- パスワード付きZIPの解凍パスワードを添付メールと同じ本文に書いてしまうミスは、急いでいるときにテンプレ文をそのまま使ってしまうのが原因で起きる。
- もともとPPAP（パスワード付きZIPを送る従来の暗号化方式）は同じ経路でパスワードを送る時点で暗号化の効果が薄いと指摘されてきた方式であり、同じメールにまとめて書くのはその効果を完全にゼロにするうっかり型のミスだ。
- 気づいたら送信取り消し機能をすぐ確認し、間に合わなければ相手へ連絡してパスワード変更や再送を依頼するのが最初の一手になる。
今回の4コマ漫画は、パスワード付きZIP添付メールで解凍パスワードを本文に一緒に書いてしまうミスを再現したケーススタディです。急いでいるときほど添付ファイルとパスワードを1通にまとめたくなる心理が働きますが、これは暗号化ZIPを送る目的そのものを打ち消してしまう行動といえるでしょう。メールを盗み見られたり誤送信したりした場合、攻撃者や誤送信先は添付ファイルと解凍パスワードを同時に手に入れてしまいます。
PPAPはもともと同じ経路でパスワードを送る方式のため専門家からセキュリティ効果が薄いと指摘されてきましたが、本文にまとめて書いてしまうケースはその効果すらゼロになる最も基本的な失敗パターンだといえるでしょう。マルウェア（ウイルスなど悪意のあるソフトの総称）スキャンをすり抜けるリスクや、実在の攻撃メールに悪用された事例もあり、放置すれば情報漏えいにつながりかねません。
気づいた時点で送信取り消し機能を試し、間に合わなければ速やかに相手へ連絡してパスワードの変更や再送を依頼することが重要です。今後はパスワード付きZIPそのものをやめ、ファイル共有サービスへの切り替えを検討するのが根本的な予防策になります。
- ZIP添付メールにパスワードを一緒に書いてしまうミスの基本情報
- なぜZIP添付メールにパスワードを一緒に書くと暗号化の意味がなくなるのか？
- ZIP添付メールにパスワードを一緒に書くミスはメールソフトによって直し方が変わる？
- 添付ファイル以外でも解凍パスワードの同送ミスは起きる？
- パスワードを別送したつもりでも漏れてしまう場合はどうする？
- ZIP添付メールにパスワードを書いてしまったらどの順番で確認すればいい？
- ZIP添付メールにパスワードを書いてしまうミスを二度とやらかさないためには？
- PPAPという方式自体はなぜ廃止が進んでいるのか？
- よくある質問
- この記事と一緒に知っておきたいミス・便利ツール
- 【出典】参考URL
ZIP添付メールにパスワードを一緒に書いてしまうミスの基本情報
ZIP添付メールにパスワードを一緒に書いてしまうミスとは、パスワード付きZIPファイルを送るときに、本来は別便で送るべき解凍パスワードを同じメールの本文に書いてしまい、暗号化の意味がなくなる失敗です。急いでいる場面ほど発生しやすく、送った本人が気づかないまま何日も放置されるケースも珍しくありません。
| 項目 | 内容 |
|---|---|
| 症状 | パスワード付きZIPと解凍パスワードが同じメールの本文に同居し、暗号化が実質意味をなさなくなる |
| よくある場面 | 急ぎの添付ファイル送信、テンプレ文の使い回し、問い合わせへの返信・転送 |
| ミスの型 | うっかり型が中心だが、PPAP自体の限界を知らない知らなかった型も混在する |
| 主な原因 | 送信直前の焦り、テンプレ文の誤用、返信・転送時に本文が統合されること |
| 解決の目安 | 送信取り消し機能をすぐ確認し、間に合わなければ数分以内に相手へ連絡してパスワード変更・再送を依頼する |
なぜZIP添付メールにパスワードを一緒に書くと暗号化の意味がなくなるのか？
ZIP添付メールにパスワードを一緒に書いてしまうミスの根っこには、送信直前の焦りとテンプレート文の誤用があります。以下の3パターンは、実際の職場でよく見られる発生シーンです。
上司に急かされて添付案内文をまとめて送ってしまう
Outlook（Microsoft 365）やGmailなどのメールソフト（メールを作成・送受信するアプリ）で、上司から今すぐ送ってと急かされたときに起きやすいパターンです。
件名：資料送付の件
本文：
お世話になっております。
ご依頼の資料を添付いたします。
解凍パスワードは1234です。
よろしくお願いいたします。
