はじめに
近年、企業の情報漏洩事件が相次ぐ中で、「PPAP方式」と呼ばれるメール添付ファイルの送信方法が大きな問題として取り上げられています。
「パスワード付きZIPファイルを送るのだから安全」と考えがちですが、実際にはこの方式が情報漏洩リスクを高める温床になっていることをご存じでしょうか？
本記事では、過去の漏洩事例をもとにその危険性を明らかにし、より安全なデータ保護手段について徹底的に解説します。
特にIT部門やセキュリティ責任者の方にとって、企業の信頼を守るために必読の内容となっています。
PPAPについて、詳しく知りたい方はこちらのブログ記事「PPAPとは？その仕組みと問題点、代替策まで徹底解説」もぜひご覧ください。
PPAPに関する実際の情報漏洩事例
PPAP方式がセキュリティ上危険だと言われるのは、理論的な話にとどまりません。実際に、PPAPによるメール送信が原因、あるいは関与した形での情報漏洩・事故が、いくつも報告されています。
ここでは特に代表的な3つの事例を取り上げ、そのリスクの実態を明らかにします。
人生で初めて積み木を踏んだ時、その痛さに驚きましたよね？
そこで初めて、「角のあるものは危ない」と気づきました。
人は痛い目をみないと自分事化できないものです。
でも、痛い目を見た人が言うんだから間違いないわけです。
三菱電機の情報漏洩事件（2020年）
事件概要
2020年1月、三菱電機は外部からのサイバー攻撃により、大規模な情報漏洩が発生したと発表しました。攻撃は、中国系ハッカーグループ「Tick」が関与したとされ、メールシステムへの侵入を足がかりに社内ネットワークへのアクセスが試みられました。
PPAPとの関連
報道によれば、メール通信の傍受やZIPファイルの解凍が可能な環境が構築されていたとされ、PPAP方式で送られていた添付ファイルも「同時に取得される危険」があると指摘されています。
この事件は、PPAPが安全な通信手段ではないことを世間に知らしめた大きな転機となりました。
参考：日経クロステック
https://xtech.nikkei.com/atcl/nxt/column/18/00598/021000205/
NTTグループ内での誤送信・誤配信（事例集）
問題の背景
NTTデータ関西などが公表している事例によると、PPAP方式でファイルを送信した際に、
- パスワードを送る宛先を間違える
- CC欄に社外のメールアドレスを含めてしまう
- 本来とは違うZIPファイルを添付
といった人的ミスによる誤送信が何件も発生しています。
なぜ事故が起きやすいのか？
PPAPは送信者が「ファイルを送る」「パスワードを別送する」という2つのアクションを手動で行う必要があるため、手順ミスが起きやすい構造になっています。
特に業務が多忙な中でメールを送る場合、細かな確認を怠ってしまい、結果的に社外への機密情報流出につながってしまうのです。
参考：NTTデータ関西「情報漏洩につながるメール送信ミスとその対策」
https://www.nttdata-kansai.co.jp/media/012/
教育委員会・自治体でのPPAP運用停止事例
背景と対応
複数の自治体・教育委員会でも、PPAP方式を使っていた際のパスワード誤送信などが相次ぎ、情報セキュリティ審査で問題視されるケースが増えてきました。
例として、ある県教育委員会では、
- ZIPファイルに誤って別生徒の成績データを同封
- パスワード付きメールのパスワードが「日付」や「名前」で推測可能
といった事例が報告され、組織全体でのPPAP運用を廃止する通達が出されました。
社会的信用への影響
自治体や教育機関が起こす情報漏洩事故は、住民や保護者からの信頼を大きく損ねる要因となります。これらの事例を通じて、PPAP方式の限界がより明確になってきています。
PPAP方式が抱える5つの問題点
PPAPは一見すると「情報を分割して送ることで安全に見える」方法ですが、実際には多くの構造的欠陥を抱えています。ここでは、実運用の中で特に問題となる5つの要素について解説します。
