政府が廃止を決めた「PPAP」とは？ ピコ太郎との関係と問題点を解説

4年前に流行した、ピコ太郎の「ペンパイナッポーアッポーペン」（PPAP）を覚えている方は多いだろう。しかし、先日政府が中央省庁での「PPAP廃止」を決めたのは、ピコ太郎「じゃない方」のPPAPだ。

メールにパスワード付きZIPファイルを添付し、その後に送るメールでパスワードを知らせる──。中央省庁だけでなく日本の企業などで広く普及しているこの“セキュリティ対策”は、「セキュリティ的には意味がない」「むしろセキュリティリスクになる」とされ、専門家の間では「PPAP」と呼ばれ、廃止が訴えられてきた。

PPAPは、「ファイルをZIP形式で圧縮し、そのZIPファイルを暗号化してパスワードで保護し、メールに添付する」「それを解凍するパスワード入りメールを別送する」ことで、機密情報などを含んだZIPファイルが万一流出した場合に、悪意のある第三者に閲覧されないようにしようという考え方だ。

第三者が最初のメール「だけ」を盗聴した場合、パスワードなしではZIPファイルを開けないのでセキュリティ対策になる……ということだが、実のところ、最初のメールを盗聴できた場合は、次に送られたパスワード入りメールも盗聴できる可能性が高いなどの理由から、ほぼ無意味だと指摘されている。

また、パスワード付きZIPファイルは、メールサーバー上のウイルスチェックをすり抜けることもある。例えば、今年9月から急拡大したマルウェア「Emotet」は、パスワード付きZIPファイルに“身を隠す”ことで攻撃する事例もあり、むしろセキュリティリスクが高まると言える。

このように問題点だらけにもかかわらず、なぜか日本で広く普及してしまったこの“慣行”。専門家からは「PPAP」と揶揄されていた。

これを「PPAP」と呼ぼうと提唱したのは、ITコンサルタントで現在はPPAP総研代表の大泰司章さん。ピコ太郎が2016年に発表したPPAP（ペン・パイナップル・アップル・ペン）が由来だ。

大泰司さんは16年、ピコ太郎のPPAPの響きが「プロトコルっぽい」と言う人がいたことからヒントを得て、パスワード付きZIPメールの“セキュリティしぐさ”にPPAPと命名したそうだ（情報処理2020年7月号別刷「《小特集》さようなら，意味のない暗号化ZIP添付メール」より）。

つまり「（P）パスワード付きZIP暗号化ファイルを送り、（P）パスワードを送る、（A）暗号化 （P）プロトコル」というわけだ。

このように、以前から廃止すべきだといわれてきたPPAP。それが今回、政府が民間などから広く意見を募る「デジタル改革アイデアボックス」に投稿され、多数の賛成票を得て政府を動かした。

今後は、PPAPに代替するセキュリティ手段が重要になる。まず内閣府では、民間のストレージサービスでファイルを共有し、パスワードをメールで送信するなどの手段を採っていくようだ。

この記事は、Yahoo!ニュース個人に11月22日に掲載された「“じゃない方”のPPAP　政府が廃止を決めた、メールの「PPAP」って何？　詳しく解説！」を加筆、修正したものだ。

Copyright © ITmedia, Inc. All Rights Reserved.