三菱UFJ銀行もついにPPAPを廃止します
2026年6月8日、三菱UFJ銀行が一つの発表をしました。パスワード付きZIPファイルをメールで送り、そのパスワードを別のメールで送る、いわゆる「PPAP」を原則廃止するというものです。実施は7月18日から。今後は添付ファイルを送る際、メール本文に専用ダウンロードサイトのURLを記載する方式へと切り替わります。
廃止の理由として銀行が挙げたのは、ファイルが暗号化されているために、受信時のマルウェアチェックができないことでした。
PPAPを悪用したサイバー攻撃が実際に確認されている点も理由に含まれています。
正直なところ、「今頃か」という印象を持った方も多いのではないでしょうか。というのも、中央省庁が脱PPAPを打ち出したのは2020年11月のこと。それから5年以上が経っての発表です。日本を代表するメガバンクがようやく重い腰を上げたという事実は、裏を返せば、それだけ多くの企業がいまだにPPAPを続けているということでもあります。
なぜダメなのか：中身を見られない小包を送りつける行為
PPAPの何がそんなに問題なのか。ここで一つ、身近な例で考えてみましょう。
あなたの会社に、ある荷物が届きます。ただしその荷物は、開けるための鍵が別便で送られてくる仕組みになっていて、配達の段階では誰も中身を確認できません。警備員がX線検査をしようにも、暗号化された箱は透視できないのです。
これがPPAPの正体です。
会社のメールには通常、入口でマルウェアを検査する仕組み（メールゲートウェイやサンドボックス）が備わっています。ところがパスワードで暗号化されたZIPファイルは、検査する側もパスワードを知らないため中身を開けられません。暗号化されたファイルは、危険物かどうかを判定されないまま、そのまま社員の手元まで素通りしてしまうのです。
これは言い換えれば、受け取る側のセキュリティ検査を、送り主が勝手に無効化しているということ。
実際、かつて猛威を振るったマルウェア「Emotet（エモテット）」は、まさにこの仕組みを逆手に取りました。取引先になりすまし、パスワード付きZIPに不正なファイルを潜ませて送りつけ、検疫をすり抜けて感染を広げたのです。攻撃者にとってPPAPは、検査をすり抜けるための格好の「隠れみの」でした。
つまりPPAPとは、相手のセキュリティを犠牲にして成り立つ、極めて迷惑な慣習だと言えます。今もこれを続けている会社は、取引先に「中身を見られない小包」を送りつけているのと同じこと。
自社の都合で相手に検査放棄を強いる行為は、もうやめるべきです。
ではどうするか：リンク送付という代替案
三菱UFJ銀行が採用したように、これからの主流はメール本文にダウンロード用のURLを記載する方式です。ファイル自体はメールに添付せず、安全な保管場所に置いて、そこへのリンクだけを送る。受け手の検査を妨げないこの考え方が、脱PPAPの本質です。
ただ、ひとくちにリンク送付といっても、認証のかけ方にはいくつかの手法があります。代表的なものを整理してみましょう。
ひとつめは、別送パスワード型。
リンクは本文に書き、アクセスに必要なパスワードを別経路で伝える方式です。これだけだとPPAPと似ていますが、決定的に違うのは、ファイルが受信者のメールボックスに届く前にサーバー側で検査を通せる点。
ふたつめは、受信者メールアドレス認証型。
リンクを開くとメールアドレスの入力を求められ、そこへ使い捨ての確認コード（ワンタイムパスワード）が届く仕組みです。コードは一度きりで使い回せず、誰が・いつアクセスしたかの記録も残せます。指定した相手しか開けないため、なりすましにも強い方式と言えるでしょう。
そして三つめが、Googleドライブなどのリンク共有型。「リンクを知っている全員が閲覧可能」という設定がこれにあたります。手軽さは抜群ですが、「リンクさえ知られれば誰でも見られる」点を危険視する声も根強くあります。
「リンクを知る人だけ」は本当に危険なのか
最後の「リンクを知っている全員」方式は、本当に危ないのでしょうか。ここは少し技術的に踏み込んでみたいと思います。
危険だとされる理由は明快で、URLが漏れた瞬間に誰でもアクセスできてしまうからです。しかし、ここで考えたいのがURLそのものの推測されにくさ。
たとえばGoogleドライブの共有URLは、ランダムな英数字が数十文字も並んだ、人間にもコンピュータにも到底当てられない文字列になっています。これは実のところ、桁数の短いIDとパスワードの組み合わせよりも、よほど破られにくいのです。
「短い合言葉を二つ用意する」よりも「天文学的に長いひとつの鍵を渡す」ほうが、総当たりには強い。
これは筆者の個人的な見解ですが、十分に長く推測困難なURLであれば、安易なパスワード運用よりむしろ安全と言える場面はあります。
もちろん、リスクがないわけではありません。注意すべきは検索エンジンへのインデックス化です。何かの拍子にURLが公開ページに貼られたりすると、検索エンジンがそれを拾い、誰でも検索でたどり着けるようになる恐れがあります。
ただ、これはURLを外部に露出させてしまった場合の話。
突き詰めると、これは受け取った側がリンクをどこかに漏らしてしまった、という運用上の問題に行き着きます。パスワード付き添付であれ認証付きリンクであれ、受領者が情報を流出させれば結果は同じこと。「リンクを知る人だけが見られる」という方式そのものが悪い、とは筆者は考えません。
大切なのは、手法の優劣を決めつけることではなく、受け手の検査を妨げないこと、そしてURLや認証情報を不用意に露出させないこと。
御社のファイル送付方法は、相手に迷惑をかけていないでしょうか。この機会にぜひ見直してみてください。
