金融庁が求める「脱PPAP」の本質的な方法とは？

PPAPとは、 １通目のメールでパスワード付きZipファイルを添付し、２通目のメールでパスワードを送付するファイル送付方法のことです。セキュリティを向上させるビジネスマナーとして日本で広く使われていました。

いまさら聞けない「PPAP」の基本と問題点
～なぜPPAPは危険なのか？代替策は？～

なぜPPAPは「セキュリティ的に意味がない」と指摘されたのでしょうか。
いまさら聞けない「PPAP」の基本と問題点について解説していきます。

2000年代初頭のメール通信技術の課題に対するソリューションとして考案されたPPAPには「メール盗聴対策」「メール誤送信対策」「メールボックスの容量節約」「セキュリティ姿勢のアピール」の4つの目的が挙げられます。

• メール盗聴対策
  メール通信はほとんど平文通信で行われており、盗聴の危険性があった。そのためファイルだけでも安全に送りたい需要があった。
• メール誤送信対策
  パスワードを別送するため、誤送発生時にパスワード送付を止めればファイルの内容は守られると考えられていた。
• メールボックスの容量節約
  当時は100MB程度の容量しかなく、容量オーバーで不達になることも多かった。そこでファイルをZipに圧縮して受信者に配慮していた。
• セキュリティ姿勢のアピール
  PPAPはセキュリティ対策のビジネスマナーとして広がっていたので、企業としてセキュリティ姿勢を示すためにも使われていた。

情報化社会や通信技術の向上により、PPAPは現在では４つの目的すべてで実施する意味を失ってしまっています。

• メール盗聴対策
  総当たり攻撃によるパスワード解析が可能に
• メール誤送信対策
  パスワード解析が可能という点に加えて、パスワード送付を自動化していることもあるため誤送信に気付いたとしてもパスワードも送られてしまっていることも
• メールボックスの容量節約
  容量は当時に比べて大幅に増えており、添付ファイルの容量まで気にすることはほとんどない
• セキュリティ姿勢のアピール
  脱PPAPが求められる現在では逆効果になってしまっている

PPAPはファイルとパスワードをメールの同一経路で送付するため、通信の盗聴や誤送信による情報漏えいリスクが指摘されますが、もう一つ大きな弊害があります。
それは、パスワード付きZipファイルにしてしまうと、 受信時にウイルススキャンができないということです。

これは、メール攻撃の手法として悪用されることがあり、日常的にPPAPでやり取りをすることが攻撃の隠れ蓑となってしまいます。2022年ごろに流行したEmotet（エモテット）は実際にPPAPの形式で送付されて感染が拡大しました。

このような弊害を生むPPAPですが、一般企業と金融機関ではその目的意識に違いがあります。

一般企業は自社のセキュリティ向上のために脱PPAPを行っています。
必要な対応として、まずメール攻撃の被害を防ぐためにPPAPの受け取り拒否を行います。そしてPPAP以外のファイル送付方法を導入します。
一般的な方法としては「クラウドストレージ」や「添付ファイル分離」などURL形式でのファイル送付が広まっています。

1. クラウドストレージ
   オンライン上のストレージを経由してファイルをやり取りする方法
2. 添付ファイル分離
   メールに添付されたファイルをサーバー上に一時的に保管し自動でURLを案内するサービス

しかしながら、「クラウドストレージ」も「添付ファイル分離」もURLやパスワードをPPAP同様に同一のメール経路で案内するため根本的な解決策にはなっていないというのが現状です。

一方で今回の金融機関の脱PPAPの場合はどうでしょうか。

今回の脱PPAPは金融庁からの要請に基づいています。
金融庁は、少し前のセキュリティガイドラインの改訂で金融セクター全体のセキュリティ向上を掲げていました。
つまり 一般企業よりも広い範囲でのPPAP対策を考えなければならず、受信者も安全なファイル送付方法への移行が必要になります。

そう考えた時、 URL形式でのファイル送付では不十分だということがご理解いただけると思います。

ここで、冒頭の2025年5月23日の『ニッキン』の1面記事の抜粋をもう一度確認してみましょう。

「電子メールの通信経路自体の暗号化を基本とし、対応が難しい場合は、オンラインストレージなどの代替手段の活用を求めた。」と記載されています。

金融庁が示している脱PPAPの基本は非常にシンプルで「電子メールの通信経路自体を暗号化すること」です。つまり、インターネット上でやり取りされるデータを暗号化し、盗聴や改ざんを防ぐためのセキュリティ技術（プロトコル）であるTLS（Transport Layer Security）通信を前提に、 メールにファイルをそのまま添付して送るという考え方です。

通信経路がTLS暗号化されているインターネット通販でクレジットカード情報を送る際に、「Zip暗号化 + パスワード」などを使用しないのと同じ発想です。

PPAPの解決策【TLS確認機能】を徹底解説

PPAPを根本から解決する新機能「TLS確認機能」を徹底解説します。
機能やコスト、従来の代替策との違いなど、デモンストレーションを交えてご説明します。

クオリティアが提供するクラウド型メール誤送信防止サービスActive! gate SSに標準搭載されている「TLS確認機能」は、まさに金融庁が求める脱PPAPの本質を実現する機能です。

TLS 確認機能は、受信メールサーバーが TLS 対応 (暗号化通信) しているかを確認し、添付ファイルにパスワードをかけずに送ることもできる機能です。
この機能により、TLS通信対応の宛先にはファイルをそのまま添付して、非対応の場合は添付ファイル分離形式に自動的に切り替えて送付することも可能になります。

Active! gate SSについてはこちら 脱PPAPの本質を実現するActive! gate SSの「TLS確認機能」の詳細については、以下より遠慮なくお問い合わせください。 資料請求はこちら お問い合わせはこちら