セキュリティ対策としての効果は薄い。それでも、パスワード付きZIPメールはなぜ日本の職場に残り続けるのか。答えは技術ではなく、私たちの「安心したい」という気持ちにありそうです。

「あのメール」を受け取ったことはありますか？

「添付ファイルをお送りします」というメールが届き、開こうとするとパスワードを聞かれる。数分後、「先ほどのファイルのパスワードをお送りします」という2通目が届く──。

会社員なら一度は経験したことがあるこの方法は、「PPAP（ピーピーエーピー）」と呼ばれています。2020年には政府が中央省庁での廃止に動き、大企業でも見直しが進みました。それでも2026年の今も、このメールは完全にはなくなっていません。

この記事では、次の3つの疑問に、専門家の資料をもとに答えていきます。

  1. PPAPは本当に安全ではないのか
  2. なぜ日本でだけ、これほど広まったのか
  3. 問題があると分かっていても、なぜやめられないのか

キーワードは、「安全」と「安心」は同じではないということです。

PPAPとは？ 30秒でわかる基本

PPAPとは、パスワードをかけたZIPファイルをメールで送り、そのパスワードを別のメールで送る方法のことです。

名前の由来は、次の頭文字です。2016年に流行したピコ太郎さんの曲名に響きが似ていることから、ITコンサルタントの大泰司章（おおたいし・あきら）さんが名付けました（ITmedia NEWS）。

  • PasswordつきZIP暗号化ファイルを送ります
  • Passwordを送ります
  • Aん号化（暗号化）
  • Protocol（手順）

記事に出てくる言葉のミニ解説

言葉 ひとことで言うと
ZIPファイル 複数のファイルを1つにまとめて小さくしたもの。パスワードをかけられる
暗号化 中身を、鍵（パスワード）を知っている人にしか読めない形に変えること
マルウェア パソコンに害を与える不正なプログラム。いわゆるコンピューターウイルス
クラウドストレージ インターネット上のファイル置き場。Google ドライブやOneDriveなど
セキュリティシアター 本当の安全より「対策しているように見えること」が優先された状態

PPAPは安全なのか？ 3つの問題

結論から言うと、PPAPは情報を守る効果がほとんどなく、むしろ新しい危険を生むことがあります。理由は3つです。

問題①：鍵と金庫を同じ郵便で送っている

ファイルとパスワードは、どちらも同じメールの通り道を通ります。1通目を盗み見できる人なら、2通目も盗み見できる可能性が高いのです。

立命館大学の上原哲太郎教授は、これを「スーツケースの鍵をスーツケースに紐でくくり付けている状態」とたとえています（ITmedia エンタープライズ）。情報処理学会誌でも、データと鍵を同じ経路で送る方法は盗聴対策として意味がないと指摘されています（楠正憲「PPAPのセキュリティ意義」）。

問題②：「誤送信の歯止め」も自動化で消えた

PPAPの数少ない利点は、「送り先を間違えたと気づいたら、パスワードを送らなければよい」という点でした。

ところが多くの会社では、メールシステムが添付ファイルを自動でZIP化し、パスワードも自動で送る仕組みを使っています（同上、楠氏）。人が途中で立ち止まる場面がなければ、この利点もなくなります。手順だけが残り、効果は消えているのです。

問題③：ウイルスの「隠れ蓑」になる

パスワード付きZIPは、メールのウイルスチェックが中身を確認できません。これを攻撃者が悪用しました。

2020年9月、JPCERT/CC（日本のサイバー攻撃対応の専門機関）は、マルウェア「Emotet（エモテット）」がパスワード付きZIPを使い、セキュリティ製品の検査をすり抜ける手口を確認したと注意を呼びかけています（INTERNET Watch）。

受け取る側が「パスワード付きZIP＝きちんとした会社の作法」と思い込んでいることも、攻撃者には好都合でした。情報を守るための仕組みが、攻撃の入り口になってしまったのです。

なぜ日本でPPAPが広まったのか

有力な説明は、「パスワードは別の経路で伝える」という正しい原則が、手間を省くうちに「別のメールで送る」にすり替わったというものです。

本来の考え方では、パスワードは電話や郵送など、メールとは別の手段で伝えます。片方の経路が盗まれても、もう片方が無事なら情報は守られるからです。しかし、ファイルを送るたびに電話をかけるのは大変です。

上原教授は、「機密データは暗号化して送ること」という社内ルールがまずあり、パスワードを伝える手段として楽で他社もやっているメールが選ばれ、一般化していったと分析しています（ビジネス+IT）。そこへ、ZIP化からパスワード送信までを自動でこなす製品が登場し、官公庁や金融機関などに広く導入されました（楠正憲「PPAPのセキュリティ意義」）。

