「安全そうに見えた」が、いちばん危ない！三菱UFJ銀行PPAP廃止が日本企業に突きつけた“やってる感セキュリティ”の限界

27.1%の企業がまだ使っている「やってる感セキュリティ」：メガバンクが7月18日に終わりを告げるPPAPの、正しい後始末

三菱UFJ銀行が2026年6月8日に発表したPPAP廃止は、表面上は「ZIPファイルの送り方が変わります」という業務連絡に見えます。でも実際には、暗号化ファイルという見せかけの安全がマルウェアの温床になってきた構造、金融庁が2025年5月に業界全体へ廃止を要請してからの一連の流れ、そして「ファイルを送る」から「アクセス権を渡す」へという発想の転換まで、日本企業のセキュリティ意識の急所が一点に集まった出来事でした。自分の会社はどう動くべきか、その手がかりを整理します。セキュリティ対策万全ですか？

そもそも「PPAP」とは何だったのか

PPAP。ピコ太郎のそれではありません。
「パスワード付きZIPファイルを送る」
「パスワードを送る」
「暗号化」
「プロトコル」の頭文字です。
ファイルをZIPで圧縮して暗号化し、1通目のメールで送付。直後に2通目で「先ほどのパスワードは〇〇です」と送る。この手順を、多くの日本企業が「セキュリティ対策」として採用してきました。

始まりは2000年代初頭とされています。当時の脅威モデルは「メールの盗聴」でした。経路上で第三者にメールが傍受された場合でも、ファイルが暗号化されていれば中身は見られない。その発想は、当時の技術環境においては一定の合理性がありました。

問題は、それから20年が経過したことです。

「暗号化してある」が、なぜ危険なのか

2019年、マルウェア「Emotet（エモテット）」がパスワード付きZIPファイルを悪用した感染拡大を始めます。仕組みはシンプルで、かつ巧妙でした。ZIPファイルを暗号化してしまえば、受信側のメールセキュリティ製品（ゲートウェイのウイルススキャン、サンドボックス）は中身を検査できない。パスワードがないと解凍すらできないからです。

攻撃者にとって、PPAPは棚から牡丹餅でした。
「ユーザー自身がパスワードを入れて解凍してくれる」。つまり、セキュリティ製品の防壁を、ユーザーの手で自分から突き破らせる構造になっていた。JPCERT/CCが公開した資料によれば、2022年前半のEmotet攻撃メールの多くがパスワード付きZIPという形式を採用しており、JPCERTは2022年4月にはショートカットファイルを内包したパスワード付きZIPの新手口まで観測しています。

「暗号化している」という事実が、むしろ防御の目をくぐり抜けるための武器になっていた。これが、PPAPの本質的な問題でした。

経路上のTLSについては、補足が必要です。Microsoft 365やGoogle Workspace同士のメール通信では、配送経路はTLS（トランスポート層セキュリティ）で暗号化されています。「なら経路保護は十分なのでは」という感覚は、部分的には正しい。問題の核心は経路の傍受ではなく、受信後にファイルが端末上で解凍・保存・実行される段階で起きるからです。TLSは通信路を守りますが、デスクトップに保存されたEmotet入りのExcelファイルは守れません。

今回概要まとめ図