ZIP暗号化の脆弱性
PPAP方式では、ZIP形式でファイルを暗号化しますが、実際のところこの暗号化は非常に弱い場合があります。特に一般的に用いられている「ZIPCrypto」方式は以下のような特徴を持ちます。
- 辞書攻撃や総当たり攻撃に弱い
- AESに比べて暗号強度が著しく低い
- フリーソフトで簡単に解読可能
IPA（情報処理推進機構）の調査でも、「パスワード付きZIPの多くが極めて弱いパスワードで運用されている」と指摘されています。
メールの盗聴・なりすましのリスク
PPAPは「別々のメールで送るから安全」という前提で運用されていますが、現実にはメールの盗聴やなりすましが容易に起こり得ます。
- 同一のネットワーク上で通信を傍受されれば両方のメールを取得可能
- メールサーバーが攻撃を受けた場合、送信元・送信先双方の信頼性が崩壊
- 攻撃者がパスワード通知メールだけを社内宛に偽装送信する手口も存在
特にクラウドメール（Gmail、Microsoft365等）を使う場合、内部共有や転送機能の存在により意図しない漏洩リスクも高まります。
運用負荷と人的ミスの温床
PPAPでは、ファイルのZIP圧縮やパスワードの設定・通知などを手動で行う必要があります。
- ZIP圧縮の手間
- パスワードの作成・記録・通知作業
- 宛先の確認ミスや送信漏れ
こうした「手作業」による工程は、ミスを引き起こしやすく、業務効率を大きく低下させる原因ともなっています。
たとえば、NTTデータ関西が紹介する事例では、年間200件以上の添付ミス・誤送信事故が発生しており、対応工数と信用喪失のコストが非常に高いとされています。
受信者の利便性を著しく損なう
PPAPを受信する側にも明確な不便があります。
- スマートフォンでのZIPファイル解凍が困難（特に法人向けセキュリティ端末）
- パスワードが届かない・届く前にメールが埋もれてしまう
- 解凍アプリのインストールが必要なケースも
このような状況は、特に社外の取引先に対して「不親切な印象」を与え、コミュニケーションの障害になりかねません。
マルウェアの拡散経路となるリスク
PPAPで送られたZIPファイルは、その中身がセキュリティ製品から見えないという問題があります。
- アンチウイルスソフトが中身をスキャンできない
- ZIP内にマルウェアを仕込まれても検出困難
- 攻撃者が「パスワードは別メールで送る」ことを逆手に取って信頼感を演出
その結果、PPAPはマルウェア感染のトリガーとして悪用されやすくなっているのです。
今は誰でもどこでも、インターネットを介してやり取りができる時代になった。
それは大人・子ども関係なく。
その状況を普及と捉えるのか。その普及率からリスクヘッジをするのか。
あなたはどっち？
国内外のPPAP廃止動向とガイドライン
PPAP方式の脆弱性が広く知られるようになり、日本政府や大手企業を中心に、その運用を廃止・見直す動きが急速に進んでいます。このセクションでは、国内外の最新の動向や公的なガイドラインを元に、その背景と対応事例を紹介します。
政府によるPPAP廃止通達（2020年）
2020年11月、内閣府および内閣官房は政府機関全体に対してPPAP方式の廃止を通達しました。これは、デジタル改革担当大臣（当時：平井卓也氏）が打ち出した「メール添付によるZIP送信廃止方針」に基づくもので、官公庁の文書にも明記されています。
具体的な内容
- パスワード付きZIPファイルのメール送付を原則禁止
- ファイル共有にはクラウド型のファイル共有サービスを推奨
- セキュリティリスクへの認識と改善を各省庁で徹底
この対応は政府内だけでなく、地方自治体や関連団体へも波及しており、民間企業にも大きなインパクトを与えました。
参考：デジタル庁・内閣官房通達資料より（2020年11月）
民間企業における廃止の流れ
ソフトバンクテクノロジー（SBテク）
SBテクは2021年、公式ブログにてPPAPの社内利用を全面廃止した方針を発表しました。
- ZIPファイルの添付は禁止
