PPAPとは｜パスワード付きZIPを別送するファイル共有方式

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

PPAPとは、ファイルをパスワード付きZIPファイルにしてメールで送り、その後、ZIPファイルを開くためのパスワードを別のメールで送信するファイル共有方式である。

「PPAP」は、この運用を表す言葉として日本で広まった俗称であり、標準規格や正式なセキュリティ技術の名称ではない。

ファイル本体とパスワードを別々のメールで送ることで安全性を高める意図があるが、同じメール経路を利用することによる問題や、セキュリティ製品による検査を妨げる問題などがある。そのため、現在ではPPAPを廃止し、別のファイル共有方法へ移行する組織も増えている。

PPAPの仕組み

PPAPでは、一般的に次の流れでファイルを送信する。

ファイルとパスワードを別々に送ることで、一方だけが第三者に取得された場合にファイルを開けないようにする考え方である。

しかし、ZIPファイルとパスワードを同じメールアカウントから同じ相手へ続けて送る運用では、通信経路やメールアカウントが侵害された場合に両方を取得される可能性がある。

PPAPという名称は、運用方法を表す日本独自の略称として使われている。

実際には通信プロトコルの名称ではなく、パスワード付きZIPとパスワードの別送を組み合わせた運用を指す言葉である。

PPAPでは、ZIPファイルとパスワードを別々のメールに分けても、同じメール経路を利用することが多い。

例えば、受信者のメールアカウントが侵害されていれば、攻撃者は添付ファイルを含むメールと、その後に届くパスワードのメールを両方閲覧できる。

誤送信への対策としても限界がある。ZIPファイルを誤った相手へ送信し、その後のパスワードも同じ宛先へ送れば、別送したこと自体は情報の保護につながらない。

別送することと、異なる安全な経路を使用することは区別して考える必要がある。

パスワード付きZIPファイルは、メールセキュリティ製品が内部のファイルを展開できず、マルウェア検査が制限されることがある。

攻撃者がこの性質を利用し、マルウェアをパスワード付きZIPファイルに格納してメールで送信する手口もある。

ただし、すべてのセキュリティ製品がパスワード付きZIPを検査できないわけではない。製品やメールシステムによっては、受信拒否、隔離、後段での検査など別の方法で対処できる。

マルウェア検査の観点では、パスワード付きZIPそのものが危険なのではなく、暗号化された添付ファイルによって通常の検査が難しくなることが問題となる。

PPAPを使用しない場合は、ファイルそのものをメールへ添付せず、クラウドストレージやファイル転送サービスなどを利用する方法がある。

受信者だけにアクセス権限を与え、有効期限やダウンロード制限を設定できる仕組みであれば、送信後にもアクセスを管理できる。

また、誤った相手に共有した場合でも、アクセス権限を取り消せるサービスであれば、メール添付よりも事後対応を行いやすい。

ただし、クラウドストレージを利用すれば自動的に安全になるわけではない。共有範囲、認証方法、有効期限などを適切に設定する必要がある。

PPAPを利用している組織では、「パスワードを別送しているから安全」と考えるのではなく、何のリスクを防ぐためにその運用を行っているのかを確認する必要がある。

ファイル共有では、第三者による盗み見だけでなく、誤送信、メールアカウントの侵害、マルウェアの受信、共有後のアクセス管理なども考慮する。

PPAPから別の方式へ移行する場合も、単にパスワード付きZIPを禁止するのではなく、送信する情報の重要度や相手との関係に応じて、安全にファイルを共有できる手段を用意することが重要である。