パスワード付きzipとパスワードを別メールで送るPPAPの問題点

Share this for your friends.

暗号化したZIPファイルと復号化パスワードを別メールで送るのって、何か問題があるの？

ファイルを一部の人間にしか見せたくない場合、あらかじめパスワードをかけておくことでパスワードを知っている人間にしか見せないという方法がある。

これを他者とのファイルのやりとりに応用すると、漏洩したくないファイルを相手に送るとき、パスワード付きZIPファイルにすることで他の人の手に渡っても開けないようにするという「PPAP」と呼ばれる手法だ。

しかしこのPPAPは問題があるとされている。

一体何が問題なのか。

そこで今回はパスワード付きzipとパスワードを別メールで送るPPAPの問題点について紹介する。

この記事を書いている人

システムエンジニア、AIエンジニアと、IT業界で10年以上働いている中堅。PythonとSQLが得意。以前に旧セキスペを取得。

記事を読むメリット

パスワード付きzipとパスワードを別メールで送るPPAPの問題点がわかり、セキュリティに少し詳しくなる。

パスワード付きzipとパスワードを別メールで送るPPAPとは

PPAPとは以下の文の略。

Password付きZIPファイルを送ります、Passwordを送ります、Angoka（暗号化）Protocol（プロトコル）

パスワード付きzipを送って、パスワードを別で送る暗号化プロトコル。

途中で日本語が入っていることからわかるように、和製の俗称である。

PPAPによるファイルの送受信は、次のような段階によって行われる。
1.送信者は、ファイルをパスワード付きzipファイルで暗号化し、メールに添付して送信する。
2.送信者は、1.で送信した添付ファイルのパスワードを、別途メールにて送信する。
3.受信者は、送信者から受け取った添付ファイルとパスワードによってファイルを復号し、中身を得る。

参考：PPAP (セキュリティ) - Wikipedia

日本国内の企業でよく使われていたし、今でも使っている会社がある手法だが、何が問題なのか。

パスワード付きzipとパスワードを別メールで送るPPAPの問題点

ではPPAPの問題点とは何なのか。

以下のような点がPPAPの問題点として挙げられる。

ココに注意

漏洩対策にならない
ウイルスやマルウェアに弱い
対応コストが大きい

順に説明する。

漏洩対策にならない

PPAPの問題点のひとつは漏洩対策になっていないということ。

メールに添付したzipファイルが漏洩する時点で別メールに書いたパスワードも漏洩するので、漏洩対策として意味をなしていないのである。

漏洩対策をしたいのであれば少なくともパスワードはメールではなく、メッセージアプリ等の別の手段で送るべきだろう。

それでも後述する他の問題点は解決できない。

ウイルスやマルウェアに弱い

PPAPの他の問題点としては、ウイルスやマルウェアに弱いという点が挙げられる。

ファイルを送信する際に暗号化することで、もしファイルにウイルスやマルウェアが混入していたとしても送受信の経路では検知できなくなってしまう。

実際にマルウェアを懸念してPPAPを廃止した企業もある。

同社は「パスワード付き圧縮ファイルは、昨今増加している『Emotet』などのマルウェアの感染経路に利用される場合があり、当社でもこのようなメールの受信を確認した」と説明。情報セキュリティ強化のため、廃止を決めた。

参考：ソフトバンクが“PPAP”廃止「Emotet」などのマルウェアを警戒 - ITmedia NEWS