取引先やお客様など社外の方とファイルを共有する場合、１．メールでパスワード付きのzipファイルを送る　２．あとから別のメールでパスワードを送る　という手順でやり取りをされたことがある方も多いのではないでしょうか。

この手順のやり取りは、業界では「PPAP」と呼ばれています。決してペンもパイナップルもアップルも関係ありません。このPPAP、実はとても危険な方法なんです。

そこで今回は、PPAPの危険性とその代替手段についてご紹介いたします。

PPAPとは？

PPAPとは、パスワード付きzipファイルを１つ目のメールで送り、改めてパスワードを２つ目のメールで送るというファイル共有方法です。

PPAPは、
P：パスワード（password）付きzipファイルを送るのP
P：パスワード（password）を送るのP
A：暗号化（angouka）のA
P：プロトコル（protocol、手順）のPを順に並べたもので、日本情報経済社会推進協会（後のPPAP総研）の大泰司章（おおたいし　あきら）氏が名付け親とされています。

PPAPでのファイル共有は、作業自体にほとんど手間もかからず「セキュリティ対策を頑張った」気分になれることから、多くの企業で取り入れられ定着していったようです。

PPAPの危険性

では、ＰＰＡＰは一体どうして危険なのでしょう？
ＰＰＡＰが危険だと言われる理由は以下の４つが挙げられます。

１、メールが盗み見されていたら、セキュリティ対策の意味がない

「パスワード付きzipファイルを１つ目のメールで送り、改めてパスワードを２つ目のメールで送る」ということは、１つ目のメールで送ったパスワード付きzipファイルを盗み見ることができた場合、２つ目のメールで送ったパスワードも盗み見ることができるということです。つまり、２回に分けてメールを送ることは、セキュリティ対策としては意味がないのです。

２、ウイルスチェックができず、ウイルスに感染

セキュリティ対策製品を使っていれば、通常なら自動的にメールのウイルスチェックが行われます。しかし、zipファイルの中身はチェックすることができないことがあるのです。そのため、ファイルの中にウイルスが入っていた場合、ウイルスに感染し、情報漏えいなどの危険が高くなるのです。

３、zipファイルの暗号はそんなに強くない

zipファイルに使われる暗号の強度はそれほど高くありません。多くの企業が暗号化に利用しているZipCryptoは、専用のソフトがあれば誰でもすぐに解読できてしまうのです。せっかく暗号化しても、誰にでも解読できてしまうのでは暗号化しても意味がありません。

４、パスワードは何度でも試すことができる

一般的にIDやパスワードは一定回数以上間違うとロックがかかり、ログインできなくなってしまう、ということが多くあります。しかし、パスワード付きzipファイルにはその制限がありません。もしもパスワード付きzipファイルのみが外部に漏れてしまった場合でも、攻撃者がパスワードを総当たりで試してきたら、パスワード付きzipファイルの中身は盗み見られてしまうのです。

PPAPの代替案

手間もかからず便利に利用できたPPAP。そのPPAPにとって代わり、セキュリティ対策にも重点を置いた方法にはどんなものがあるのでしょうか？ 以下の３つをご紹介します。

１、クラウドストレージサービスの利用

クラウドストレージサービスとは、web上の共有フォルダにデータを保管・共有できるサービスです。インターネット上に設置された倉庫のようなスペースです。
クラウドストレージでは、限られた人のみにパスワードが与えられ、アクセスが認められます。一方、パスワードを与えられていない人は、クラウドストレージ内のファイルは閲覧できません。そのため、安全な環境でファイルを共有できるのです。

２、ファイル転送サービスの利用

ファイル転送サービスとは、メールに添付できないような大容量のデータを送受信できるサービスのことです。SSL接続でデータ通信を暗号化したりデータを自動で削除したりするなど、セキュリティ対策に配慮したサービスも存在しています。古くから多くの企業での利用実績があるというのも安心材料の一つです。

３、チャットツールの利用

チャットツールとは、PCやスマホを使ってリアルタイムでコミュニケーションを取ることができるツールです。このツール上で特定された相手にファイルの送受信を行うことができます。ただし、通信が暗号化されていることが前提であるうえ、自分も相手も、両方でアカウントを持っている必要があります。

それでもファイル送受信時のセキュリティ対策は万全に！

2020年11月には当時の平井デジタル担当大臣が「中央省庁の職員はPPAP方式を使ってはならない」という方針を打ち出し「自動暗号化zipファイルそのものを廃止する」ともコメントしています。その後、PPAPの危険性は徐々に広まっています。

攻撃者は常に人間の心理の裏を読み、新しい攻撃方法を考え出しています。クラウドストレージサービスやチャットツールにウイルスが入ってこないとも限りません。
お客様や取引先、自社の重要な情報を守るためにもセキュリティ対策はいつでも万全の体制を整えておきましょう。

日々進化する世界に対応するためにも、セキュリティ対策についてのご相談はシステムラボまでお寄せください。