「PPAP」をいつまで続けるのか、セキュリティー対策の効果は薄く面倒なだけだ
「PPAP」という言葉をご存じだろうか。お笑い芸人が展開しているあの楽曲のことではない。 ここで言う「PPAP」とは、「Password付きzipファイルを送ります、Passwordを送ります、An号化（暗号化）、Protocol（プロトコル）」の略。電子メールの添付ファイルをzip形式に圧縮してパスワードを付与し、パスワードを記したメールを追送するビジネス慣習を言う。読者諸氏のもとにも、「PPAP」方式で添付ファイルが送られてくるケースがあろう。 このPPAP、政府が開設した「デジタル改革アイデアボックス」にも廃止を求める提言が投稿されるなど注目を浴びている。PPAPは、セキュリティー対策の名の下に多くの企業が取り入れているものの、効果は極めて限定的。それどころか、むしろセキュリティーリスクを高める行為であるとさえ専門家から指摘されている。 PPAPは生産性やビジネススピードの足かせにな
それでも「PPAP」を使い続ける国内企業はどのくらい？ 有害と知りつつ使う企業も、そのワケは
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。Twitter: ＠shiropen2 東京大学空間情報科学研究センター、大阪公立大学大学院情報学研究科、東京大学大学院情報理工学系研究科ソーシャルICT研究センター、株式会社国際電気通信基礎技術研究所に所属する研究者らは「日本国内におけるメールセキュリティに関する実態把握」の研究報告を発表した。 パスワード付き圧縮ファイルを添付したメールとそのパスワードを書いたメールを別々に送るセキュリティ対策手法（通称：PPAP）において、脆弱性が高いにもかかわらずまだ使い続けている有無や理由、脆弱性の認識はあるかなどの質問を組織344社に行い、分析した研究報告である。 取引先や顧客など社外の相手とファ
添付ファイルの暗号化はもはや必要ない 脱PPAPの真実と代替案
PPAPはセキュリティ対策としての効果が薄いばかりか、生産性の低下を引き起こすと指摘されている。約9割のメール通信サービスが対応している機能を使えば、PPAPの矛盾を解消し、安全かつ楽に添付ファイルを送信できるという。 脱PPAP論の上原 哲太郎教授と問題解決の方向性を議論 セキュリティ効果が薄く業務効率を下げるといわれる「PPAP」（暗号化ZIP添付メール）だが、「周りが続けているからやめられない」という本音も漏れ聞こえる──メール誤送信防止サービスを提供するクオリティアは2022年8月、脱PPAP論で知られる立命館大学教授の上原 哲太郎氏を招いてオンラインセミナー「上原哲太郎氏×老舗メールセキュリティベンダーのガチンコ対談 ～『脱PPAP』対策：コスト・慣習の壁を打ち破る現実的な進め方～」を開催した。PPAPの弊害とともに、メールサーバの多くが対応する機能を生かした脱PPAPアプローチ
PPAPに対する当社運用の変更について | インターネットイニシアティブ(IIJ)
また、IIJより社外の方へパスワード付きファイルを添付し送信する場合においても、今後順次別の手段へ変更いたします。 上記の変更にともない、ファイルを共有するための別の手段を用意し、移行いたします。その利用につきましては、お客様、お取引先様に、個別にご連絡を差し上げます。 変更に至った背景 メールにパスワード付きのzipファイルを添付して送信し、そのパスワードを後送する「PPAP」は、日本において多く見られる情報セキュリティ対策の一つですが、効果が薄いだけでなく、ウィルススキャンをすり抜けてしまうことから、米国のサイバーセキュリティ・インフラセキュリティ庁においてもブロックすることが推奨されています。 この仕組みを悪用したマルウェアは今後も発生することが予想されることから、当社だけでなく、お客様、お取引先様よりお預かりする情報を守るためにも、対応が必要との考えに至りました。 当社のお客様、お
実践企業3社の情シスが語る 「脱PPAP」を従業員と取引先から理解を得て進めるコツ
