三菱UFJ銀行、「PPAP」原則廃止へメール添付の運用を全面見直し

三菱UFJ銀行が、長年慣行となってきたパスワード付きZIPファイルのメール送信、いわゆる「PPAP」方式を見直し、原則として廃止する方針を打ち出しました。 2026年7月18日以降、同行から顧客に文書ファイルなどを送付する際は、メールにファイルを直接添付するのではなく、専用ダウンロードサイトのURLを本文に記載する方式へ順次切り替えるとしています。受信者は、別途通知されるダウンロード専用パスワードを用いてサイトにアクセスし、ファイルを取得する流れとなります。

「PPAP」は、パスワード付きZIPファイルをメールで送り、パスワードを別メールで送信する国内特有の運用として、日本企業や行政機関に広く普及してきました。一方で、ファイルが暗号化されることで受信時のマルウェア検査が困難になり、結果としてマルウェア付きZIPを見抜きにくいという課題が以前から指摘されていました。近年はパスワード付きZIPを悪用したサイバー攻撃も確認されており、セキュリティ対策としてはむしろリスク要因になり得るとの見方が強まっています。

政府は2020年11月、内閣府や内閣官房など中央省庁でPPAPを廃止する方針を決定し、クラウドストレージなどへの移行を進めてきました。これを契機に民間企業でも「脱PPAP」の動きが加速し、不動産やIT関連企業などが相次いで同様の方針を表明しています。メガバンクである三菱UFJ銀行による今回の決定は、金融業界のみならず、多くの企業にとってもファイル送信の在り方を見直すきっかけとなりそうです。

同行は案内文の中で、顧客のセキュリティ確保を目的に送信方法を切り替えると説明しつつ、利用者に対し新たな手順への理解と協力を求めています。これまで慣れ親しんだ「ZIP添付＋パスワード別送」というプロセスは簡便さもありましたが、セキュリティ環境の変化に伴い「当たり前」を改めざるを得なくなった格好です。

広がる「脱PPAP」　企業の情報セキュリティ戦略に与える影響

三菱UFJ銀行が導入する新方式では、メール本文に記載された専専用サイトのURLにアクセスし、別送されるパスワードを入力してファイルをダウンロードする二段階のステップを踏むことになります。従来のPPAPと同様にパスワード保護は維持しながらも、メールそのものには添付ファイルを載せないことで、メールゲートウェイ側でのセキュリティ対策や監視の柔軟性を高める狙いがあるとみられます。

PPAP方式は、もともと「メール誤送信時にファイル内容を守る」「ネットワーク上での盗聴リスクを減らす」などの名目で普及しましたが、暗号化ZIPがアンチウイルスの検査をすり抜けやすい点が大きな弱点でした。その結果、攻撃者にとっては、正規メールを装ったZIP添付が有効な手段となり、国内でも同様の手口による被害がたびたび報告されています。政府が2020年に「セキュリティ対策として不十分であり、受け取り側の利便性の観点からも適切ではない」と明言して以降、PPAPを前提とした運用を続けること自体がリスクと見なされるようになりました。

一方で、クラウド型のファイル転送サービスやオンラインストレージを利用する方式にも、新たな運用ルールや社内統制が求められます。 URLの誤送信や、第三者による不正アクセスをどう防ぐか、アクセスログの管理をどう行うかといった課題は残されており、単にPPAPをやめれば問題が解決するわけではありません。今回の三菱UFJ銀行の決定は、金融機関が顧客とのやり取りにおいてもクラウドベースの仕組みを積極的に活用する兆しとも捉えられ、今後、他の金融機関や大企業がどのような代替策を選択するのかが注目されます。

三菱UFJ銀行の方針転換が公表されたことで、メールを中心に据えた従来型の情報共有の見直しが、さらに広範な業種へ波及する可能性があります。企業側には、自社の業務フローや取引先の実情を踏まえつつ、セキュリティと利便性を両立する現実的な運用モデルを再設計することが求められていると言えます。