- PPAPはな、パスワード付きZIPファイルをメールに添付して送って、その後パスワードを別のメールで送る、っていう日本独特のファイル送付の慣習なんだ
- 昔は誤送信対策として広まったんだけど、今はセキュリティ的にほぼ無意味とされていて、ウイルスチェックをすり抜ける温床にもなってる
- 政府や大手企業が次々に廃止していて、PPAPを使い続けると取引先にファイルを受け取ってもらえない時代になりつつあるんだよ
この4コマは、PPAPの構造的な欠陥を象徴する事例です。金庫と鍵を同じ配達便に積むという描写は、暗号化したZIPファイルと解凍パスワードを同一のメール経路で送る運用そのものを表しています。経路が一度盗聴されれば、ファイルもパスワードも同時に流出するため、暗号化の効果は実質的に打ち消されてしまいます。
実務上さらに深刻なのが、コマには描かれない別の被害です。パスワード付きZIPはセキュリティ製品が中身を検査できず、マルウェアが検知をすり抜ける温床になります。実際にEmotetはこの穴を突き、取引先になりすまして感染を広げました。送信側が安全だと思い込むほど、リスクは静かに蓄積していくのです。
経営の観点では、取引機会の損失も見逃せません。大手企業がPPAPの受信拒否へ舵を切った結果、旧来の方式に固執する企業は商談や納品が滞る事態に直面しています。脱PPAPは単なる技術対応ではなく、信頼を守るための経営判断と言えるでしょう。デプロイ太郎が勧めるストレージ共有は、その第一歩になります。
【深掘り】これだけ知ってればOK！
そもそもPPAPがなぜ問題なのか。最大の急所は、ファイルとパスワードが同じメール経路を通る点にあります。通信を盗聴されれば、暗号化されたZIPも解凍パスワードも両方まとめて第三者の手に渡ってしまう。鍵をかけた金庫と、その鍵を、同じ宅配便に積んで送るようなものだと考えるとイメージしやすいでしょう。これでは暗号化の意味がほとんど成立しません。
もうひとつ見過ごせないのが、ウイルス検査の無力化です。多くのセキュリティ製品は、パスワードで保護されたZIPの中身まで開いて検査できません。つまり悪意あるファイルが仕込まれていても、暗号化されているという理由だけで検知をすり抜け、受信者の手元に届いてしまう。攻撃者にとっては好都合な抜け穴であり、実際この穴を突いて猛威を振るったのが後述するマルウェアでした。
では、なぜここまで根付いてしまったのか。背景には2005年の個人情報保護法の全面施行と、プライバシーマーク取得ブームがあります。総務省のガイドラインには「パスワードはメール以外の方法で送ること」と明記されていたにもかかわらず、その肝心な一文が抜け落ちたまま運用ルールが各社に広まってしまった、と指摘されています。手間が少なく「対策した気になれる」手軽さも、定着を後押ししたと言えるでしょう。公的機関がPPAPを推奨した事実は一度もない、という点は覚えておきたいところです。
よくある誤解
暗号化しているから安全、という思い込み
ZIPの暗号化方式には、幅広いOSで使えるZipCryptoと、強度の高いAES-256があります。互換性を優先して多くの企業が使ってきたZipCryptoは、専用ツールがあれば比較的短時間で突破されてしまうのが実情です。そして強度の高いAES-256を選んだとしても、ファイルとパスワードを同じ経路で送るという根本構造は変わりません。暗号の強さ以前に、運用の設計そのものが破綻しているのです。
これまで事故が起きていないから問題ない、は本当か
長年使ってトラブルがなかったことを、安全の証拠だと感じていないでしょうか。セキュリティの世界では、無事故イコール安全とは限りません。たまたま被害に遭っていないだけ、という可能性が常につきまといます。情報漏洩やマルウェア感染は一度起きれば影響が甚大で、過去の無事故はこれからを保証してくれないのです。
パスワードを別送すれば情報漏洩は防げる、という誤読
別のメールで送れば安全、という理屈は一見もっともらしく聞こえます。けれども同じメールアカウント、同じ通信網を通る以上、盗聴者から見れば一通目も二通目も筒抜けです。経路を物理的に分ける（SMSやチャットを使う）ところまで徹底して、ようやく一定の意味を持つ点に注意が必要です。
会話での使われ方
うちは今月から脱PPAPね。これからはストレージのリンク共有に切り替えるから、ZIPにパスワードかけて送るのはやめてください。
情報システム部の先輩が、入社したばかりの新人に対して、社内チャットで新ルールを通達している場面です。指示のトーンで簡潔に伝えています。
恐れ入ります、弊社はセキュリティポリシーの都合でPPAP形式のファイルを受信できない設定になっておりまして。お手数ですが、御社の共有ストレージ経由でいただけますでしょうか。
取引先との商談の場で、発注側の担当者がベンダーの営業に対し、提案資料の送り方を丁寧に依頼しているシーンです。相手に配慮した提案の口調になっています。
PPAPって正直めんどくさいよね。
昼休みの雑談で、同期どうしが日々の業務のちょっとした不満を軽く言い合っている場面です。一言だけの短いぼやきで、雑談のトーンになっています。
