PPAPとは、パスワード付きZIPファイルとパスワードを別々のメールで送る手法の通称です。
今日やることは、自社がいつPPAPで送っているかを書き出すことです。メールソフトや送信サーバーの自動暗号化で送っているのか、担当者が手で作っているのか、どの取引先に送っているのかが分かれば、変更の範囲と伝える相手が決まります。
なぜPPAPをやめる動きが広がった？
JIPDECの講演記録は、PPAPを「ファイルを安全に相手へ送信する方法として一時普及した」と説明し、利点とされてきた誤送信対策や盗聴防止について「どれも効果が高いとは言い切れない」としています。問題は主に3つあります。
誤った宛先に2通とも届く
総務省の事例は、別送するパスワードのメールも同じ誤った宛先へ送ってしまうケースが多いと指摘しています。1通目の宛先をそのまま使って返信や転送で送れば、誤りごと引き継がれます。自動で2通送る仕組みでも同じです。
攻撃に悪用されると検知をすり抜けやすい
暗号化された添付は、配送の途中で中身を確かめにくくなります。IPAの2020年9月の注意喚起は、パスワード付きZIPを添付したEmotetの攻撃メールについて、メール配送経路上のセキュリティ製品の検知・検疫をすり抜け、受信者に届く確率が高いと説明しています。JPCERT/CCも同じ時期に、パスワードを本文に書いたケースと検知のすり抜けについて注意を呼びかけました。
受け取る側にとっての問題でもあります。普段からパスワード付きZIPをやり取りしている会社では、同じ形の添付が届いても違和感を持ちにくくなりかねません。
受け手の手間が増える
JIPDECの記録は、パスワードが書かれたメールを探す、同じ人から複数届いたメールと照らし合わせる、といった手間も問題に挙げています。スマートフォンで確認する担当者や、1日に何件も図面を受け取る担当者には小さくない負担です。
国はどう動いた？
2020年11月17日の記者会見で、当時のデジタル改革担当大臣が内閣府・内閣官房での廃止の検討を公表しました。11月24日の会見では、ZIPファイルと同じ経路でパスワードを自動で送る方式を11月26日に廃止する予定と述べています。セキュリティと受け取る側の利便性の両面で適切ではない、という説明でした。
この発言は「ZIPファイルそのものが禁止になった」という意味ではありません。同じ会見で、機密性の高いファイルはパスワードをかけたうえで全く別の経路で知らせることに触れています。問題の中心は、同じ経路で続けて送ることです。
代わりにどの方法を選ぶ？
JIPDECの記録は「最適な方法は確立していない」としたうえで、複数の案を比較しています。万能の1つを探すより、ファイルの重要度と相手で使い分けるほうが現実的です。
| 方法 |
向いている場面 |
気をつける点 |
| アクセス権限を設定できるクラウドストレージ |
図面、見積など日常のやり取り |
権限の設定と、終わった後の共有解除 |
| ファイル転送サービス |
大きなファイル、単発の受け渡し |
誰でも開けるURLにしない |
| 別の経路でパスワードを伝える |
外部サービスが使えない相手 |
中身の確認の問題は残る |
| S/MIME |
証明書を運用できる相手 |
双方に証明書と対応ソフトが要る |
総務省の事例も、クラウドストレージの利用と、電話などメール以外での伝達を予防法に挙げています。リンクを誤送信しても、権限がなければ閲覧できない機能を持つサービスがあるという説明です。逆に、JIPDECの記録が示すとおり、アクセス制御のないサービスではURLを知った人が開けてしまうため、機密性の高い文書には向きません。
パスワードをSMSで別送する方法は、同じ記録によれば、経路が別なので不正の発生確率は下がるものの、ウイルスチェックが行われない課題が残ります。
サービスを選ぶ段階では、法人向けファイル転送サービスの比較で、受け手に会員登録が要るか、ダウンロードの履歴が残るかを確かめます。
履歴は判断の材料になります。IPAの中小企業向けガイドライン第4.0版は、取引先との間でも、履歴が残らない情報の送信方法を禁止するルールを定めることを挙げています。ファイル自体を守る仕組みは、ファイル暗号化製品の比較に分けて考えます。
長年の取引先にどう伝える？
先方のルールでPPAPを求められている、担当者が新しい方法を嫌がるかもしれない、といった心配で手が止まりがちな場面です。伝え方は次の5点で組み立てます。
- 相手のやり方を評価しない。「貴社の方法は危険です」ではなく「当社の送付方法を変えます」と書く
- 理由は短く、公的機関の情報に寄せる。自社の判断だけに見えると、相手も社内に説明しにくい
- 相手がすることを具体的に書く。「リンクを押して、メールで届く確認コードを入れるだけ」のように
- 受け取れない場合の別の方法を先に示す。社内の規則で外部のサービスを開けない会社はある
- 開始日と問い合わせ先を書き、切り替えの猶予を取る
たとえば、金型メーカーが、発注元と図面や見積をZIPでやり取りしている場合、変更を1通のメールで済ませようとしないほうが進みます。付き合いの長い相手には担当者が電話で一言添え、発注元の情報システム部門が関わるなら、その窓口を聞きます。図面の受け渡しは先方の規定で決まっていることがあるので、変更をお願いする前に規定の有無を尋ねます。
文面は、次の形を土台に自社の言葉へ直してください。
文面の例
件名：ファイル送付方法の変更のご案内（○月○日から）
平素よりお世話になっております。○○の△△です。
当社では○月○日より、図面・見積書などのファイルをお送りする際の方法を変更いたします。これまでのパスワード付きZIPファイルでの送付をやめ、○○（サービス名）の共有リンクでお送りします。
パスワードを別のメールでお送りする方法は、宛先を誤った場合に防ぎにくいことや、受け取る側のウイルス確認が難しくなることが、公的機関の資料でも指摘されています。当社でも見直すことといたしました。
お手数ですが、届いたメールのリンクを開き、確認コードを入力してダウンロードをお願いいたします。
貴社の規定により外部サービスをご利用いただけない場合は、別の方法を相談させてください。電話でも承ります（窓口：○○）。
根拠を聞かれたときのために、総務省の事例とIPAの注意喚起のURLを手元に置いておくと、説明が短く済みます。
自動で暗号化する仕組みはどう外す？
メールの送信サーバーやサービスの機能で自動的にZIP化している会社は、担当者の努力では止まりません。止める前に、次を確かめます。
- 自動暗号化の設定を誰が管理しているか
- 社内規程に「添付は暗号化する」と書かれていないか
- プライバシーマークなどの取引先への説明で、暗号化に触れていないか
規程と説明の文言を先に直さないと、現場は設定が変わっただけで違反をしている形になります。
相手からPPAPで届いたらどうする？
自社がやめても、受け取り続けることはあります。すぐに全部を断る必要はありませんが、受け取り方は決めておきます。
JPCERT/CCは、業務に関係がありそうで取引先から届いたように見える添付でも、感染につながる可能性を念頭に置くよう呼びかけています。IPAの解説（2026年8月）も、少しでも不審に感じたら、メール以外の方法で相手に直接確かめることを挙げています。心当たりのないZIPは開かず、電話で確認して、社内の報告先へ回します。
受信側の守りはメールセキュリティの3方向の整理に、開いてしまったときの流れは標的型攻撃メールを開いた時の社内の動きにまとめました。受信の製品を比べるならメールセキュリティ製品の比較があります。メールのほかの論点はメールセキュリティの一覧から読めます。
