PPAPとは？危険性と廃止の流れ、代替手段を解説｜サイバーセキュリティ.com

  1. ホーム /
  2. コラム /
  3. PPAPとは？危険性と廃止の流れ、代替手段を解説
             

PPAPとは？危険性と廃止の流れ、代替手段を解説



PPAPとは、パスワード付きZIPファイルをメールに添付して送付し、その後別便のメールでパスワードのみを送るという、日本のビジネスシーンで広く行われてきたファイル送付の慣行です。

セキュリティ対策として行われているにもかかわらず、実際にはほとんど効果がないとして、近年は行政・企業を中心に廃止が進んでいます。本記事では、PPAPの仕組みと危険性、廃止の流れ、そして安全な代替手段までを解説します。

PPAPとは

PPAPとは、パスワード付きZIPファイルをメールに添付して送付し、その後別便のメールでパスワードのみを送るという、日本のビジネスシーンで広く行われてきたファイル送付の慣行です。

「Password付きZIPファイルを送ります」「Passwordを送ります」「Angoukasu(暗号化する)」「Protocol」の頭文字を取った、いわば揶揄も込めた造語とされています。「セキュリティ対策をしている」という体裁を整えられる手軽さから、多くの企業で標準的な手順として採用されてきました。

PPAPの一般的な流れ

パスワード付きZIPファイルを添付したメールを送信する

まず、送りたいファイルをパスワード付きのZIP形式に圧縮し、そのファイルを添付したメールを送信します。

別便でパスワードのみを記載したメールを送信する

続いて、先ほど設定したパスワードだけを記載した、別のメールを送信します。同じ相手に2通に分けてメールを送ることで、パスワードとファイルが別々に届くという体裁になります。

PPAPがセキュリティ対策として機能しない理由

同じ経路で送られるパスワードに意味がない

PPAP最大の問題点は、ZIPファイルとパスワードを同じメールという経路で送ってしまっている点です。もしメールの通信経路が盗聴されたり、メールアカウントに不正アクセスされたりした場合、ファイルとパスワードの両方が同時に攻撃者の手に渡ってしまい、暗号化している意味がまったくありません。

鍵のかかった箱と、その鍵を同じ配達員に託しているようなものです。

ウイルス対策ソフトが暗号化ZIP内部をスキャンできずすり抜けてしまう

多くのウイルス対策ソフトは、メールの添付ファイルをスキャンしてマルウェアの有無を検査しますが、パスワードで暗号化されたZIPファイルの中身は、対策ソフト側もスキャンできません。

結果として、PPAPの仕組みそのものが、マルウェアを検知網からすり抜けさせるための「抜け道」を提供してしまっているのです。

PPAPに潜む具体的なリスク

誤送信時の被害拡大

PPAPは誤送信対策として説明されることもありますが、間違った宛先に送ってしまった場合、後から送るパスワードも同じ間違った宛先に届いてしまうケースが多く、誤送信による情報漏洩を防ぐ効果はほとんど期待できません。

マルウェアの拡散に悪用された実例

実際に、マルウェア「Emotet」の拡散キャンペーンでは、パスワード付きZIPファイルを添付したメールが多用されたことが確認されています。

前述の通り暗号化されたZIPの中身はウイルス対策ソフトでスキャンしにくいため、この特性がマルウェアの検知回避に悪用された形です。PPAPという「一見安全に見える」慣行そのものが、攻撃に利用されてしまう構図です。

行政・企業によるPPAP廃止の流れ

2020年、内閣府・デジタル庁によるPPAP廃止の決定

2020年11月、当時のデジタル改革担当大臣が、内閣府とデジタル庁において、パスワード付きZIP形式でのメール添付を原則廃止する方針を表明しました。

セキュリティ上の効果が乏しいこと、そして受信側にとってもパスワードを別途入力する手間がかかることなどが、廃止の理由として挙げられています。

民間企業への広がり

この行政の動きをきっかけに、大手企業や自治体でもPPAPを廃止し、社内ルールとして「PPAP禁止」を定める動きが広がりました。廃止後は、クラウドストレージのリンク共有など、別の手段へ移行する企業が増えています。

PPAPに代わる安全なファイル共有の代替手段

クラウドストレージのリンク共有

Google DriveやMicrosoft OneDriveといったクラウドストレージにファイルをアップロードし、共有リンクを相手に送る方法です。アクセス権限や有効期限を細かく設定できるサービスも多く、PPAPよりも柔軟な管理が可能です。

ファイル転送サービス

大容量のファイルを一時的にアップロードし、ダウンロード用のリンクを発行する専用サービスを利用する方法です。パスワードを設定できるサービスであっても、パスワードの通知を別の手段(電話・SMS等)で行うなど、経路を分ける工夫が求められます。

チャットツール経由での送付

Slackやビジネスチャットツールなど、すでに信頼関係が構築されたコミュニケーション経路でファイルを直接共有する方法も選択肢の一つです。

まとめ

PPAPは、パスワード付きZIPファイルと、そのパスワードを別便のメールで送るという慣行ですが、同じ経路で送ってしまうことでセキュリティ対策としての実効性がほとんどなく、むしろウイルス対策ソフトの検知をすり抜けさせてしまうという深刻な問題を抱えています。

2020年の行政による廃止表明を機に、多くの企業でも廃止が進んでおり、クラウドストレージのリンク共有やファイル転送サービスといった、より安全で合理的な代替手段への移行が進んでいます。

自社でまだPPAPを続けている場合は、早期に見直しを検討することをおすすめします。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）

SNSでもご購読できます。