- 代替手段としてクラウド型ストレージ連携とセキュアメールシステムを導入
- 社内向けには教育とガイドライン整備を強化
参考：https://www.softbanktech.co.jp/special/blog/sbt_sbt/2022/0011/
デジタルアーツ株式会社（DAJ）
情報セキュリティ製品を提供するデジタルアーツでは、「PPAPがいかにリスクを抱えているか」を啓発する資料を多数発表。2022年には「PPAP廃止を促す企業向け導入事例集」を公開しました。
NTTデータ関西
自社での情報漏洩防止と併せて、顧客に対するPPAP廃止の提案も行っているのが特徴です。同社はメール誤送信に起因するリスクとその削減効果を示すレポートも発表し、運用効率とセキュリティの両立を重視した体制を整えています。
海外における対応状況
日本ほどPPAPが定着していない海外では、メール添付文化そのものが縮小しており、以下のような代替手段が一般化しています：
- Google Drive、Dropbox、Boxなどのクラウド連携
- ワンタイムダウンロードリンクの活用
- S/MIMEやPGPによるエンドツーエンドのメール暗号化
このように、海外では「メール添付＝非推奨」が共通認識になっており、PPAPのような分割送信方式は非効率かつリスクの高い方法として扱われています。
PPAPの代替となる安全なデータ送信手段
PPAPの危険性が明らかになる中、多くの企業や組織はより安全かつ効率的なデータ共有手段へと移行しつつあります。ここでは、実際に導入されている3つの代表的な代替手段とそのメリット・注意点について解説します。
ファイル共有クラウドサービス
クラウド型のファイル共有サービスは、PPAPの代替手段として最も普及している方法です。企業向けのサービスでは、セキュリティ機能が強化されており、次のような利点があります。
主な機能とメリット
- ワンタイムリンクの発行で、第三者による再アクセスを防止
- ダウンロード履歴やアクセスログの可視化・監査対応
- IPアドレス制限、閲覧期限付き共有など細かな制御が可能
- 暗号化された通信（TLS/SSL）とストレージ保護
セキュアメールシステム（S/MIME, PGPなど）
S/MIME（Secure/Multipurpose Internet Mail Extensions）やPGP（Pretty Good Privacy）は、メールそのものを暗号化して送信するプロトコルです。従来のメールの代替として高い安全性が確保されます。
特徴
- メール本文と添付ファイルの両方を暗号化
- 電子署名付きで改ざん検知可能
- 受信者しか復号できない「公開鍵暗号方式」を使用
注意点
- 証明書の発行・管理にコストがかかる
- 受信者側にも同じ仕組みが必要なため、社外とのやりとりには導入障壁がある
ファイル転送専用サービス
ファイル転送に特化した国産のサービスも、多くの企業で導入が進んでいます。PPAPの課題である「パスワード通知」や「ZIP圧縮作業」を自動化し、かつセキュリティを強化した設計が特徴です。
主な機能
- 一時保管型ダウンロードURLの発行
- アクセス回数制限、閲覧有効期限設定
- パスワード自動生成・別送もシステムが代行
- ダウンロード通知メール・操作ログの記録
これらのサービスは、日本企業のニーズに特化しており、コンプライアンス対応やログ管理を求める業種（金融、医療、自治体）で広く採用されています。
導入時の注意点
どの代替手段にも共通するのは、**「使いこなせなければ意味がない」**ということです。導入にあたっては、以下のような社内整備も同時に行うべきです。
- 利用ルールやガイドラインの整備
- 従業員への研修・ハンズオン
- 誤操作防止のためのUI評価
企業が取るべきセキュリティ対策とガバナンス
PPAPからの脱却や代替手段の導入は、単なるツールの置き換えではなく、組織全体のセキュリティ文化の刷新が必要不可欠です。このセクションでは、企業が具体的に取り組むべき3つの視点からの対策をご紹介します。
