メールで気軽に｢PPAP｣を使っている人のヤバさ

セキュリティ的な意味がないうえに受信側の負担大

PPAPとは、下記を略して名付けたものだが、もちろんピコ太郎の「PPAP（ペンパイナッポーアッポーペン）」のオマージュだ。

暗号化されたパスワード付きZIPファイルが添付されたメールが来て、別メールでその解凍用パスワードが来るという経験をした人は多いだろう。

送信する側にもそれなりに労力がかかるが、よくしたもので平文のファイルを添付すると自動的にPPAPのメールにするツールがあり、残念ながら普及している。これに対して受信側はもっと大変で、一旦ファイルを保存して、パスワードが書かれたメールを探しあてて解凍する必要がある。

メールの受信数が多い場合、パスワードのメールが先に来ていたり、たまたま届いていなかったり、パスワードのメールの発信元が送信者と違っていたり、もはや「パスワードはいつもと同じです」などと送ってくる相手だったりして、パスワードを探し当てるのもそう簡単ではない。こうしてようやくパスワードと巡り合えたとして、それなりの手順をこなして無事に添付ファイルを開いたら、飲み会の案内だったりしてガッカリすることもある。

そしてそもそも、多少複雑なパスワードにしたとしても、力ずくで解凍できるようなツールは出回っているし、万が一攻撃者が添付ファイルを奪えた場合は2通目のパスワードも奪えるため、暗号化の意味はない。PPAPは送信者の労力はもちろん、特に受信者の労力にはまったく見合わないのである。

振り返れば当初は、添付ファイルを暗号化して、パスワードを別の手段で送っていたように思う。それであれば多少はセキュリティ的な意味もあった。それがいつの間にか、パスワードが別メールで送られたり、本文に書かれたりするようになってしまった。

セキュリティ的な意味がもはやなくなって以降も、送信側も受信側も手間をかけて丁寧なメールのやりとりをすることで、「仕事をした」という満足感が得られるという効果はあったのかもしれない。必ずしも悪い文化だとは言い切れないが、ビジネスのスピードが上がった今となっては、受信側にヘイトが積みあがるだけだろう。

PPAPの最大の問題点としてセキュリティ業界からも指摘されるのは、受信者にとって大変危険な習慣だということだ。ZIP暗号化ファイルが添付されたメールは、万が一マルウェアが入っていてもフィルターをすり抜けて受信者に届いてしまう。受信者はつい、いつもの習慣で添付ファイルを開いてしまい、まんまとマルウェアに感染してしまうというわけだ。

政府が廃止を呼びかける中、禁止宣言を出す民間企業も

政府がPPAPに注目するきっかけは、2020年に開始したデジタル化推進に関する国民の意見募集サイト「デジタル改革アイデアボックス」で、PPAP停止のアイデアが1位となったことだ。ほどなく当時の平井卓也IT担当大臣がPPAPの廃止を表明し、その後国会でも答弁している。

とはいえ、まだ政府からなくなったわけではなく、2024年度から始まった「住民税決定通知書」の電子化ではPPAPに近い形で暗号化ZIPファイルが使われている。

政府の呼びかけに応じて、IT企業を中心に「PPAPのメールを送信しない」、あるいは「受信しない」という発表が相次いだ。政府が廃止の方針を打ち出し、メディアでも多く取り上げられたことで何らかの対応を迫られた形だ。しかしPPAPのメールを送信しないと言ってそのまま平文でメールを送ろうとはならず、代替策が必要だとして検討に数ヵ月から数年かかったり、諦めてしまう事例も多い。

一度広まってしまった商習慣を変えるという意味では、PPAPは他の習慣に比べて変化が速いとも言えるが、まだまだPPAPのメールは流通している。IT業界はメールや暗号化への関心自体が高いため、PPAPが廃止すべき習慣であることはもはや周知の事実になっている印象がある。

ただし他の業界では、脱PPAPはそれほど知られておらず、それどころか「これからPPAPをやろう」という企業もあるくらいだ。他の業界での脱PPAPの露出を高めていく必要性を痛感している。

脱PPAPには「代替手段が必要」の思い込み

「脱PPAPのためには代替ソリューションがなければならない」という思い込みもあるようだ。しかし実際は、平文でメールを送っても同じことなのだから、単純にやめてしまえばよいだけなのだ。

代替ソリューションの議論を始めると無限に時間が取られる。検討に疲れた挙句、「現状のPPAPを変えなくてもいいのではないか」という結論に陥りがちだ。もし代替ソリューションを選定できたとしても、往々にして、かえって受信者の手間が増えたという声も聞く。

PPAPは社内規則で決められていることがほとんどだが、PPAPのメールを大量に受信して困っている現場の従業員と、社内規則を決めたりシステム導入をしたりする立場の従業員との間の温度差も、脱PPAPが進まない原因だ。

さらに、PPAPのメールで困るのが主に受信者側であるのに対して、PPAPでメールを送るかどうか決めるのが送信者側である点も、問題解決を遅らせている。その意味では、多少の軋轢は生じても、受信者側が受け取り拒否をするという選択がもっと広がってもよいのではないかと思う。

「PPAPの代替手段は？」とよく聞かれるが、まずはメールの添付ファイルを平文のままで送ることが基本になる。同時に、もともとPPAPで送るべきではない機密性の高いファイルについては、受信者とどう共有するか、PPAPの代替手段としてではない位置づけで検討すればよい。

セキュリティもさることながら、業務効率も重要である。ぜひ、自社内だけでなく受信者側のセキュリティと業務効率も検討に加えてほしい。

それでもファイルを添付したい場合の手段とは

主にメールを使う対策は、以下のとおりだ。メール中心での業務進行を変えたくない場合に有効である。

一方で、メールを使わないという考え方もある。以下のいずれの方法も、送信側と受信側の双方が同じサービスのアカウントを持たなければならないという問題はあるが、送受信の量が多いときはメールより圧倒的に効率的だ。

以上のような代替手段を普及させることで、PPAPをなくすことができるという考えのもと、筆者は現在、DCOM（一般社団法人デジタル商取引推進協会）の設立を準備している。ここでは、賛同いただける方の参加を募っている。今後はそれぞれの代替案における要件をまとめ、サービス間の連携を推進してプロモーションを図る予定だ。

（大泰司 章 ： PRI（合同会社PPAP総研）代表社員）