PPAPとは?「パスワードは別送します」をやめる理由と代わりの送り方

「添付ファイルのパスワードは、別のメールでお送りします」。PPAP と呼ばれるこの送り方は、2020年に内閣府と内閣官房がやめ、その後は省庁や企業でもやめる動きが広がりました。何が問題なのか、代わりにどう送ればよいか、取引先へのお願いの仕方をまとめます。

PPAPとは パスワード付き ZIP とパスワードを続けて送る方法

PPAP は、パスワード付きの ZIP ファイルをメールに添付して送り、続けて別のメールでパスワードを送る方法です。名前は頭文字です。この問題を論じてきた大泰司章氏(PPAP総研)は、情報処理学会の会誌(2020年6月)で次のように説明しています。

手作業で送る会社もあれば、送信時に自動で ZIP にし、パスワードも自動で送る仕組みを使う会社もあります。

政府や企業がやめた経緯

PPAPの何が問題なのか

PPAP は「暗号化しているから安全」と思われがちです。実際には、心配していることのほとんどを防げていません。

同じ経路で送ると守りにならない

平井大臣は2020年11月24日の会見で、ZIP ファイルと同じ経路でパスワードを自動で送る方式について述べました。「セキュリティ対策の観点からも、受け取る側の利便性の観点からも、適切なものではない」という発言です。

メールが途中で盗み見られるなら、2通目のパスワードも同じように見られます。金融庁も、別送であっても同じ通信経路なら盗聴のリスクがあるとしています。

ウイルス検査をすり抜ける

暗号化された ZIP の中身は、メールの通り道にあるウイルス対策の仕組みでは調べられません。Emotet(エモテット)は、メールで広がるウイルスの一種です。

IPA は2020年9月、パスワード付き ZIP を添付した Emotet の攻撃メールを確認しました。セキュリティ製品の検知をすり抜けて届く確率が高いとして、注意を呼びかけています。

JPCERT/CC も同じ時期に、パスワードを本文に書いたパスワード付き ZIP の攻撃メールを確認しています。文部科学省も、パスワード付き ZIP で Emotet などが検査をくぐり抜ける事案を、PPAP をやめた理由に挙げました。

受け取りを断る会社がある

freee と IIJ は、メールに付いたパスワード付きファイルを削除し、本文だけを受け取る運用に変えました。どちらも、ウイルス検査をすり抜けることを理由に挙げています。PPAP で送ると、相手にファイルが届かないことがあるということです。

代わりの送り方の比較

金融庁は、メールの通信経路そのものを暗号化するのが基本だとしています。それができない場合は、安全性の高いオンラインストレージを使うよう求めています。社外とのやり取りの既定を「相手を指定した共有リンクに有効期限を付ける」にしておくと、多くの場面に対応できます。

OneDrive・SharePoint の場合

Microsoft のサポートページでは、共有リンクに次の設定ができると説明しています。

• 特定のユーザー: 指定した人だけがアクセスできる
• 有効期限の設定: 期限が来たらリンクが使えなくなる
• パスワードの設定: パスワードは相手に別に伝える
• ダウンロードを禁止する: 職場や学校のアカウントで、編集を許可しないときだけ使える

有効期限とパスワードは、Microsoft 365 の契約者だけが使えます。管理者は、誰でも開ける「すべてのユーザー」リンクに有効期限を必須にし、最大の日数を決めることもできます。

Google ドライブの場合

• 一般的なアクセスを「制限付き」にすると、追加したユーザーだけが開ける
• 閲覧者がダウンロード・コピー・印刷できないように制限できる
• 職場や学校の Google アカウントなら、アクセス権に有効期限(1年以内)を付けられる

ファイル転送サービスを使うとき

2019年1月には、ファイル転送サービス「宅ふぁいる便」が不正アクセスを受けました。運営会社の最終報告によると、ログイン用のメールアドレスやパスワードを含む481万5,399件の会員情報が漏れました。預かっていたファイルの漏えいはなかったとしています。

選ぶときは、運営会社の実績、ファイルの保存期間、ログインの守り(多要素認証など)を確かめます。会社として使うサービスを1つに決め、社員が個人の判断で無料のサービスを使わないようにします。

情シスが社内で PPAP をやめる手順

受信したパスワード付き ZIP をすぐに削除する運用は、取引先への影響が大きくなります。まず送る側をやめ、受信は取引先の切り替えが進んでから決めても遅くありません。

取引先にお願いするときの文面例

○○ の部分を自社に合わせて書き換えてください。

自社の送り方を変えるお知らせ

件名: ファイルの送付方法の変更について(○月○日から)

いつもお世話になっております。株式会社△△の□□です。

当社では、○年○月○日から、メールでのファイルの送り方を変更いたします。これまでは、パスワード付き ZIP ファイルを添付し、パスワードを別のメールでお送りしていました。今後は、クラウドストレージ(○○)の共有リンクでお送りします。リンクはご担当者さまのメールアドレスでのみ開ける設定とし、有効期限は○日です。

パスワード付き ZIP ファイルは、ウイルス対策の検査をすり抜けるおそれがあります。政府機関でも廃止が進んでいることから、変更を決めました。

リンクが開けない場合や、貴社の決まりで受け取れない場合は、□□までご連絡ください。別の方法をご相談させていただきます。

相手に PPAP をやめてもらうお願い

受信の停止を決めたときに使う文面です。

件名: ファイルのお送り方法についてのお願い

いつもお世話になっております。株式会社△△の□□です。

当社では情報セキュリティ対策の一環として、○月○日から、パスワード付き ZIP ファイルが添付されたメールを受け取れなくなります。添付ファイルは、自動で削除されます。

お手数をおかけしますが、今後は次のいずれかの方法でお送りいただけますでしょうか。

1. 貴社のクラウドストレージの共有リンク
2. 当社がご用意するアップロード用のリンク(ご連絡いただければお送りします)

ご不便をおかけいたしますが、ご理解とご協力をお願い申し上げます。

今日からできること

「暗号化しているから安心」ではなく、「誰が、いつまで開けるか」を決めて送る。この考え方に切り替えるだけで、送る側も受け取る側も楽になります。