2025.9.29
2025.9.29
秘密分散フォーメール

『教えて！MIRAIちゃん』〜メールセキュリティ編〜

第1回：PPAPの問題点――なぜメールのセキュリティは難しい？――

秘密分散フォーメール

『教えて！MIRAIちゃん』〜メールセキュリティ編〜第1回：PPAPの問題点――なぜメールのセキュリティは難しい？――

■登場人物紹介

●MIRAI（ミライ）: 情報技術に詳しい、面倒見の良いAIロボット。ITコンサルタントとして、人々の悩みに寄り添いながら専門知識を分かりやすく解説してくれる。

●みなと: 中小企業に勤める社会人1年目。IT業界に飛び込んだばかりで、日々の業務に奮闘中。実務を通して、情報セキュリティの重要性と難しさに直面している。

※本記事に掲載している情報は2025年9月時点のものです。

「このファイル、本当にこのまま送って大丈夫…？」
あなたの会社の「当たり前」に潜む、2つの大きな落とし穴
なぜ？分かっていても「PPAP」をやめられない中小企業の現実
暗号化だけでは解決できない、「鍵」がもたらす新たな悩み
【今回のまとめ】
【次回予告】

「このファイル、本当にこのまま送って大丈夫…？」

みなと（カタカタ…）よし、A社に送る見積書ができたぞ。部長のチェックももらったし、あとはメールで送るだけだ。えーっと、ファイルを添付して…っと。あ、そうだ。うちの会社、重要なファイルはパスワード付きZIPファイルで送るのがルールだったな。ファイルを圧縮して、パスワードを設定して、と。よし、これでメールに添付して……

MIRAIちょっと待った！

みなとMIRAIちゃん⁉え、急にどうしたの？

MIRAI私はAIロボットとして業務の改善のアドバイスをしているの。

みなとえ、なんかいけないことをしようとしていたかな？

MIRAIええ、みなとくん今何をしようとしたの？

みなとえ、今、取引先に見積書を送ろうとしてたんだけど、うちの会社のルールでパスワード付きZIPファイルにしなくちゃいけなくて。ファイルをメールで送って、そのパスワードを後からメールで送ろうと思ったんだ。

MIRAIそうでしょ。それは、まさに「PPAP」ね。

みなとPPAP？

MIRAIPassword（パスワード）付きZIPファイルをメールで送り、その後にPassword（パスワード）を別のメールで送って、Angou（暗号）したファイルを確認する一連のProtocol（手順）を「PPAP」というの。

みなとＡは日本語なんだ（笑）……これは良くないのかな？

MIRAIその不安は残念ながら的中しているわ。

みなとやっぱり！？でも、でも、先輩も当たり前に使っているし、どうして良くないの？（※1）

あなたの会社の「当たり前」に潜む、2つの大きな落とし穴

MIRAIPPAPが広く使われてきたのは、手軽で、特別なツールもいらないからなの。でも、その手軽さの裏には、セキュリティ上の大きな落とし穴が2つも潜んでいるのよ。

みなと２つも？

MIRAI一つ目は、「ウイルスチェックを素通りさせてしまう」という問題があるの。

みなとウイルスチェックを素通り？どういうこと？

MIRAI多くの企業は、外部から送られてくるメールが安全かどうかをチェックするために、メールサーバーにウイルス対策ソフトを導入しているでしょう。でも、パスワードで暗号化されたZIPファイルは、そのソフトが中身を検査できない。「鍵がかかった箱」の中身を見られないのと同じ理屈ね。

みなとあ、そっか！言われてみればそうだ！

MIRAIもし、攻撃者が、ウイルスを仕込んだZIPファイルを送ってきたらどうなると思う？

みなとえっと……ウイルス対策ソフトが機能しないから、そのままメールを受信しちゃうってこと……？

MIRAIそのとおり。そして、後から送られてきたパスワードでZIPファイルを開いた瞬間、ウイルスに感染してしまう。せっかく高い費用をかけてセキュリティ対策をしていても、その防御網に大きな穴が空いているのと同じ状態なのよ。

みなとうわぁ……。それは怖いな…。じゃあ、二つ目の落とし穴っていうのは？

MIRAI「誤送信してしまった時のリスクが非常に高い」ことね。特に、パスワードを同じメール経路で送るという行為そのものに問題があるの。

みなとえ、パスワードは別のメールで送るから、安全なんじゃないの？

MIRAIそう思ってしまう気持ちは分かるんだけど、でも、考えてみて。もしZIPファイルを送る宛先を間違えてしまったら？

みなとあっ……！すぐに送るパスワードのメールも、同じ間違った宛先に送ってしまう可能性が高い！

MIRAIそういうこと。それに、もしメールの通信経路そのものが盗聴されていたら、ZIPファイルとパスワード、両方ともごっそり盗まれてしまう。「同じ経路でパスワードを送る」、これもPPAPの大きな弱点なの。まるで、家の鍵と住所を書いたメモを、同じカバンに入れて持ち歩いているみたいな感じね。

なぜ？分かっていても「PPAP」をやめられない中小企業の現実

みなとなるほどなぁ……。PPAPの問題点がよく分かったよ。

MIRAI政府も2020年にPPAPを廃止しているのよ。（※2）

みなとえ、そうなんだ⁉じゃあ、企業はもうとっくに対策しているんだろうね。

MIRAIそれが、そう単純な話でもなくて……。もちろん、多くの大企業が「脱PPAP」に向けて動いている。でも、今度は中小企業の取引先が、その対応に頭を悩ませているという新しい問題が起きているのよ。

みなと中小企業が？どういうこと？

MIRAI中小企業がPPAPを使い続けてしまうのには、切実な理由が３つあるのよ。「コスト」「人材」、そして「取引先との関係」。

みなともう少し詳しく教えて！

MIRAIまず「コスト」の問題。セキュリティ対策の重要性は理解していても、新しいツールを導入するには費用がかかる。「月額数十万円だと、今の経営状況では厳しい」「セキュリティより、まずは目の前の事業への投資が優先だ」というのが本音なのね。

みなとそっか……高額な費用をかけるのって大変なんだね。

MIRAI次に「人材」の問題。多くの中小企業では、情報システム部門なんてものはなくて、総務の担当者が他の業務と兼任でIT周りを見ているケースがほとんど。（※3）セキュリティの専門知識を持つ社員がいないから、PPAPの代替案を検討しようにも、「何が自社に合っているのか分からない」「導入後の設定や管理ができるか不安だ」となって、結局、今までどおりのやり方を続けてしまう。

みなと確かに、兼任でそこまでやるのは大変そうだ……

MIRAIそして、いちばん根深いのが「取引先との関係」なの。特に、元請けの大手企業からPPAPでファイルが送られてくる場合、「こちらだけ勝手に別の方法に変えるわけにはいかない」という事情がある。逆に、こちらからファイルを送る時も、「取引先に特別なソフトをインストールさせたり、面倒な手間をかけさせたりするのは申し訳ない」と考えて、結局PPAPを選んでしまう。

みなとうーん、負のスパイラルなんだね……

MIRAIそうなのよ！そして、その状況をサイバー攻撃者は見逃さない。セキュリティが強固な大企業を直接狙うのではなく、取引関係のあるセキュリティ対策が手薄な中小企業を踏み台にする「サプライチェーン攻撃（※4）」が、今すごく増えているの。中小企業が使い続けているPPAPが、その攻撃の侵入口になってしまうのよ。