PPAP

概要と由来

「Password 付き ZIP を送る」「Password を送る」「Angouka（暗号化）する」「Protocol（プロトコル）」の頭文字を取った造語。パスワード付き ZIP ファイルを添付したメールを送り、直後に別メールでそのパスワードを送るという、日本企業でかつて広く使われたレガシーなファイル共有手法。

セキュリティ上ほぼ意味がないばかりか、後述する深刻なリスクがあるとして、2020 年以降、中央省庁や大企業を中心に「脱 PPAP」の動きが急速に広がっている。

なぜ「脱却すべきレガシー慣習」なのか（無意味さと危険性）

最も重要なポイントは、この手法が「意味のない儀式化」していると正しく認識することである。

• 盗聴への無力さ：同じメール経路（ネットワーク）で ZIP とパスワードを立て続けに送るため、経路を盗聴されていれば両方同時に漏洩し、全く防御にならない。
• 暗号化の脆弱性：ZIP 標準のパスワードは暗号化強度が低く、専門ツールを使えば簡単に突破されてしまう。
• 【最重要】ウイルス検知のすり抜け：パスワードで暗号化された ZIP ファイルは、受信側企業のメールサーバーの「ウイルス対策ソフト」が中身をスキャンできない。この仕様を悪用し、マルウェア（Emotet 等）が PPAP を装って企業のセキュリティゲートウェイをすり抜け、社内ネットワークに侵入する被害が多発している。

実務における正しい対応と代替案

Web 担当者の実務では、社内のセキュリティルールの見直しや、外部業者・クライアントとのファイル授受でこの問題に直面する。

もし取引先から「PPAP で送って」と言われたら（または社内にまだルールが残っていたら）、「現在はセキュリティリスク（Emotet 等の感染源）となるため、PPAP での受信を非推奨としております」と伝え、クラウドストレージ（Box、Google Drive、OneDrive 等）の共有 URL ＋アクセス権限管理といった、より安全で利便性も高い代替手段を提案する。

やってはいけない「現場の落とし穴」と防衛策

• 思考停止のルール踏襲：「昔からのルールだから」「セキュリティのため（やってる感が出るから）」と盲目的に PPAP を続け、実態としては無意味な作業負荷（受信者のパスワード入力の手間やスマホで開けない不便さ）だけを強いること。添付の大半はそもそも暗号化自体が不要なケースも多い。形骸化した手順は勇気を持って断ち切り、クラウド共有への切り替えを推進していくべきである。