パスワード付きzipファイルはセキュリティ対策にならない？ 理由と代替手段を解説
パスワード付きzipファイルをメールで送るいわゆるPPAPは、社外へデータを共有する際の有効なセキュリティ対策として広く普及してきました。ところが、近年ではその脆弱性が認知され、廃止する企業が増えています。
今回は、PPAPの危険性を再確認するとともに、社内の重要な情報をパスワード付きzipファイルで共有するリスク、PPAPの代替手段について解説します。
パスワード付きzipファイルとは？ PPAPとの関係や送付方法
パスワード付きzipファイルとは、セキュリティ対策の一環で、圧縮時にパスワードを設定したファイルのことです。まず、パスワード付きzipファイルとPPAPの関係、具体的な送付方法について解説します。
PPAPとは
PPAPとは、「パスワード付きzipファイルの作成」→「パスワードの設定」→「ファイルの送付」→「パスワードを別送」の流れで、暗号化されたファイルを共有する方法です。次のように頭文字を取って、「PPAP(ピーピーエーピー)」と呼ばれます。
| P | Password（パスワード）付きzipファイルの送付 |
|---|---|
| P | Password（パスワード）の送付 |
| A | Angouka（「暗号化」のローマ字） |
| P | Protocol（プロトコル：データのやり取りの手順や規約） |
パスワード付きzipファイルとパスワードを別送することで、どちらか1通が流出または誤送信した場合にもファイルが開かれずに済むとして、広く一般に普及しました。しかし、近年では、後述するセキュリティ面の危険性が問題視されています。
パスワード付きzipファイルを送付する方法
PPAPでパスワード付きzipファイルをやりとりする場合、送信者と受信者では、それぞれ次のような作業が発生します。
| 機能名 | 作業 |
| 送信者 |
|
| 受信者 |
|
パスワード付きzipファイルがセキュリティ対策にならない理由
PPAPは、2011年頃から内閣府や一般企業でも慣習化されてきた方法です。一部で指摘されていた脆弱性が次第に認知され、2022年には当時のデジタル改革担当大臣がPPAP廃止の方針を発表しました。
プライバシーマークの認証機関である一般財団法人日本情報経済社会推進協会(JIPDEC)も、PPAPを推奨しているわけではない旨を公式に表明しました。こうした動きを受け、現在では一般企業でも脱PPAPの流れが進んでいます。
パスワード付きzipファイルは、なぜセキュリティ対策として機能しないのでしょうか。次に、その理由を説明します。
情報漏洩のリスク
もともとPPAPは、zipファイルとパスワードを「別の手段」で送付して安全性を高める方法でした。
例えば、パスワード付きzipファイルをメールで送る場合、電話やチャットなどのメール以外の手段でパスワードを伝えれば、セキュリティリスクを下げられます。ところが、現状のPPAPでは、zipファイルとパスワードをメールで別送することが通例です。
しかし、パスワード付きzipファイルとパスワードを別々のメールで送信したとしても、同じ通信経路をたどれば、セキュリティ対策として機能しません。なぜならメールの送信経路がハッキングされた場合、どちらのメールも盗聴されるリスクが高いからです。
情報漏洩が企業に及ぼす影響は大きく、企業イメージの低下や社会的信用の失墜のほか、損害賠償にまで発展するリスクもあります。
マルウェアの感染リスク
PPAPは、メールに添付されたパスワード付きzipファイルを経由して、マルウェアに感染するリスクを高めます。
圧縮ファイルの中身までチェックできるセキュリティソフトでなければ、メール受信時のウイルスチェックで圧縮ファイル内のマルウェアを検知できません。こうしたセキュリティソフトの弱点を突いたのが、マルウェアを仕込んだ攻撃メールです。
特に、感染拡大力のあるEmotet（エモテット）は、2020年前後からメールを介して猛威をふるいました。Emotetに感染すれば、機密情報の漏洩だけでなく、他のマルウェアへの感染、社内外への感染拡大といった被害の連鎖も起こりかねません。