← 添付ファイルとパスワードが同じ本文に同居しているこの書き方では、メールを盗み見られたり誤送信したりした瞬間に、添付ファイルと解凍パスワード（ZIPを開くための合言葉）が同時に相手（または攻撃者）の手に渡ります。1通のメールに両方をまとめる時点で暗号化は無意味になり、パスワードを設定した手間が完全に無駄になってしまいます。
件名：資料送付の件
本文：
お世話になっております。
ご依頼の資料を添付いたします。
解凍パスワードは別のメールにて送付いたします。
よろしくお願いいたします。
← パスワードの記載を削除し、別便で送る前提の文言に変更下書きに書いておいたパスワードを消し忘れて送信ボタンを押してしまう
別送するつもりでいったん下書きにパスワードをメモしておき、それを消す前に送信してしまうパターンです。作業が中断されて再開したときに起こりやすくなります。
下書きメモ：
資料添付済み。パスワードは0000（後で別メールに書く）
← 消し忘れたままこの下書きを完成させて送信してしまう下書き機能は便利な一方で、メモ書き（自分用の一時的なメモ）と本文が同じ画面に混在するため見落としが起きやすいのが弱点です。パスワードを扱う本文は別ファイルや別アプリにメモする方が、送信前に取りこぼす可能性を減らせます。
下書きメモ（メールの下書きではなくメモアプリに記載）：
資料添付済み。パスワードは別途チャットで送付予定
← パスワードそのものはメールの下書きに書かない運用に変更問い合わせへの返信でファイルとパスワードをまとめて答えてしまう
相手から解凍パスワードを教えてほしいと問い合わせがあり、返信メールにファイルの再送とパスワードを一緒に書いてしまうパターンです。丁寧に対応しようとするあまり起きやすいミスといえます。
返信本文：
お問い合わせありがとうございます。
念のため資料を再添付いたします。
パスワードはABCD1234です。
← 再送の親切心がパスワードの同送につながっている親切心からの対応であっても、再添付とパスワード記載を同じ返信にまとめる限り、暗号化の意味は失われたままです。返信時こそテンプレを使わず、パスワードは電話やチャットなど別経路で伝える意識を持つことが必要になります。
返信本文：
お問い合わせありがとうございます。
念のため資料を再添付いたします。
パスワードは別途お電話にてお伝えいたします。
← パスワードの記載を削除し、別経路での連絡に統一
【デプロイ太郎のコメント】このパターン、ヘルプデスクへの相談でも本当によく聞くんです。急いでいるときこそ、送信前にもう一度本文を見返す癖をつけたいですね。
ZIP添付メールにパスワードを一緒に書くミスはメールソフトによって直し方が変わる？
ZIP添付メールにパスワードを一緒に書いてしまった後の対応は、使っているメールソフトによって取り消せる条件が異なります。誤って送信した直後にどこまで巻き戻せるかを知っておくことが被害を最小限にする鍵になります。
| ツール・環境 | 症状・表示のされ方 |
|---|---|
| Gmail | 送信取り消し機能で5〜30秒（設定した秒数）以内なら送信をキャンセルできる。時間を過ぎると取り消し不可 |
| Outlook（Microsoft 365 / Exchange） | メッセージの取り消し機能は、送信者と受信者が同じ組織のMicrosoft 365またはExchangeアカウントの場合のみ利用可能。受信者が個人アカウント（Gmail・Hotmail等）だったりMAPI・POP（サーバーとメールをやり取りする接続方式の種類）接続だったりすると使用できない |
| スマートフォンのメールアプリ | Gmailアプリなど一部は送信取り消しに対応するが、通知が表示される短時間で操作する必要があり、パソコンより見落としやすい |
添付ファイル以外でも解凍パスワードの同送ミスは起きる？
Slack・Chatworkなどビジネスチャットでの起き方
Slackやチャットワークなどのビジネスチャット（社内外でメッセージをやり取りするツール）でも、同じスレッド（会話のまとまり）にファイルとパスワードを両方投稿してしまうケースがあります。メールと違い相手が過去ログを遡って一度に見られるため、より漏えいのリスクが高まります。
❌ 資料.zipを添付。続けて「パスワードは5678です」と同じスレッドに投稿
← 同じスレッド内なので実質同じメール本文と同じ状態
⭕ 資料.zipを添付。パスワードは別チャンネル・別のダイレクトメッセージ・電話で伝える
← 閲覧できる経路そのものを分けるグループアドレスへの一斉送信での起き方