実践企業3社の情シスが語る 「脱PPAP」を従業員と取引先から理解を得て進めるコツ：PPAPをやめたい企業のホンネが明らかに 「パスワード付きZIPファイルの添付」いわゆる「PPAP」からの脱却を目指す動きが民間企業の間で盛んになっている。「脱PPAP」を実現した3社の情報システム部門担当者が集まり、実現までの道のりを本音で語り合った。 電子メールに暗号化したZIPファイルを添付してパスワードを別送するビジネス慣習、いわゆる「PPAP」は“セキュアにファイルを送信する手段”としてこれまで普及してきた。 しかし、PPAPは暗号化したファイルとパスワードを同一経路で送るためセキュリティ対策として有効ではない。パスワード付きZIPファイルはウイルス対策ソフトで検知できないという特徴によって、「Emotet」などのマルウェアに悪用されるケースも増加した。スマートフォンで受信しても添付ファイルが開け
IIJ、パスワード付きZIPファイル廃止へ 本文のみ受信、添付ファイルは自動削除 “脱PPAP”実現には課題も
IIJ、パスワード付きZIPファイル廃止へ 本文のみ受信、添付ファイルは自動削除 “脱PPAP”実現には課題も：2022年1月から（1/2 ページ） IIJがパスワード付きZIPファイルとパスワードを同じ経路で送信する方法（いわゆるPPAP）を廃止する方針を明らかにした。2022年1月26日以降は、メール本文のみ受信し、添付のZIPファイルはフィルタリングの時点で自動削除し、受信できないようにする。 インターネットイニシアティブ（IIJ）は11月15日、パスワード付きZIPファイルとパスワードを同じ経路で送信する方法（いわゆるPPAP）を廃止する方針を明らかにした。2022年1月26日以降は、メール本文のみ受信し、添付のZIPファイルはフィルタリングの時点で自動削除し、受信できないようにする。PPAPはセキュリティ上の課題が多いとされ、内閣府や一部の民間企業で廃止する動きが出ている。
PayPay、PPAPの受信を停止 今後はクラウドストレージ経由でファイル共有 Emotet対策で
PayPayは6月21日、パスワード付き圧縮ファイルをメールに添付して送信し、パスワードを記載したメールを別送する、いわゆる「PPAP」の受信を7月13日にやめると発表した。WordやExcelのマクロファイルを添付したメールの受信も停止。今後は「Box」「PrimeDrive」など、クラウドストレージ経由でのファイル共有を受け付ける。 「パスワード付き圧縮ファイルやMicrosoft Officeマクロファイルは、ウイルスチェックが困難である特性から、国内外で感染被害が増大している『Emotet』などのウイルスメール攻撃に悪用されている。当社においてもこのようなメールの受信を多数確認した」（PayPay）という。 今後、パスワード付き圧縮ファイルやMicrosoft Officeマクロファイルをメールで受け取った場合は、本文を除いて添付ファイルを削除する。パスワード付き圧縮ファイルやMi
【セキュリティ ニュース】新手の攻撃？と思いきや、被害組織のPPAPシステムが「Emotet」メールも暗号化（1ページ目 / 全2ページ）：Security NEXT
「Emotet」の攻撃手法が進化したと思いきや、感染組織が従来セキュリティ対策として導入したメールシステムが、ばらまかれる感染メールを暗号化して検知逃れを手助けしていた――そのようなケースが報告されている。 標的型攻撃の情報を参加組織内で共有する枠組み「J-CSIP」において、参加企業より報告された「Emotet」の攻撃メールを調査したところ、判明したもの。 「Emotet」では、セキュリティ対策製品による検知をすり抜けるため、暗号化した「zipファイル」とともに、メールにパスワードを記載して送りつけるケースがある。暗号化ファイルとパスワードを同経路で送信するいわゆる「PPAP」に似せた攻撃手法だ。 4月後半の段階で、暗号化zipファイルを用いるケースでは、ファイルを添付したメールそのものにパスワードを記載している。 しかし、今回報告されたケースでは、添付ファイルとは別のメールでパスワード
技術観点で暴く“PPAPの無意味さ” 本気で脱却を目指す企業に向けた代替策
