【山形の経営者へ】その「パスワード付きZIPメール」大丈夫？PPAPの危険性と今すぐ始める社内の守り方

1. その「当たり前」、実は危険かもしれません

見積書や請求書、社員の名簿などを送るとき、「ファイルをパスワード付きZIPにしてメールに添付し、別のメールでパスワードを送る」という作業を普段から行っていませんか？

日本のビジネスシーンで長年当たり前のように行われてきたこの手法は、業界用語で「PPAP」と呼ばれています。（Password付ZIPを送り、Passwordを送り、Angoka[暗号化]する、Protocol[手順]の頭文字を取ったものです）

「今までこれで問題なかったから」「みんなやっているから」と思われがちですが、実はこのやり方、重大な情報漏洩リスクを抱えていることをご存知でしょうか？

2020年11月に内閣府・内閣官房がPPAPの全面廃止を発表したのを皮切りに、文部科学省 や金融庁、さらにはNTTデータ、日立グループ、ソフトバンクといった大手企業が相次いで「脱PPAP」を宣言し、パスワード付きZIPメールの送受信自体を拒否する運用へ舵を切っています。

「大企業や政府だけの話でしょう？」と思われたかもしれません。しかし、大手の取引先から「我が社ではパスワード付きZIPメールは受け取れません」と拒否されたり、取引先のセキュリティ基準を満たせずに商談が止まってしまう事例が、ここ山形の中小企業やNPO・福祉施設でも増え始めています。

2. なぜ「脱PPAP」？政府や大企業が警告する3大リスク

なぜ、これほどまでにPPAPの廃止が進んでいるのでしょうか？政府やセキュリティの専門家が指摘する主な理由は、大きく分けて3つのリスクが存在するからです。

リスク1：荷物と鍵を同じトラックで送っている（通信経路の同一性）

1通目のメールで暗号化ファイルを送り、2通目のメールでパスワードを送る。一見すると二重の対策に見えますが、どちらのメールも「同じメールサーバー・同じ通信経路」を通って送信されています。

例えるなら、「金庫を載せたトラックの後ろに、その金庫の鍵を一緒に載せて走っている」ようなものです。万が一、悪意のある攻撃者にメールサーバーや通信経路を覗き見られた場合、1通目も2通目も簡単に横取りされ、一発で鍵を開けられてしまいます。

リスク2：セキュリティの「検問」をスルーしてしまう（ウイルス未検知）

会社で導入しているウイルス対策ソフトは、メールの添付ファイルに怪しいプログラムが入っていないか自動でチェックしてくれています。しかし、ファイルにパスワード（鍵）がかかっていると、ウイルス対策ソフトもファイルの中身を検査することができません。

つまり、悪意のある攻撃者がウイルスやマルウェアを暗号化ZIPに隠して送り込んできた場合、セキュリティの「検問」を素通りして受信者の元に届いてしまう危険性があるのです。

リスク3：間違えて送ったら最後、取り消せない（誤送信のリカバリー不可）

メールを送った直後に「あっ、宛先を間違えた！」と気づいた経験はありませんか？

メールは一度送信してしまうと、手元で取り消すことも相手のアクセスを止めることもできません。しかも普段の慣れで、1通目を誤送信した相手に対して、間髪入れずに2通目のパスワードメールも送信してしまうケースが後を絶ちません。結果として、誤った送信先に「ファイル」と「解凍用の鍵」の両方が揃って届いてしまうのです。

【コラム】ZIPの鍵自体、実は「30年前の古びた南京錠」？

さらに根本的な問題として、一般的なパスワード付きZIPで使われている暗号化方式（ZipCrypto）は、なんと1993年に開発された古い技術です。現代のパソコンの処理能力をもってすれば、専用の解析ソフトを使うことで、短時間で簡単にパスワードを解読できてしまいます。

また、「会社名＋日付」などの推測しやすいパスワードを設定していたり、複数のファイルで同じパスワードを使い回していたりすると、一度破られた際に組織全体の重要データが危険に晒されることになります 。

3. 実際に起きている！PPAPによる情報漏洩事例

「リスクがあるのは分かったけれど、実際に事故なんて起きているの？」と思われるかもしれません。残念ながら、PPAPの運用が原因となった重大な事故は既にいくつも報告されています 。