複数人が入っているメーリングリスト（登録された複数の宛先に一斉送信する仕組み）や共有アドレスにパスワード付きZIPを送るときに、同じ本文にパスワードを書いてしまうケースです。受信者が多いほど、誰か1人の端末やアカウントが乗っ取られたときの被害範囲が広がります。
❌ グループ全員宛のメール本文に「添付資料のパスワードは9999です」と記載
← 全員が同じ経路でパスワードも受け取ってしまう
⭕ 添付だけを一斉送信し、パスワードは個別のチャットやクラウドの共有設定で伝える
← 一斉送信の範囲とパスワードを知る人の範囲を分離するパスワードを別送したつもりでも漏れてしまう場合はどうする？
別々のメールで送ったのに盗聴・誤送信で両方漏れる場合
添付ファイルとパスワードを2通に分けて送っていても、同じメールアドレス宛・同じ通信経路を使う以上、盗聴や宛先間違いが起きれば両方まとめて漏れてしまいます。分けて送ったから安全とは限らない点に注意が必要です。
❌ 添付メールとパスワードメールを同じ相手に立て続けに送るだけ
← 経路が同じなので同時に盗み見られるリスクは残る
⭕ 添付はメール、パスワードは電話・SMS・ビジネスチャットなど別の連絡手段で伝える
← 経路そのものを分けて初めて別送の意味が生まれる送信済みで相手がすでに開封済みの場合
送信取り消し機能が間に合わず、相手がすでにメールを開封してしまった場合は、取り消しではなく事後対応に切り替える必要があります。
❌ 気づいても何もせず放置する
← 情報漏えいのリスクが残ったままになる
⭕ 相手に速やかに連絡してパスワードの変更・ファイルの削除を依頼し、必要に応じて社内の情報システム部門にも報告する
← 二次被害を防ぐための初動対応を取るZIP添付メールにパスワードを書いてしまったらどの順番で確認すればいい？
ZIP添付メールにパスワードを書いて送信してしまったと気づいたら、まずは取り消せるかどうかを確認し、次に相手への連絡、最後に再発防止の順で動くのが最短です。
- 送信直後であれば、使っているメールソフトの
送信取り消し機能をすぐに確認する - 取り消しに失敗した、または対象外のツールだった場合は、送信済みメールの本文を再確認し、実際にパスワードが記載されているか目視で確かめる
- 相手にすぐ連絡し、メールを削除してもらう、または解凍パスワードを変更して再送する
- 社外・複数人への送信だった場合は、社内の情報システム部門やセキュリティ担当にも報告する
- 今後の運用として、パスワードは
別のチャット・電話・共有サービスのいずれで伝えるかをあらかじめ決めておく
【デプロイ太郎のコメント】焦って何もしないのが一番良くないので、まずは送信取り消しの画面を落ち着いて開いてみてください。時間との勝負なので、確認は上から順番にで大丈夫です。
ZIP添付メールにパスワードを書いてしまうミスを二度とやらかさないためには？
ZIP添付メールにパスワードを一緒に書いてしまうミスを防ぐには、送信前チェックの習慣化と、そもそもパスワード付きZIPを使わない運用への切り替えが効果的です。テンプレ文の見直しも合わせて行うと再発を大きく減らせます。
- 添付ファイル付きメールを送る前に、本文中に
パスワードという単語が含まれていないか目視確認する - 送信取り消し機能の秒数設定をあらかじめ長め（Gmailであれば30秒）にしておく
- よく使う送付用のテンプレ文からパスワード記載欄を削除しておく
- 可能であれば、パスワード付きZIPをやめてクラウドストレージの共有リンクに切り替える
- チームで送付ルールを共有し、パスワードは電話・チャットなど別経路で伝えることを合言葉にする
PPAPという方式自体はなぜ廃止が進んでいるのか？
PPAPという方式自体は、パスワード付きZIPファイルを送り、パスワードを送る、暗号化（Angoka）、プロトコル（Protocol）の頭文字に由来する呼び名です。2020年には当時のデジタル改革担当大臣が中央省庁でのPPAP廃止を発表し、多くの企業がクラウドストレージやファイル転送サービスへの切り替えを進めています。暗号化ZIPの中身はメール側のセキュリティソフトでスキャンできないため、マルウェアの検知をすり抜けてしまう問題も指摘されており、実際に暗号化ZIPを使った攻撃メールが確認された例もあります。ZIP添付メールにパスワードを一緒に書いてしまうミスは、こうした構造的な弱点をさらに悪化させる典型的な失敗といえます。
【デプロイ太郎のコメント】今回の内容を押さえておけば、慌てず落ち着いて対応できるはずです。焦らず一つずつ確認していきましょう!