パスワード付きZIPファイルをメールに添付し、別メールでパスワードを送付するいわゆる「PPAP」を廃止する動きが盛んだ。これを実現するためには取引先や社内部署との調整も重要だが、まずはPPAPのデメリットや代替策を正しく把握することから始まる。 本稿は、アイティメディア主催のオンラインセミナー「ITmedia Security Week 2022春」（2022年2月28～3月7日）の「脱PPAP」をテーマにした、上原 哲太郎氏（立命館大学情報理工学部 教授）による基調講演「結局のところ、メールの添付ファイルはどうやって送ればいいの？」の様子をレポートする。技術的な観点から明らかになったPPAPの問題点とは。
ソフトバンクが“PPAP”廃止 「Emotet」などのマルウェアを警戒
ソフトバンクは2月15日、同社従業員のメールアカウントにおけるパスワード付き圧縮ファイルの利用を廃止すると発表した。同日以降、パスワード付き圧縮ファイルを添付したメールを受信した場合、メール本文のテキスト以外の全ての添付ファイルが削除されるという。 同社は「パスワード付き圧縮ファイルは、昨今増加している『Emotet』などのマルウェアの感染経路に利用される場合があり、当社でもこのようなメールの受信を確認した」と説明。情報セキュリティ強化のため、廃止を決めた。 パスワード付き圧縮ファイルをメールに添付して送信し、パスワードを記載したメールを別送する方法は、セキュリティ対策として日本の企業を中心に広く普及した。しかし、圧縮ファイルを装ったウイルスに攻撃されるリスクがあるなど、専門家からは対策としてほぼ無意味と指摘がある。その問題提起の中で、このファイル送信方法は「PPAP」（Passwordつ
ソフトバンクが奇習「PPAP」廃止！社員宛に送られたパスワード付zipファイルは「自動削除」に - すまほん!!
ソフトバンク株式会社は、自社従業員が業務使用するメールにおけるパスワード付き圧縮ファイルの利用を廃止すると告知しました。 特に日本国内ではパスワード付き圧縮ファイルで送信し、パスワードを別途送信する風習が横行し、これらは「PPAP」の名称で呼ばれています。 ファイルが暗号化されたパスワード付き圧縮ファイルは受信時のマルウェア検知が極めて困難であり、これを感染経路として利用する攻撃が世界や自社でも確認されているといいます。 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）もこうしたファイルをブロックすることを推奨。日本国内でも中央官庁が廃止するなどの動きがありました。 こうした背景を踏まえセキュリティ強化のため廃止を決定。2022年2月15日以降、メールアカウントにおける利用を廃止。従業員宛メールで添付されたパスワード付き圧縮ファイルは全て自動削除するとのこと。 送信
当社におけるパスワード付き圧縮ファイルの利用廃止に関するお知らせ | 企業・IR | ソフトバンク
ソフトバンク株式会社は、当社従業員が業務で使用するメールアカウントにおけるパスワード付き圧縮ファイルの利用を廃止しますのでお知らせします。お客さまならびにお取引先企業、関係機関の皆さまには、ご理解とご協力をお願いいたします。 パスワード付き圧縮ファイルは、ファイルが暗号化されているため、メール受信時のマルウエアのチェックが極めて困難です。昨今増加しているマルウエア「Emotet」などの感染経路として利用されるなど、悪意ある攻撃が世界中で多数確認されており、当社においてもこのようなメールの受信が確認されました。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、これらのファイルをブロックする対策を提唱しており※、国内でもパスワード付き圧縮ファイルの利用を廃止する動きがあります。 こうした背景を踏まえ、取引先のお客さまと当社の情報セキュリティをより一層強化するため、廃止
IIJ、PPAP廃止へ 社外から届くパスワード付きZIPファイルは削除
