PPAPとは？問題点や対策方法について解説

カテゴリ

セキュリティ 

タグ

「PPAPの対策や、PPAPに代わるファイル送信の方法はある？」
「PPAPは危険と聞いたけれど、どこが問題なの？」
などとお悩みではありませんか。

メールでのファイル送信手段として、長らく主流だったPPAP。しかし、PPAPはセキュリティ上の不安が大きく、昨今では安全性が疑問視されています。実際、日本の中央省庁でも2020年11月にPPAPを廃止する旨が発表されました。

この記事では、PPAPの危険性や対策方法を解説します。よりセキュアな方法でファイルを送受信するためのアイデアを紹介するので、現在PPAPを利用している人はぜひご覧ください。

1.PPAPとは

PPAPとは、パスワード付きZIPファイルをメールで送り、別メールでパスワードを送る方法です。メールでやり取りをする際の以下の頭文字を取って「PPAP」と表現しています。

• パスワード付きファイルを送る（P）
• パスワードを送る（P）
• 暗号化をする（A）
• プロトコル（P）

PPAPがここまで広まった背景には、2005年の個人情報保護法施行に伴うプライバシーマーク（Pマーク）取得の波にあります。Pマークの取得にあたり、多くの企業やPマーク取得コンサルタントは、総務省が運用するガイドラインの下記文言を参考にしました。

「電子メール等により機密性2以上の情報を送信する者は、必要に応じ、パスワード等による暗号化を行わなければならない。」[注1]

上記を見て、企業やコンサルタントは「メールで情報を送る際はパスワードをかけ、別メールでパスワードを送ればよい」と解釈します。しかし、ガイドラインには「パスワードはメール以外の方法で送ること」などの内容も含まれており、一部の重要な情報が見落とされていました。

このような認識の相違から生まれたのがPPAPであり、Pマーク取得の波と相まって広まる結果となったのです。

[注1]総務省「地方公共団体における情報セキュリティポリシーに関するガイドライン」
https://www.soumu.go.jp/main_content/000805453.pdf

2.PPAPの問題点

PPAPはそもそも誤った認識に基づいて生まれた手法のため、セキュリティ面でいくつかのリスクをはらんでいます。では、具体的にどのような危険性があるのでしょうか。

PPAPの問題点には、以下の3つが挙げられます。

• 効果的なセキュリティ対策になっていない
• ZIPファイル内のウイルスチェックができない
• アナログで非効率的

それぞれ詳しく見ていきましょう。

2-1 効果的なセキュリティ対策になっていない

PPAPで最も期待されているであろうメールの盗聴対策については、残念ながら効果があまりありません。1通目も2通目も同じ通信経路を通るためです。つまり、この通信経路を攻撃されれば、2通に分けて送ったとしても中身は筒抜けです。

ZIPファイルの性質にも問題があります。パスワードを一定回数間違えるとロックがかかるのが通常ですが、ZIPファイルは何回パスワードを間違えてもロックされません。

これは総当たり攻撃ができることを意味しており、安全性が低い理由の一つと言えます。

2-2 ZIPファイル内のウイルスチェックができない

多くのウイルス対策ソフトは、ZIPファイルの中身まではチェックできません。そのため、ZIPファイルにマルウェアが仕込まれていた場合、ウイルスチェックをすり抜けて相手に届いてしまいます。

2019〜2020年に流行したマルウェア「Emotet」は、PPAPを逆手に取った手口で広まりました。Emotetとは、それが埋め込まれたファイルを開くと、メールアカウントやパスワードなどの個人情報を抜き取られてしまうマルウェアです。

取引先を装い、PPAPと同じ要領で相手にメールを送信し、違和感を抱かせることなく解凍させるのがEmotetの手口の一つです。まさにPPAPの弱点を突いた手口と言えます。

2-3 アナログで非効率的

PPAPは1つのファイルを送信するのにメールを2通に分けなければならず、効率的な方法ではありません。1回1回のファイルの解凍はすぐに終わるかもしれませんが、2通目を確認する一手間が積み重なると大きな無駄となります。

また、送り手が宛先を間違えると、情報漏洩のリスクがあります。送り手がパスワードの送付を忘れた際には受け手が催促しなければならず、その間はファイルを閲覧できず業務もストップするでしょう。

約20年前に生み出された運用であるPPAPには、現在の働き方と相容れない部分が多くあるのです。

3.PPAPを見直す企業が増えている理由

ここまで解説したように、PPAPはメール盗聴への効果が限定的であることや、暗号化ZIPファイル内のウイルスチェックが難しいこと、さらにファイル送信のたびにメールを2通送る必要があることなど、多くの課題を抱えています。

こうした背景から、近年では官公庁や民間企業を中心にPPAPを見直し、より安全で効率的なファイル送信方法へ移行する動きが広がっています。

PPAPの問題点を理解した次のステップとして重要なのが、「何を代替手段として選ぶか」です。

4.まとめ

PPAPはメールの盗聴や非効率性などの理由から、有用性が疑問視されています。日本では、2020年に中央省庁がPPAPの使用を廃止しました。PPAPの対策としては、クラウドストレージやチャットツール、ファイル転送サービスの利用が挙げられます。

安全にファイルを送信する方法を探しているなら、EASY FILE EXPRESSがおすすめです。