セキュリティポリシーの見直しと整備
まず重要なのは、明文化された情報セキュリティポリシーの整備と更新です。とくに以下のような項目を明確にする必要があります：
- ファイル送信時の許可された手段と使用ツールの指定
- 添付ファイル・URL共有に関するルールと制限事項
- データ分類（社外秘、部外秘など）ごとの取り扱いルール
たとえば、ソフトバンクテクノロジーでは、社内規定を「ZIPファイル付きメールの禁止」に改定し、PPAPを技術的・制度的に遮断しました。
ポイント
セキュリティポリシーがなければ、現場判断でPPAPが再発するリスクがあります。明確な方針を掲げることで、組織内の意識統一が実現します。
社内教育・啓発活動の強化
セキュリティ対策において最も多いリスク要因は「ヒューマンエラー」です。そのため、社員一人ひとりのリテラシー向上が欠かせません。
実施すべき施策
- 定期的なセキュリティ研修（eラーニング＋確認テスト）
- 実際のインシデント事例に基づくワークショップ
- 社内メルマガやポスターによる啓発活動
- 新入社員・異動社員への初期教育の徹底
参考データ
IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2024」によると、情報漏洩の約65%は人的要因によるものとされています（誤送信・紛失・誤操作など）。
システム的な多層防御の導入（技術対策）
ヒトのミスを防ぐには、システム側からの補助が不可欠です。次のような技術的対策を組み合わせることで、情報漏洩のリスクを最小化できます。
導入すべき対策例
- DLP（Data Loss Prevention）ソリューションの導入
→ 特定のファイルや文書が外部送信される際の検知・遮断が可能 - メール誤送信防止システムの活用
→ 宛先確認、添付ファイルの自動ZIP禁止、ダウンロードリンクへの変換など - アクセス制御とログ管理の徹底
→ ファイルの操作履歴を可視化し、不審なアクセスの監視体制を整備
まとめ：PPAPはもう古い？時代に即した情報保護を
PPAP方式はかつて、「最低限のセキュリティ」として多くの企業・組織で採用されてきました。しかし、現代のサイバーリスクの高度化と複雑化に対しては、もはやその方式は限界を超えているといっても過言ではありません。
- ZIP暗号の脆弱性
- メール盗聴のリスク
- 手作業による運用負荷
- 受信者の不便さ
- マルウェアの温床になりやすいという実害
こうした問題点が明らかになる中、政府も企業も、着実に「脱PPAP」にシフトしています。
大切なのは「代替手段を選んで終わり」ではない
クラウドストレージ、セキュアメール、ファイル転送サービスといった優れた代替手段は、すでに多く存在しています。しかし、それを「導入するだけ」では不十分です。
- 現場が正しく使えるか？
- ルールが整備されているか？
- 誤操作やヒューマンエラーをどう防ぐか？
といった点まで配慮し、組織全体のセキュリティガバナンスを高めることが必要不可欠です。
情報は「守るべき資産」であり「信頼そのもの」
一度でも情報漏洩が発生すれば、顧客の信頼、社会からの信用、取引先との関係など、すべてを一瞬で失うリスクがあります。
そのリスクを未然に防ぐために、私たちは今一度、「情報をどう扱うべきか」という原点に立ち返る必要があります。
PPAPに依存する時代は終わりを迎えつつあります。
これを機に、自社の情報セキュリティ体制を見直し、より安全でスマートなファイル共有文化へと進化させていきましょう。
ネクストアライブでは、
「Next File Share」という次世代ファイル共有サービスを展開しています。
📌 Next File Shareの主な特長
✅ URLによるシンプルなファイル共有
✅ メールアドレス認証で安全にダウンロード
✅ 自動削除機能で誤送信・情報漏えいリスクを軽減
✅ ITスキルを問わない直感的なUI
✅ 月額500円からのリーズナブルな価格設定
気になった方は↓下記画像リンク↓より詳細資料をご参照ください。