深刻な被害を生むマルウェア感染を防止するためにも、脱PPAPが叫ばれています。
安全にファイルを共有するための代替手段
脱PPAPを図るにあたって、安全性の高い代替手段の選定に頭を悩ませている方も多いのではないでしょうか。次に、PPAPに代わるファイル共有の方法について紹介します。
ビジネスチャット
チャットをはじめ、通話やファイル共有などもできるビジネス向けのコミュニケーションツールです。ファイル共有機能を利用すれば、メールを介さずにデータの受け渡しが可能です。
ビジネスチャットは、メッセージや情報をリアルタイムでやりとりでき、グループ間でも相互に情報共有できるという利点があります。また、重要な情報の取り扱いにも対応できるようにセキュリティを強化したサービスもみられます。
ただし、業務でのコミュニケーションが活発化する反面、情報量が増えて重要なメッセージやファイルを見逃すケースもあるので注意が必要です。
S/MIME
S/MIMEは、暗号化と電子署名により、メールの安全性や信頼性を高める技術です。「Secure/Multipurpose Internet Mail Extensions」の頭文字を取り、「エスマイム」と呼ばれます。銀行のようにメールの機密性が不可欠な企業でも活用される方法です。
S/MIMEに対応したメールサービスを利用すれば、メールの本文や添付ファイルが暗号化されることで、万が一メールが盗聴された場合も解読を阻止できます。電子署名を付与して、なりすましやメール内容の改ざんを防止する機能もあります。
一方で、導入と運用にかかるコストの高さや管理の煩雑さなどがデメリットです。
ファイル転送サービス
メールでは送信できない大容量のファイル共有に適した方法が、ファイル転送サービスです。送信者がインターネット上のサーバーにファイルをアップロードして、ダウンロード専用のURLを受信者に伝えます。
URLの送付でメールを利用する場合はあるものの、ファイルの共有自体にメールを使用することはありません。
ただし、セキュリティ対策の充実度は、サービスによって様々です。ビジネス利用には、暗号化やアクセス制御、ウイルスチェックによる感染対策、誤送信対策などを講じた法人向け有料サービスをお勧めします。
クラウドストレージ
ファイル転送サービスと同じく、オンライン上でファイルを共有する方法に、クラウドストレージがあります。インターネットを通じてクラウドストレージにファイルを保存し、保存先のURLを受信者と共有する仕組みです。
一時的なデータ共有が想定されたファイル転送サービスに対して、クラウドストレージは長期のデータ保存にも利用されます。
クラウドストレージは、オンライン環境があれば、社内外を問わず、ファイルへアクセスできる点がメリットです。ただし、ファイル共有が手軽な分、セキュリティリスクは残されるため、比較検討の上、セキュリティ機能が充実したサービスを選ぶようにしましょう。
データを安全に受け渡すなら「Final Document」
データを受け渡す際の安全性を担保しつつ、脱PPAPを図りたい企業様は、セキュアな環境でのファイル転送を提供する「Final Document」の利用をご検討ください。
「Final Document」は、2要素認証をはじめ、ストレージや通信の暗号化、アクセス制御など、セキュリティが充実したクラウドサービスです。
アップロード時のウイルスチェックのほか、誤送信対策として上司承認によるダブルチェックや共有リンクの取り消しなどの機能も搭載しています。30日間の無料トライアルもありますので、PPAP対策を検討されている企業様は、お気軽にお問い合わせください。
まとめ
パスワード付きzipファイルを使用するPPAPでは、情報漏洩を防げないばかりか、マルウェア感染のリスクが高くなります。データ共有の安全性を確保したいのであれば、セキュリティリスクの低い代替手段が必要不可欠といえるでしょう。
メールを利用しない代替手段として、ビジネスチャットやファイル転送サービス、クラウドストレージがあげられます。メールを利用したい場合は、S/MIME対応のメールサービスを検討してみましょう。
自社の利用状況に合った安全な代替手段を選択して、脱PPAPを実現させてください。
