重要ファイルの送受信におけるセキュリティ対策として用いられてきた「PPAP」ですが、近年ではその危険性を指摘する声も多く、ついには2020年11月、内閣府・内閣官房において廃止が発表されました。本記事では、PPAPの概要や問題点について解説します。併せて、PPAPの代替案も紹介しますので、ぜひ参考にしてください。
PPAPと呼ばれる添付ファイルのZIPパスワード化とは
「PPAP」とは、メールにファイルを添付する際に用いられるセキュリティ対策の1つです。この手法では以下の手順を踏みますが、これらに「手順」を意味する「Protocol」を加え、それぞれの頭文字を取ってPPAPと呼ばれています。
- パスワード（「P」assword）付きZIP暗号化ファイルを送信
- パスワード（「P」assword）を送信
- 受信側が暗号化を解除（「A」ngoka）
- する手順（Protocol）
PPAPでは、まず暗号化したパスワード付き圧縮ファイルをメールで送信し、その後ファイルを開くためのパスワードをメールで送ります。暗号化したファイルと解凍用パスワードを別送するため、「万が一ファイルを誤送信した場合にも情報が漏れない」と信じられ、広く普及していたセキュリティ対策です。
PPAPでパスワードを設定する場合の注意点
PPAPでパスワードを設定する場合、以下の2点に注意する必要があります。
パスワードは複雑で長く設定する
パスワードを設定する場合、連続した数字や日付、ユーザーの名前など、わかりやすい文字列を設定してしまうと、第三者から解析されるリスクが高まります。特に近年では、パスワード解析ツールが誰でも簡単に入手できるようになったため、単純なパスワードを設定すればものの数分で暴かれてしまいます。
こうしたリスクを抑えるためには、複雑で予想されにくいパスワードを設定することが大切です。桁数を増やすほどパスワードは解読されにくくなるため、なるべく長い桁数にするほうが安全度は増します。
また、数字だけではなくアルファベットの大文字・小文字などを織り交ぜることもおすすめです。文字の種類や文字数を増やすほどパスワードが複雑になり、ツールを用いて解読されるリスクも減少します。パスワードは一般的に、解読されないためにも半角英数字を12文字以上使用し、複雑に組み合わせることが推奨されています。
別経路でファイルとパスワードを送信する
PPAPで情報漏えいリスクを抑えるためには、ファイルとパスワードを同じ経路で送信することも避けなければなりません。ファイルを添付したメールを誤送信したとしても、パスワードを知られなければ、内容が流出する可能性は高くありません。ところが、添付メールに続いてパスワードも同じ手順でメール送信した場合、両方を間違ったアドレスに向けて誤送信してしまう恐れがあります。
ファイルをメールで送信したあとは、メールではなくチャットや電話、FAXなど、別経路で相手にパスワードを知らせることがおすすめです。それぞれ別経路で送った場合、仮にファイルの送信先アドレスが間違っていたとしても、パスワードまで同じ相手に誤送信することはありません。ファイルとパスワードを確実に分けて相手に届けることが、情報漏えい対策につながります。
PPAPのパスワード化における問題点
PPAPは、かつては内閣府や内閣官房でも使用されていましたが、セキュリティ対策として欠陥があるとの指摘が多く寄せられたため、2020年11月26日より使用が廃止されています。政府のこの発表に追随するように、民間企業においてもPPAPの使用を取りやめるケースが増えています。
では、PPAP には一体どのような問題があるのでしょうか。以下では、PPAPの主な問題点について解説します。
情報漏えいリスクが高い
PPAPの大きな問題として、まず情報漏えいのリスクが挙げられます。先述したように、ファイルを添付したメールと解凍用パスワードは別経路で知らせるべきであり、本来その形での運用が想定されていました。しかし、この運用方法は手間の問題から定着せず、どちらもメールで送るという想定外の形で普及してしまったのです。