「Pマークで求められたから」は本当？

よく聞く説に、「プライバシーマーク（Pマーク）やISMSの審査で求められたから広まった」というものがあります。

しかし、情報処理学会誌の座談会では、どちらの制度もPPAPの原因ではないと整理されています（崎村夏彦氏ブログ）。Pマークを運営するJIPDECも、2020年11月に「PPAPを推奨したことはない」と表明しました（ScanNetSecurity）。

それでも現場では、「これをやっておけば、情報管理の対策をしていると説明できる」と受け止められたようです。ルールに書かれていなくても、「やっておいたほうが無難」という空気がルール以上に強く働く。PPAPの普及には、こうした組織の心理も関わっていたと考えられます。

やめたいのに、やめられない4つの理由

PPAPが残るのは、危険性を知らない人が多いからだけではありません。上原教授は2025年の講演で、次の4つの理由を挙げています（ITmedia エンタープライズ）。

  1. 人事異動のたびに復活する：担当者が替わると見直しの経緯が引き継がれず、古い手順が標準に戻る
  2. 社内ルールで決まっている：規程を変えない限り、現場は従うしかない
  3. 添付ファイルは手元に残って便利：メールを検索すればファイルも見つかる
  4. 共有リンクは切れることがある：期限切れで後から開けなくなる不安がある

どれも、現場で働く人なら「分かる」と思える理由です。ちなみに上原教授の体感では、受け取るPPAPメールは2019年頃の月30〜40通から、2025年には月2〜3通まで減ったそうです。減ってはいても、ゼロにはなっていません。

実は、売る側も「やめたい」と言っていた

面白いのは、PPAPを自動化する製品のベンダー自身が、やめたがっていたことです。名付け親の大泰司さんがベンダーと話したところ、「PPAP自体はやめたいが、使う会社があるのでやめられない。代わりのオンラインストレージ機能はあり、設定ですぐ切り替えられる」と言われたそうです（大泰司章「PPAPとはなにか」）。

使う側がいるから売り続ける。売っているから使い続ける。誰も強く望んでいないのに、全員が現状維持に参加してしまう。組織の慣習が変わりにくい理由が、ここによく表れています。

PPAPが与えているのは「安全」より「安心」

PPAPがしぶとく残る一番の理由は、手間がかかるぶん「ちゃんと対策した」という実感を与えてくれるからではないでしょうか。

暗号研究者のブルース・シュナイアーは、セキュリティには「実際の安全」と「安全だという感覚」の2つの面があり、両者は一致しないと論じました（The Psychology of Security）。実際の効果より「対策している様子」を見せる施策を、彼は「セキュリティシアター（見せかけのセキュリティ）」と呼んでいます（Wikipedia: Security theater）。

PPAPとクラウドストレージでの共有を比べると、この「感覚」と「実際」のずれがよく分かります。

PPAP クラウドストレージで共有
送る人の手応え 暗号化した、2通送った、という記録が残る リンクを送るだけ
受け取る人の手応え パスワードを探して入力する クリックして開くだけ
実際の守り ほぼなし（同じ経路・ウイルス検査を回避） ログイン確認・閲覧者の制限・リンクの取り消し・ウイルス検査など

クラウドの守りは裏側で働くため、利用者には見えません。PPAPの守りは手作業として目に見えるため、安心を感じやすい。手間をかけたことと、安全になったことが、いつの間にか同じものとして扱われているのです。

もちろん、安心感そのものが悪いわけではありません。問題は、安心感が本当の危険を見えにくくしてしまうことです。

PPAPの代わりに何を使えばいい？

上原教授が勧めるのは、クラウドストレージやビジネスチャットでの共有です。通信が暗号化され、サービス側でウイルス対策がされ、誤送信してもリンクを無効にできるからです（ITmedia エンタープライズ）。

方法 向いている場面 気をつけたい点
クラウドストレージの共有リンク 社外の取引先とファイルをやり取りする 共有範囲と有効期限の設定を忘れない
ビジネスチャット（Teams、Slackなど） 社内や、継続的にやり取りする相手 相手が同じツールを使っている必要がある
ファイル転送サービス 一度きりの大容量ファイル 期限切れ後は開けない
ファイルをそのまま添付 機密性の低い資料 送信前の宛先確認が大切

大企業では、日立グループが2021年12月13日以降、パスワード付きZIPの送受信を廃止しました（日立製作所のお知らせ）。

「安心」も一緒に置き換えるのがコツ

「今日からPPAP禁止」と伝えるだけでは、現場の不安が残ります。PPAPが担っていた安心感を、本当に安全な仕組みで置き換えることが移行の近道です。

  • 期限が見える：共有リンクに有効期限を付け、「いつまで見られるか」をはっきりさせる
  • 相手を限定する：パスワードを知っている人ではなく、許可した人だけが開けるようにする
  • 記録が見える：誰がいつ開いたかを確認できるようにする
  • 取り消せる：誤送信に気づいたら、すぐにリンクを無効にする

