セキュリティー

【必読】実は無防備だったPPAP。安心安全なメール送受信の課題と代替策を徹底解説

2022.06.29
2022.07.21

あなたはお取引先に資料をメールで送信する際、パスワード付きZIPファイルを利用していますか？
送信では利用していなくとも、パスワード付きZIPファイルをメール受信されることはあるのではないでしょうか。

パスワード付きZIP圧縮ファイルは、セキュリティ意識が高まり出した2010年代頃より、企業間でファイルを送信する際に多くの企業で採用されていた手法です。自動化されている場合、添付したZIPファイルが受信者の元にパスワードでロックされた状態で届きます。

パスワードで鍵がかけられているから一見安全のように見えますが、実はこの送信方法はとても危険なのです。

このパスワード付きZIPファイルを送信する一連の流れはPPAPと呼ばれています。今回はPPAPの仕組みと危険性について解説します。

＜目次＞
・PPAPはなぜ危険なのか。実はセキュリティ対策ができていなかった！？
・PPAPの意味と仕組み
・PPAPが危険な２つの理由
・ウイルスチェックが稼働せず、感染経路になってしまう
・メール本体とパスワードを同じ経路で送信しているため危険
・どうすれば安全なメールが送信できるのか？　PPAPの代替案
・添付ファイルを監視するソフト「ファイナルコード（i-FILTER、m-FILTER）」が効果的
・今のトレンドである、クラウドサービス（Microsoft365、Google Workspace）
を利用したリンクURLでのファイル共有をする。
・時流にあった対策がとれていないと、取引先の信頼を無くすかもしれません。

PPAPはなぜ危険なのか。
実はセキュリティ対策ができていなかった！？

PPAPの意味と仕組み

P Password（パスワード）付きZIPファイルを送る。
P Password（パスワード）を送る。
A Angouka（暗号化）
P Protocol（プロトコル）

PPAPとは、送信者は送信するファイルをパスワード付きZIP圧縮ファイルで暗号化し、メールに添付して送信します。同時にZIPファイルのパスワードを別のメールにて送信するといった一連の流れの略称です。これにより、メールの受信者は受け取ったパスワードによってファイルを開くことができるのです。

PPAPを使用して送信したい場合、自動でパスワードを生成して送信してくれるソフトもあります。
しかし、PPAPには２つの致命的な危険性があったのです。

PPAPが危険な２つの理由

ウイルスチェックが稼働せず、
感染経路になってしまう

ネットワーク上には、Emotet、トロイの木馬やランサムウェア（※）などの、マルウェアが潜んでいます。そのため、セキュリティ製品は自動でメールやさまざまなファイルのウイルスチェックを行います。しかし、ファイルをZIP圧縮すると、ウイルスに感染していたとしても検知できない可能性があるのです。
せっかくのセキュリティ製品が検知ができない場合、ウイルスが潜んでいるファイルを開封してしまうと、あっという間にPCに感染してしまいます。つまり、PPAPがウイルスの感染経路になる可能性があるのです。
PPAP　問題点

メール本体とパスワードを
同じ経路で送信しているため危険

サイバー犯罪が氾濫する現代では、悪意ある第三者によってメールを狙われる可能性が常にあります。
例えば、何らかの原因でメールの送信経路が盗み見されてしまったとします。PPAPでは「パスワードで保護したメール本体」と「パスワード」を同じ経路でメール送信するため、せっかく２通に分けた「メール本体」と「パスワード」両方を盗み見されてしまいます。これではPPAPをしてもしなくても変わりません。
このため、PPAPはセキュリティ的に意味を成さないものと考えられています。
PPAP　問題点

※：Emotetは悪意ある攻撃者によって送られる不正なメール（攻撃メール）から感染が拡大していくマルウェアです。トロイの木馬は一見無害に思えるファイルを装うマルウェアの一種です。ランサムウェアは金銭を要求するマルウェアです。

どうすれば安全なメールが送信できるのか？
PPAPの代替案

このように、PPAPはセキュリティ対策として意味を成しません。
2020年に平井デジタル改革担当大臣が、内閣官房における「自動暗号化ZIPファイルの廃止」を表明しました。

これを皮切りにPPAPの廃止を実施している企業も多いのです。むしろPPAPを使用していると、廃止している企業からセキュリティの不信感を抱かれ、メールのやりとりを拒否されてしまうかもしれません。
では、PPAPを廃止した企業はどのようにしてセキュリティ対策を練っているのでしょうか？　代わりとなる手法に注目が集まっています。

添付ファイルを監視するソフト
「ファイナルコード（i-FILTER、m-FILTER）」が効果的

１つ目は i-FILTER、m-FILTERという監視ソフトです。これを導入することによって、送られてきたパスワード付きZIPファイルが安全かどうかを判断ができ、安全なメールのみを受信できる仕組みが施されています。

i-FILTER、ｍ-FILTERの機能

パスワード付きZIPファイルの安全性を判定してから配信

メールに添付されたパスワード付きZIPファイルの安全性をm-FILTERが判断してから配信します。
例えば、パスワード付きZIPファイルを受信した場合、「m-FILTER」がパスワードを入力する旨の通知メールを送信します。通知メール受信者は管理画面にアクセス、パスワードを入力します。「m-FILTER」は入力されたパスワードで添付ファイルを解凍し、検査を実施します。添付されたパスワード付きZIPファイルの安全性を事前にチェックすることで、受信者のPCにウイルスが広がるのを未然に防ぎます。

デジタルアーツ株式会社公式HP：m-FILTER詳細

不正なプログラムがある場合は自動的に除去

メール添付ファイルのマクロを検知し、ブロックまたはマクロを除去してから配信します。
マルウェアに感染したマクロがPCへ侵入することを防ぐことができます。

デジタルアーツ株式会社公式HP：m-FILTER詳細

添付ファイルの暗号化をセキュアに（オプション）

メールを安全に送ることができるメールセキュリティソフト「m-FILTER」と、ファイルセキュリティソフト「FinalCode」の連携により、メールの送信時に添付ファイルが自動的にパスワードレスの状態で送信されます。
この際、閲覧権限のあるメール受信者にしかファイルの閲覧ができません。また、送信した添付ファイルのリモート削除もできます。