事例1：誤送信でパスワードも一緒に届いてしまったケース

ある国立の研究機関において、職員が個人情報を含むファイルを同姓の別人に誤って送信してしまう事故が発生しました。ファイル自体はパスワード付きZIPで暗号化されていたものの、続くパスワードメールも同じ誤送信先に送ってしまったため、結果として個人情報が完全に流出してしまいました。

事例2：暗号化ファイルの中に潜んだウイルスに感染したケース

ある大手IT企業において、問い合わせを装ったメールに添付されていた暗号化ファイルを開いたことで、パソコンがウイルス（Emotet等）に感染し、数千件のメールアドレス情報が流出する事故が起きました。パソコンにはセキュリティソフトが入っていましたが、ファイルが暗号化されていたためウイルスを検出できませんでした。

4. 山形の中小企業・NPOが今すぐ始める「3つのステップ」

セキュリティ事故を起こしてしまえば、長年築いてきた地域での信用が一瞬で吹き飛んでしまいます。だからといって、高額なシステムをいきなり導入する必要はありません。まずは身の丈に合った対策から段階的に進めていきましょう。

STEP 1：まずはコストゼロでできる「足元の戸締まり」

予算をかけずに、今すぐ社内で徹底できる基本的な対策です。

• OSとソフトウェアを常に最新にする： 自動更新を有効にし、脆弱性（セキュリティの穴）を放置しない。
• 推測されにくいパスワードを設定する： 「大文字・小文字・数字・記号を組み合わせた10桁以上」をルール化し、使い回しや付箋でのメモ書きを禁止する。
• ファイル共有設定の定期見直し： 社内ネットワークやフォルダが「誰でも閲覧可能」になっていないか確認し、権限は必要最小限に絞る。

STEP 2：ルールと仕組みで固める「守りの強化」

テレワークの普及や、うっかりミス・内部不正を防ぐための仕組みづくりです。

• テレワーク時のルール策定： 危険なフリーWi-Fiでの作業禁止や、セキュリティが不十分な私物PCの業務利用規制。
• ログの取得とデータの暗号化： 「いつ・誰が・どのファイルにアクセスしたか」の履歴を残し、不審な動きの抑止力にする。

STEP 3：脱PPAPの本命「クラウドストレージ」の活用で攻めと守りを両立

メールにファイルを添付して送る運用そのものをやめ、法人向けの「クラウドストレージ」を活用したファイル共有へ移行することが、脱PPAPの最も確実に効果的な解決策です。

クラウドストレージへ移行することで、セキュリティと業務効率の両面で大きなメリットが得られます。

• 誤送信時の即時リカバリー： メールで共有リンクを送る方式のため、万が一送り先を間違えても、後からリンクのアクセス権限をオフにすればファイルの閲覧を阻止できます。
• 確実なウイルスチェックと暗号化： クラウド上で自動的にウイルススキャンが行われ、通信・保管データも常に暗号化されます。
• 「攻めのIT」による業務効率化： 事務所の外からでも安全にファイルへアクセスでき、複数人での同時編集や、うっかり削除したデータの復元など、現場の「ガタガタ道」を整える業務改善にも繋がります。

---

🛡️ 本日のまとめ：「メールでZIP送信」を見直し、安全でスムーズな現場へ

「昔からの慣習だからと、当たり前にパスワード付きZIPを送り続けている」
「脱PPAPが必要なのは分かったが、自社に合った代替手段が分からない」

そんな「とりあえず回っているけれど、なんとなく不安」を抱える経営者様、現場のリーダー様へ。
テクノガイドヤマガタでは、ITという「算盤（道具）」を使って、皆様の現場の「論語（想い）」を形にするお手伝いをしています。

【まずは無料の「お茶飲み」から】

システムを入れる前に、まずは現状の「ガタガタ道（課題）」を一緒に整理しませんか？
👉 無料のオンライン壁打ち（IT健全化アセスメント）の空き日程を見る

【お役立ち情報をお届け】

山形の中小企業・福祉施設に役立つ「守りのIT」情報や、ブログの更新通知をお届けします。経営者の右腕として、ぜひお役立てください。
👉 テクノガイドヤマガタ公式LINEに登録する（無料）

【提供サービスの詳細】

目先の「作業代行」ではなく、現場が自律して動ける「仕組み化」を伴走支援します。
👉 法人向け伴走支援サービス（IT経営参謀）の詳細はこちら