その結果、PPAPは誤送信による情報漏えいリスクを抱えることとなりました。せっかくパスワードを設定しZIPファイルを送っても、誤った宛先にファイルとパスワードの両方が届いてしまえば、セキュリティ対策として何ら意味を成しません。ファイルだけ誤送信した場合も、本来であればパスワードがわからないためファイルを開けないはずが、解析ツールを入手しやすくなった現在では、容易に突破されてしまうでしょう。
また、別経路でパスワードを伝えるにしても、伝える方法には注意が必要です。電話だと相手が捕まらない可能性があるうえ、複雑なパスワードが正しく伝わらないケースも生じ得ます。FAXも、ペーパーレス化によって使用していない企業が増えているため、有効な手段とは言えません。このように、やり取りの手段が限られることも、PPAPの問題点の1つです。
マルウェア攻撃に対処できない
PPAPではパスワード付きZIPファイルを添付して送るため、マルウェアに感染しているファイルがウイルスチェックをすり抜けてしまうリスクがあります。
通常、セキュリティ対策ソフトを使用していると、メールに添付されているファイルがウイルスにかかっていないかチェックされます。しかしセキュリティ対策ソフトは、暗号化されたZIPファイルまではウイルスチェックできません。セキュリティ対策ソフトを使用しているという安心感から、ウイルスの混入を疑わずに暗号化ZIPファイルを開いてしまう人は多いため、注意が必要です。
過去には日本でも、ZIPファイルに仕込まれたマルウェア「Emotet」による大きな被害が発生しました。また2021年3月には、「BazarCall」「IcedID」などの被害が世界で急拡大するなど、マルウェアの脅威は年々増しています。
マルウェアは、単なるスパムメールとして送られてくるものではありません。BazarCallはコールセンターを利用して送られてくるもので、IcedIDは実際にやり取りがあったメールの内容を盗み、再利用したうえで業務メールを装って送られてきます。PPAP形式で送られてくるものもあるため、パスワード付きZIPファイルの受取を拒否する企業も少なくありません。
PPAPパスワード化の代替手段はあるのか
PPAPの代替手段としては、「クラウドストレージ」「グループウェア」などがあります。
クラウドストレージとは、インターネット上でデータを保管・共有できるサービスです。ファイルをクラウドストレージに保存し、保存場所のURLを相手に知らせ、データを共有します。併せてアクセス権限や閲覧・編集の権限をユーザーごとに適切に設定することで、不正な情報流出の防止が可能です。
しっかりとしたセキュリティ対策が講じられたクラウドストレージを選定すれば、保存したファイルがウイルスに感染しにくく、添付ファイルのデータ量を気にする必要もないため、安心してファイルのやり取りができるでしょう。
一方、グループウェアとは企業やプロジェクトチームなど、組織で情報共有するためのアプリケーションソフトです。代表的なものとしては、「Microsoft 365」「Google Workspace」「kintone」などが挙げられます。グループウェアはチーム内でファイルやスケジュールなどの共有が可能で、データのやり取りをしたり共同編集したりできるため、業務効率化につながります。クラウドタイプのものが多く、ベンダーが管理しているセキュリティ性の高いクラウド上で、安全にファイルをやり取りできるのも特徴です。
まとめ
PPAPは、パスワード付きZIP暗号化ファイルをメールで送信するセキュリティ対策方法です。「ファイルを送信してからパスワードを相手に知らせることで、ファイルの情報漏えいを防止する」というのが、当初想定されていた目的でした。しかし現在では、情報漏えいリスクやマルウェアへの脆弱性など多くの面で穴があることも発覚し、PPAPを廃止する企業は増加し続けています。
PPAPの代替手段としておすすめなのが、HENNGEが提供する国内シェアNo.1のクラウドセキュリティサービスであるHENNGE Oneです。HENNGE OneはPPAP対策として有効なクラウドストレージやグループウェア間のシングルサインオンが可能なほか、ファイル転送に特化したクラウドストレージのHENNGE Secure Transferや、メール添付ファイルを自動的にクラウドストレージにアップロードするHENNGE Secure Downloadを機能の一部として提供しています。
ぜひ脱PPAPに検討してみてはいかがでしょうか。