よくある質問
-
Q送ってしまった直後ならまず何をすればいいですか？
-
A
まずはメールソフトの送信取り消し機能を試してください。Gmailであれば5〜30秒、Outlookであれば送受信者が同じ組織のMicrosoft 365アカウントで受信者が未読の場合に限り取り消せる可能性があります。
-
Qスマートフォンから送信した場合、パソコンより気づきにくいですか？
-
A
スマートフォンのメールアプリでは通知が表示される短時間しか取り消し操作ができないため、パソコンより見落としやすい傾向があります。送信直後に届く送信済み通知を必ず確認する習慣をつけましょう。
-
QGmailで送っている場合とOutlookで送っている場合で対応は変わりますか？
-
A
変わります。Gmailは設定した秒数以内なら送信をキャンセルできますが、Outlookのメッセージ取り消しは送受信者が同じ組織のMicrosoft 365・Exchangeアカウントの場合のみ有効で、外部の個人アカウント宛には使えません。
-
Qすでに相手が開封して閲覧してしまった場合はどうすればいいですか？
-
A
取り消し操作では対応できないため、相手に速やかに連絡してメールの削除を依頼し、必要であれば解凍パスワードを変更した上で正しい方法で再送してください。社外・複数人への送信であれば情報システム部門への報告も検討しましょう。
-
QZIP添付メールにパスワードを一緒に書いてしまうミスと、添付ファイル自体の送り忘れの違いは何ですか？
-
A
送り忘れはファイルそのものを添付し損ねる操作ミスで、受信者に何も届かないのが症状です。一方でZIP添付メールにパスワードを一緒に書いてしまうミスはファイルもパスワードも届いてしまい、暗号化の意味だけが失われる情報漏えいリスク寄りの問題である点が大きく異なります。
この記事と一緒に知っておきたいミス・便利ツール
| 関連ミス・ツール | この記事との関連 |
|---|---|
| 本文に添付します。と書いたのに実際はファイルを添付せず送信してしまうミス（記事準備中） | 同じ添付メールの操作場面で起きるうっかりミスで、送信前の本文確認の重要性が共通する |
| 一斉送信でBCCに入れるべき宛先を誤ってCCに入力し全受信者のアドレスが見えてしまうミス（記事準備中） | 送信前チェックの不足が情報漏えいにつながる点で、本記事のミスと発生構造が共通する |
| PPAPとは？ | PPAPという方式そのものの定義と問題点を理解でき、本記事のミスの背景を補足する |
| アタッチメントファイルとは？ | 添付ファイルの基本的な仕組みと共有リンクとの使い分けを理解でき、脱PPAPの代替策の検討に役立つ |
【出典】参考URL
https://www.nri-secure.co.jp/blog/break-away-from-the-password-protected-zip-file：PPAPが同一経路でのパスワード送信によりセキュリティ効果が薄いこと、マルウェアスキャンをすり抜ける問題の根拠
https://ja.wikipedia.org/wiki/PPAP_(セキュリティ)：PPAPの定義、政府による廃止方針、代替策の根拠
https://support.google.com/mail/answer/1284885：Gmailの送信取り消し機能の設定可能時間（5〜30秒）の根拠
https://support.microsoft.com/ja-jp/office/outlook-で送信されたメールを取り消すか置き換える-8e564127-15a0-4cf6-b974-f2101f5e256e：Outlookのメッセージ取り消し機能が同一組織のMicrosoft 365・Exchangeアカウント間かつ未読の場合に限られる根拠
コメント