PPAPの歴史
PPAPは、なぜ広まり、なぜ廃止へと向かったのか。普及と脱却の流れを時系列で追うと、この慣習の問題点が立体的に見えてきます。
| 年 | 出来事 |
|---|---|
| 2005年 | 個人情報保護法が全面施行され、プライバシーマーク取得の動きが拡大。ガイドラインの誤読を背景にPPAPが各社へ浸透していく契機となった。 |
| 2020年7月 | 情報処理学会誌の小特集でPPAPという呼称が提唱され、皮肉を込めたネーミングとともに一気に認知が広がった。 |
| 2020年11月 | 平井卓也デジタル改革担当相が中央省庁でのPPAP廃止方針を表明。内閣府・内閣官房が脱PPAP運用を開始した。 |
| 2021〜2022年 | Emotetの流行を受け、日立製作所をはじめ大手企業が相次いでPPAPの送受信を全面禁止する動きを加速させた。 |
| 現在 | 取引先がPPAPの受信自体を拒否する例が増え、使い続けること自体が業務リスクとみなされる状況になっている。 |
【まとめ】3つのポイント
- 正体は「鍵と金庫を同じ便で送る」儀式：ファイルとパスワードが同一経路を通る時点で、暗号化の効果はほぼ打ち消されている
- ウイルス検査の抜け穴を塞げる：脱PPAPでストレージ共有に切り替えれば、添付ファイルの自動スキャンが機能し、感染リスクを大きく下げられる
- 放置は取引機会の損失に直結する：受信拒否する企業が増えた今、見直しを先送りすると商談や納品が止まる事態を招きかねない
よくある質問
-
QPPAPの代わりに何を使えばいいですか？
-
A
主流はクラウドストレージやファイル転送サービスの活用です。ファイル本体をアップロードし、ダウンロード用URLだけをメールで知らせる方式なら、アクセス権限の管理や閲覧履歴の確認まで行えます。ほかに、メール本文ごと自動暗号化する仕組みを導入する選択肢もあります。
-
QPPAPという名前の由来は何ですか？
-
A
Password付ZIPを送る、Passwordを送る、暗号化（Angou）、Protocolの頭文字をつないだ造語です。大泰司章氏が命名し、ピコ太郎の楽曲が「プロトコルっぽい」と話題だったことが発想のヒントになったとされています。海外向けにPassword Protected Attachment Protocolと紹介されることもありますが、これは非公式な後付けの解釈です。
-
QなぜPPAPはマルウェア感染につながるのですか？
-
A
パスワードで保護されたZIPは、ウイルス対策ソフトが中身を開いて検査できないためです。悪意あるファイルが暗号化の陰に隠れて検知をすり抜け、受信者が解凍した瞬間に感染が始まります。実際にEmotetはこの仕組みを悪用し、実在の相手を装ったメールで被害を広げました。
-
QPPAPと暗号化との違いは何ですか？
-
A
両者は階層が異なります。暗号化はデータを読めなくする技術そのものを指す広い概念です。一方でPPAPは、その暗号化（パスワード付きZIP）をメール送信に組み込んだ特定の運用手順を指します。つまり暗号化は道具、PPAPはその道具の使い方であり、PPAPの問題はツールではなく運用設計の欠陥にあるのです。
この用語と一緒に知っておきたい用語
| 用語 | この記事との関連 |
|---|---|
| ランサムウェア | PPAPの抜け穴を悪用して送り込まれる代表的な脅威で、Emotetもこの一種として被害を拡大させた |
| マルウェア | 暗号化ZIPの中に隠され、ウイルス検査をすり抜けて届く悪意あるソフトの総称 |
| 暗号化 | PPAPが用いる中核技術であり、ツール自体とその運用の違いを理解する鍵になる |
| クラウドストレージ | 脱PPAPの最有力な代替手段で、URL共有とアクセス権管理を実現する |
| 情報漏洩 | 盗聴や誤送信によってファイルとパスワードが流出する、PPAPが招きうる最終的な被害 |
【出典】参考URL
https://ja.wikipedia.org/wiki/PPAP_(セキュリティ) ：名称の由来、命名者、政府の廃止方針、日立の全面禁止などの事実確認
https://www.nec-solutioninnovators.co.jp/sp/contents/column/20221028_ppap.html ：盗聴リスク、ウイルスチェック回避、普及の背景（プライバシーマーク・総務省ガイドライン）
https://www.nttcoms.com/service/naviexpdata/ppap/ ：ZipCryptoとAES-256の暗号方式の違い、誤送信対策としての限界
https://www.nri-secure.co.jp/blog/break-away-from-the-password-protected-zip-file ：Emotetによる被害、取引先の受信拒否リスク
https://kozutumi.com/ブログ/2026年版-なぜppapは禁止されるのか ：政府・大手企業の脱PPAP動向、取引機会損失の実例
コメント