これらの機能はサービスによって異なります。導入前に、自社で使うサービスで何ができるかを確認してください。また上原教授は、メール盗み見の原因の多くはアカウントの乗っ取りだとして、二段階認証（多要素認証）の導入も勧めています。

ITの現場にある、ほかの「儀式」

PPAPを「安心のための儀式」と見ると、IT業界のほかの不思議な習慣も同じ目で眺められます。

サーバーの横にお菓子を置く台湾の「乖乖」

台湾には、スナック菓子「乖乖（グァイグァイ）」をサーバーや機械の横に置くと故障しない、という習わしがあります。文化人類学者の河合洋尚さん（東京都立大学）によると、決まりは次のとおりです（河合洋尚「スナック菓子『乖乖』」）。

  • 「乖」は中国語で「よい子」。機械が「よい子」に動くよう願う
  • 置くのは緑のパッケージだけ。緑・黄・赤を信号に見立て、赤だと機械が止まるとされる
  • 賞味期限が切れると効き目がなくなる

広まったのは2010年代後半とみられ、IT企業やハイテク産業の現場で多いといいます。河合さんは、機械がなければ生まれなかった「近代の科学技術が生んだ新しい信仰」だと位置づけています。

アヒルに話しかける「ラバーダック・デバッグ」

プログラマーの間には、アヒルのおもちゃに向かってプログラムを1行ずつ説明する「ラバーダック・デバッグ」という手法があります。1999年の書籍『The Pragmatic Programmer（達人プログラマー）』の逸話が由来です（Wikipedia）。

奇妙に見えますが、言葉にして説明するうちに自分の考えの抜けに気づける、という実用的な効果があります。

不安が大きいほど、人は儀式を求める

人類学者マリノフスキーは『呪術・科学・宗教』で、南太平洋トロブリアンド諸島の人々の漁を記録しました。安全な入り江での漁では呪術を使わず、危険で結果が読めない外洋の漁でだけ呪術を行っていたのです。

ITの現場も似ています。サーバーが止まればサービスが止まり、情報が漏れれば信頼を失う。どれだけ対策しても、リスクはゼロになりません。その技術では埋めきれない不安を、儀式が引き受けているのかもしれません。

ただし、3つの性質は異なります。ラバーダックには実際の効果があり、乖乖は誰にも害を与えません。一方PPAPは、安心と引き換えにウイルス侵入という実害を生むことがあります。

おわりに：私たちは何を守ろうとしているのか

なくすべきなのは儀式そのものではなく、安心と引き換えにリスクを増やしてしまう仕組みです。

PPAPは、情報を守る仕組みであると同時に、「ちゃんと対策した」と安心するための儀式でもありました。だからこそ「その方法は間違っている」と言うだけでは変わりません。人が何に安心を求めているのかを理解し、その安心を本当に安全な仕組みに置き換えていく必要があります。

最後に、自分の職場の習慣を見直すための3つの問いを置いておきます。

  • なぜ、この手順を続けているのだろう？
  • これをやることで、本当に安全になっているのだろうか？
  • それとも、安心するために続けているだけだろうか？

あなたの職場にも、理由を説明できないまま続いている「おまじない」はありませんか。それは乖乖のように誰かの気持ちを支えるだけの習慣でしょうか。それともPPAPのように、安心の裏でリスクを生んでいる習慣でしょうか。ぜひコメントで教えてください。

よくある質問（FAQ）

PPAPとは何ですか？

パスワードをかけたZIPファイルをメールで送り、そのパスワードを別のメールで送るファイル送信方法です。日本の企業や官公庁で広く使われてきました。

PPAPはなぜ危険なのですか？

ファイルとパスワードが同じメール経路を通るため、盗み見への対策になりません。さらに、ウイルスチェックが中身を確認できないため、マルウェア「Emotet」などに悪用されました。

PPAPを廃止した組織はありますか？

あります。2020年11月に内閣府・内閣官房が廃止を打ち出し、日立グループは2021年12月13日以降、パスワード付きZIPの送受信を廃止しました。

PPAPの代わりになる方法は？

クラウドストレージの共有リンク、ビジネスチャット、ファイル転送サービスなどです。共有範囲や有効期限を設定し、誤送信時にリンクを取り消せる方法を選ぶと安心です。

取引先からPPAPのメールが届いたら、どうすればいい？

心当たりのない送り主や不自然な文面なら、開く前に電話など別の方法で送り主に確認しましょう。継続的にやり取りする相手には、共有リンクでの受け渡しを提案するのも一つの方法です。

参考資料

※本記事はPPAPの問題点と、それが組織に定着した心理的・文化的な背景を考察したものです。運用を変える際は、自組織のセキュリティ要件と利用サービスの機能を確認してください。

Smart AI Watcherwww.intelligentworks.co.jp