添付ファイルをパスワード付きZipファイルとして送り、ファイルを開くためのパスワードを別送するいわゆる「PPAP」。

セキュリティリスクの高いファイル送信方法として、2020年11月に内閣府と内閣官房が廃止を発表。最近ではソフトバンクグループが廃止を決めたことが話題になるなど、企業でも「脱PPAP」の動きが加速しています。

PPAPのリスクや、代替手段に移行するときに新たに発生する課題、安全性と業務の進めやすさを両立させるに必要なことなどを、「RSFファイル交換サービス - SafetyCarrier」（以下「SafetyCarrier」）を提供する株式会社エクセス代表の原秀年氏に聞きました。

最大のリスクはマルウェア感染、「送信型主導」では防ぎきれない

——そもそも「PPAP」は、なぜ問題視されているのでしょうか？

原：最も深刻な問題は、マルウェアの拡散に悪用され、ファイルを受け取った側が脅威にさらされてしまうということです。ZIP暗号化を使って圧縮されたメールの添付ファイルは、パスワードで復号しないとZIPファイルの中身が確認できないので、一般的にはメールシステムでのウイルスチェックができません。

つまり、受信したZIPファイルをパスワードで復号して開いた時点で、ウイルスチェックのされていないファイルが受信者のPC環境上に突如として出現することになるんです。

もし、そのZIPファイルにマルウェアなどが含まれていた場合、そのまま感染して大きな被害へとつながってしまう可能性があります。

とくに、今年の始めごろからマルウェア「Emotet」の被害が急増しており、リスクが高まっている状況です。

——Emotetの流行をうけて、「脱PPAP」に取り組む企業も増えているようです。そのときに具体的に課題となるのはどのような点なのでしょう？

原：PPAPの代替手段となるファイルの受け渡し方法は、送信者側が自分のシステムを使って送る「送信者主導型」と、受信者が自分のシステムを送信者へ提供してファイルを受け取る「受信者主導型」に分けることができます。

「送信者主導型」の場合、送信者側が用意したツール上にファイルをアップロードし、そのリンクをメールなどで通知することになります。よく見かける方法ですが、この場合、リンクを通知するメールの「なりすまし」が発生するリスクがあります。

たとえば、その会社の取引先など実在の会社名をかたって、既存のファイル転送サービスそっくりに作った偽サイトのリンクを送り、そこからマルウェアの入ったファイルをダウンロードさせるといった手法での攻撃が可能になってしまいます。銀行などのフィッシング詐欺と同じ手口ですね。

送信者側が利用している正規の転送サービスのセキュリティがどれだけ強固だったとしても、偽物が作られてしまい、それを見分けることができなかった場合にはリスクが発生します。つまり、送信者主導型ではセキュリティリスクを完全に払拭するのは難しいのです。

——「受信者主導型」の場合は、何が問題になるのでしょうか？

原：一方の「受信者主導型」は、PPAPや添付ファイル付きメールの受け取りを断った後に、受信側が用意したサーバーのURLを相手に伝え、そこにファイルをアップロードしてもらう流れになります。

この方法の場合、送信者主導型のような「なりすまし」のリスクは防ぐことができますが、「PPAPをお断りして、アップロード先を伝えるメールを返信する」という作業が発生し、担当者の負担が増えることが課題です。

日頃からファイルをやりとりする取引先などに対しては、認証情報（パスワード）を付与して自社で管理するクラウド内に専用の領域を作るといった方法で負担を軽減することが可能ですが、1回限りの受け渡しなど、認証情報の付与が難しい相手の場合はそうはいきません。

その場合、ファイルを送りたい旨の連絡を受けるたびに、一時的なファイル受け渡しの領域を新たに作成し、相手に送信方法を伝える必要があります。さらに、ファイルを受け取った後は使い終わった領域を破棄するなどの後処理も必要になり、一連の対応が担当者にとって大きな負担になってしまいます。

PPAP問題を受信者の立場で解決できるサービスを開発

——「SafetyCarrier」は、これらの課題を解決するサービスとのことですが、どのようにファイルを受け渡しするのでしょうか？

原：「SafetyCarrier」では、受信者主導型でファイルを受け取る際に発生する受信側の一連の対応を自動化しています。

添付ファイルつきのメールが送られてくると、メールを拒否するとともに、ファイルのアップロード先のURLを伝えるメールを自動返信します。

相手がURLにアクセスしてファイルをアップロードすると、そのことを知らせるメールが受信側に自動送信されます。その後、受信側がアップロード先からファイルをダウンロードすれば受け取りは完了です。

自分のアドレスを使って送信している相手にだけ自動返信を行うしくみになっているので、他人になりすました相手はファイルを送ることができません。さらに、受信実績のあるアドレスでホワイトリストを作成し、既知のアドレスに似せた偽のアドレスからのファイル受信時には警告を表示する機能も用意しています。

また、取引先に認証情報を預ける必要がないことで、相手の管理上の負担を軽減できるメリットもあります。

——受信側の負担軽減にフォーカスしているサービスは珍しいように思います。開発の背景を教えてください。

原：このサービスを作った背景には、「ファイルを受け取る側に立った解決方法が必要だ」という思いがありました。

既存のファイル送信サービスは、送信する側が主体となってシステムが作られているケースが多いように感じます。しかし、先ほどお話ししたとおり、送信側がツールを用意する送信方法は、なりすましリスクが発生してしまいます。

一方で、受信側がツールを用意するとなると、担当者の作業負担が増えることになります。そのため、受信側に軸足を置いて考え、受信側の負担を増やすことなく、安全にファイルを受け取ることのできるしくみが必要だと考えました。


——送信側にとっては、ファイルを送り直す手間が発生してしまうのですね。

原：送信側からすると再度ファイルをアップロードしなくてはならないため、一手間増えることになります。実際、2020年末にサービスをリリースした当時は、添付ファイルの受信を断ることがまだ一般的でなかったこともあり、「添付ファイルで送る場合に比べて送信側の負担が増える」という厳しい声をたくさんいただきました。

しかし、受信者主導型で安全にファイルの受け渡しを行うためには、これは致し方ないことなのです。

——今後の機能追加などの予定があればお聞かせください。

原：より利便性を高めるため、外部のクラウドストレージやFTPサーバーなどと連携するしくみの導入を検討しています。また、広く使っていただくために外国語対応もしていけたらと考えています。

近年、多くの企業がPPAP対策として添付ファイルの受け取りを拒否することを選択しだしていることは、自分の組織を守るには、添付ファイルの受信を断る以外に方法が無いのだという考えが、広まりつつある表れであると感じています。

PPAPのリスクについて正しい認識が広まり、多くの企業が安全にファイルの受け渡しができるようになることを願っています。

（文・酒井麻里子）