2020年11月17日、中央省庁にて平井 卓也デジタル改革担当大臣がパスワード付きファイルのメール送信を廃止する方針を明確にしたことで、PPAPは広く一般に知られるようになった。また、この平井大臣の発言を受け、大手企業やクラウドサービスベンダーが次々と、PPAPによる運用を廃止することを発表している。

そもそもPPAPとは、ファイルをパスワード付き暗号化ZIPファイルにしてメールで送信し、別のメールでパスワードを送信する手順を意味している。YouTubeからヒットした「ペンパイナッポーアッポーペン（Pen-Pineapple-Apple-Pen）」を由来とした造語で、「 Password付きZIP暗号化ファイルの送付」「Passwordの送付」「暗号化（A）」「Protocol」の頭文字からなる。日本情報経済社会推進協会（JIPDEC）を経て「PPAP総研」を設立した大泰 司章氏が命名した。

では、実際にPPAPにはどのようなセキュリティリスクがあるのだろうか。

萩野谷氏「大きく二つの問題点があります。一つは"Emotet"や"IcedID"といったメールを介した外部からの攻撃に、暗号化されたZIPファイルが利用されてしまうことです。暗号化されているために、ZIPファイルの中にマルウェアが含まれていてもメールゲートウェイのセキュリティ対策で検知できません。そのため、セキュリティ担当者は、ZIPファイルを全て通してしまうか、全て遮断してしまうかの二択を迫られてしまうのです。そしてもう一つは、メールの通信経路を傍受された場合、二通目のパスワードも一緒に見られてしまうことです。これではパスワードがかかっていないのと同じです」

EmotetやIcedIDは、いずれもメールに添付されたファイルを入口としたマルウェアだ。これらのマルウェアの感染によって、「メールやブラウザの認証情報を搾取される」「別のマルウェアがダウンロードされる」「攻撃メールの送信元に利用されてしまう」などの被害が報告されている。

こうした攻撃にZIPファイルをはじめとする暗号化されたアーカイブファイルが利用されるケースも増加しており、2020年10月6日には米国土安全保障省サイバーセキュリティ・インフラストラクチャー・セキュリティ庁（CISA）が、暗号化されたアーカイブファイルが添付されたメールをブロックするよう注意喚起している。そのため、海外に暗号化ZIPファイルが添付されたメールは届かない、あるいは今後届かなくなるケースは増えていくだろう。

また、PPAPは日本独自のセキュリティ文化であるともいわれている。これほど広まった理由として、プライバシーマークの取得要件の中に「メールに添付するファイルは暗号化する」といった内容が含まれていたことが理由に挙げられているが、この件についてJIPDECは2020年11月18日にPPAPは推奨していない旨を公式に発表している。

こうした理由により、現在多くの組織において、PPAPの代替手段が模索されている。よく挙げられるのは、S/MIMEなどによる暗号化メールやオンラインストレージの活用だが、暗号化メール運用は敷居が高く、採用している組織が非常に少ないため、あまり期待はできない。一般的に採用事例が多いのはオンラインストレージを活用したファイル共有だが、それにもメリットとデメリットがあると萩野谷氏は語る。

「送信したいファイルをオンラインストレージにアップロードし、そのURLを送信する方法であれば、通信経路を傍受されていてもメールの通信経路とファイルを送信する経路が異なるため安全です。しかし、ファイルが暗号化されていなければ、第三者に送信されて見られてしまうという懸念は払拭できません」（萩野谷氏）

さらに、オンラインストレージ活用については、セキュリティ以外にも課題が残るという。

「オンラインストレージに切り替えることは、メールの運用ルールを変更するということです。ルール変更に伴ってアップロードの仕組み、URLの取得方法などを社内に浸透させるためには時間がかかり、社内での問い合わせが増えてしまうこともあるため、できれば避けたいところです。また、利用するオンラインストレージサービスによっては、監査が難しいという問題もあります。例えば『〇日以内に内容を削除する』といったストレージサービスをよく見かけますが、こうしたサービスは、あとから誰に対してどのようなファイルを送ったのかといった証跡を確認できなくなるといった問題があります」（萩野谷氏）

デジタルアーツでは、PPAP問題の対策として、メールセキュリティ「m-FILTER」とファイルセキュリティ「FinalCode」を組み合わせたソリューションを提案している。

「m-FILTERと連携させることで、メール送信時に添付ファイルは自動的にFinalCodeで暗号化されて送信されます。メールの運用ルールを変更させる必要はありません。今まで通りファイルをメールに添付して送れます。しかも、手元で暗号化ZIPファイルを作成する手間もかかりません。FinalCodeで暗号化されたファイルは、閲覧権限のある受信者しか閲覧できないので、転送されても権限が無ければ閲覧することができません。また、メール送信後にファイルを“あとから消す”という運用も可能です」 （萩野谷氏）

FinalCodeはファイルオーナーが、「閲覧者」「印刷・編集」「期間・回数」といった権限を指定できるサービスだ。ファイル送信後にも、アクセスログで追跡可能であり、渡したファイルをあとから削除することも可能であるため、ファイルの誤送信や不正利用が発覚した際には、速やかにそれらのファイルを削除できる。

また、FinalCodeクライアントモジュールを持たない社外の相手であっても、Webブラウザーを利用してファイル閲覧やファイル取り出しを可能にする暗号化方法もあり、社内外を問わずファイルの送受信をセキュアにする運用が可能だ。 

一方、m-FILTERは、例えば「全社的に添付ファイルは全てFinalCodeで暗号化する」や「特定のプロジェクトメンバーだけは誤送信や内部不正に対応したフィルタリングを設定する」など企業ごと、あるいは部署やチームごとに異なるメール運用ルールにも柔軟に対応できる。

また、本来m-FILTERは安全なメールの送受信を可能にするソリューションであり、送信メールだけでなく、受信メールについてもさまざまな安全対策が行われている。暗号化されたZIPファイルを検査する機能もあるため、受信側のPPAP対策にも効果を発揮する。

「今年の2月25日より、m-FILTERのオプションとしてFinalCodeの機能の提供を、月額100円で開始しました。PPAPの対策、EmotetやIcedIDなどメールを介した外部からの攻撃への対策に困っているお客様は非常に多いです。販売パートナーの皆様には、こうしたデジタルアーツのソリューションを提案いただき、お客様に活用していただけるよう、よろしくお願いいたします」（萩野谷氏）

PPAPが問題になっていることは知っていても、何が問題なのかを正確に理解しないまま、暗号化ZIPファイルで運用を続けている企業も多いだろう。問題点を説明し、手軽で安全な運用に切り替えることができる、メールセキュリティ「m-FILTER」とファイルセキュリティ「FinalCode」を組み合わせたソリューションを提案してみてはいかがだろうか。