IIJは、パスワード付きZIPファイルを添付したメールとパスワード記載メールを個別に送信する「PPAP」を廃止すると発表した。2022年1月26日から添付ファイルは削除し、メール本文のみを受信する。 インターネットイニシアティブ（IIJ）は11月15日、パスワード付きZIPファイルをメールに添付して送信し、パスワードを記載したメールを別送する、いわゆる「PPAP」を廃止すると発表した。2022年1月26日以降はパスワード付きZIPファイルをフィルターによって削除し、メール本文のみを受信する。 同社は「PPAPは、日本で多く見られる情報セキュリティ対策の一つだが、（情報漏えいを防ぐ）効果が薄いだけでなく、ウイルススキャンをすり抜けてしまう」と説明。この仕組みを悪用したマルウェアが、今後も発生すると予想し、同社とその顧客、取引先の情報を守るためにも対応が必要と判断したという。 今後、IIJは別
日立グループにおけるパスワード付きZIPファイル添付メール(通称PPAP)の利用廃止に関するお知らせ：日立
2021年10月8日 株式会社日立製作所 日立グループは、2021年12月13日以降のすべてのメール送受信において、パスワード付きZIPファイルの利用を廃止させていただくことを、お知らせいたします。 パスワード付きZIPファイルが添付されたメールは日立グループにて送受信されず、受信者/送信者の日立グループ従業員に対して、配送を抑止した旨がメールで通知されることとなります。 お客さまおよびお取引先さまにおかれましては、日立グループとのデータの授受の方法につきまして、適宜担当者にご相談頂けますと幸いです。 弊社施策に対するご理解とご協力を賜りますよう、何卒よろしくお願いいたします。 背景 従来、通称PPAP*は、多くの人が利用可能で通信経路上の暗号化を保証する方式として日立グループにおいても利用されてきました。しかし、すでに暗号方式としてセキュリティを担保できるものでなく、昨今はパスワード付き
「ZIP暗号化」運用（PPAP）は効果がないのか？EmotetやIcedIDなどの外部攻撃対策にはデジタルアーツの『脱ZIP暗号化』運用｜デジタルアーツ株式会社
PPAP対策が可能な 「f-FILTER」連携、「暗号化強固オプション」を ｢m-FILTER｣ Ver.5、｢m-FILTER@Cloud｣で提供 PPAP対策はメール送信時の対応と受信時の対応によって実現！！ メールでファイルを送る際に、日本の多くの企業・団体で慣例化された「ZIP暗号化」運用（PPAP）ですが、セキュリティレベルを担保するための暗号化ではないため様々なインシデントリスクを抱えてきました。 2020年にデジタル庁による『中央省庁の職員が文書などのデータをメールで送信する際に使用する「ZIP暗号化」ファイルを廃止する方針』の発表があるなど、「脱PPAP」が常態化しつつあります。 また、昨今「ZIP暗号化」されたファイルを添付し、ユーザーに解凍させることでマルウェアに感染させようとするケースが報告されています。 弊社では「PPAP」運用に対していち早く警鐘を鳴らし、メールセ
「暗号化ZIPのパスワードは別送します（PPAP）」は無意味、ZIP暗号化パスワードは1秒未満で解読可能
デジタルアーツは6月23日、PPAP（メールなどでパスワード付きZIP暗号化ファイルを送る手法）がセキュリティーの上で問題となっていることへの注意喚起として、ZIPファイルのパスワードは6桁程度ならば1秒未満で解読できると発表した。 ZIPファイルのパスワードには入力制限がなく何度でも試行できることから、同社では一般的に購入可能なパソコンとオープンソースで入手できるパスワード回復のソフトウェアを利用してテストを実施。サンプルで設定した「zansin」という英語小文字6ケタのパスワードは1秒未満で解読できたという。また、12ケタと若干多めのケタ数であっても解読時間は2分51秒という短時間で解読。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
害悪とまで言われる日本特有のメールセキュリティ「PPAP」から企業はどう脱出するか
今後は公表が相次ぐかも？ 日立グループがいわゆる「PPAP」メールの利用廃止を発表【やじうまWatch】
「PPAP」の代替策、クラウドストレージサービスは万能か？ IIJのレポートから考える
原子力規制委、メール暗号化解除パスワード送付の不具合でアドレス漏洩
