPCを直そうとして、初期化、再インストール、CHKDSK、bootrecなどを繰り返すと、状態によってはデータの上書きやストレージへの負荷につながります。

異音、極端な遅さ、フリーズ、SSD/HDDが認識されない状態がある場合は、通電や修復操作を続けず、データ保護を優先してください。

Part7：起動しないPCからデータを取り出す方法

PCが起動しない場合でも、状況によってデータを取り出せる可能性があります。低リスクな方法から順番に確認し、物理障害が疑われる場合は無理に作業を続けないことが重要です。

Part7-1：セーフモードで起動できる場合

セーフモードで起動できる場合は、Windowsの最小構成では動作している可能性があります。まず必要なファイルを外付けHDD、USBメモリ、クラウドストレージなどへコピーしてください。

1. 回復環境で「詳細オプション」を開きます。
2. 「トラブルシューティング」→「詳細オプション」→「スタートアップ設定」を選びます。
3. 再起動後、4またはF4でセーフモードを選択します。
4. 起動できたら、修復作業より先に重要データを退避します。

データ退避後に、直近の更新、ドライバー、周辺機器、起動設定を確認すると安全です。

Part7-2：別PCでストレージを確認できる場合

デスクトップPCや一部のノートPCでは、内蔵SSD/HDDを取り外し、外付けケースや変換アダプターを使って別PCから確認できる場合があります。別PCでストレージが認識され、フォルダが開ける場合は、必要なデータを先にコピーしてください。

ただし、BitLockerで暗号化されているドライブは回復キーが必要になる場合があります。また、分解で保証が切れる、ストレージを傷つける、静電気で故障するなどのリスクもあるため、不安がある場合は無理に進めないでください。

Part7-3：起動しないPCから重要データを復元したい場合

Secure Boot証明書の確認やWindows Updateそのものは、通常であれば保存データを直接削除する作業ではありません。とはいえ、BIOS/UEFI設定の変更、BitLocker、起動修復、初期化、再インストールなどが重なると、必要なファイルにアクセスできなくなることがあります。

たとえば、「自動修復を何度も試した後にデスクトップのファイルが見えなくなった」「別PCにSSDを接続したが必要なフォルダが見つからない」「誤って初期化やフォーマットをしてしまった」といった場合は、データ復元ソフトを検討できます。

ストレージ自体がPCに認識されているのに、必要なファイルが見えない、誤って削除した、フォーマットしてしまった、アクセス不能になったという場合は、Wondershare Recoveritで復元できる可能性があります。

Recoverit（リカバリット）は、削除・フォーマット・アクセス不能などで見えなくなった写真、動画、ドキュメント、音声ファイルなどをスキャンし、復元できる可能性のあるデータをプレビューしながら確認できるデータ復元ソフトです。専門業者へ相談する前に、まず自分で復元可能なファイルがあるかを確認したい場合に役立ちます。

ただし、RecoveritはSecure Boot証明書そのものを修復するツールではありません。BIOS/UEFIの証明書更新、Secure Boot設定、Windows Boot Managerの修復、物理的に壊れたHDD/SSDの修理は対象外です。ストレージが認識され、データ復元を試せる状態であることが前提になります。

以下は、「Recoverit」で消えたデータを復旧・復元する手順です。

ステップ1 復元場所を選択します。

パソコンで「Recoverit」を起動すると、左側のサイドバーにファイル保存場所が表示されます。ここでは、データが消えた可能性のあるドライブやフォルダを選択してください。

スキャンしたい場所をクリックすると、選択した場所のスキャンが始まります。

ステップ2 消えたデータをスキャンします。

選択したハードディスクやフォルダのスキャンが開始されます。スキャン中でも検出されたファイルを確認できますが、必要なデータをより探しやすくするため、スキャン完了まで待つことをおすすめします。

サイズの大きいファイルや大量のデータが保存されている場合は、スキャンに時間がかかることがあります。

ステップ3 消えたデータをプレビューして復元します。

スキャン後、失われたファイルやフォルダがあるかをプレビューで確認します。復元したいファイルにチェックを入れ、「復元する」をクリックすれば完了です。復元先は、元のドライブではなく外付けHDDなど別の保存先を選ぶと、上書きリスクを避けやすくなります。

Part7-4：物理障害が疑われる場合

HDDから異音がする、SSD/HDDがまったく認識されない、PCが極端に遅い、コピー中に何度も止まるといった場合は、物理障害の可能性があります。この状態で通電やスキャンを繰り返すと、状態が悪化するおそれがあります。

物理障害が疑われる場合は、自力での復元ソフト利用よりも、専門業者への相談を検討してください。特に仕事用データや一度しかない写真・動画がある場合は、無理に操作を続けないことが大切です。

まとめ：Falseだけで慌てず、確認とデータ保護を先に進める

Secure Boot証明書がFalseと表示されても、それだけでPCがすぐ危険になったり、直ちに起動できなくなったりするわけではありません。まずはWindows Update、msinfo32、Windows セキュリティ、PowerShellの確認結果を順番に見て、現在の状態を整理しましょう。

一方で、Secure BootやUEFIはWindowsの起動前に関わる重要な仕組みです。BitLocker回復キーを確認しないまま設定を変更したり、必要なデータがある状態で初期化や再インストールを急いだりするのは避けてください。

もしすでにWindowsが起動しない、自動修復ループになる、ファイルが見えないといった状態になっている場合は、修復より先にデータ保護を考えることが重要です。ストレージが認識される状態でファイルが消えた・見えない場合は、Recoverit（リカバリット）のようなデータ復元ソフトを選択肢として検討できます。