三菱UFJ銀行が、いわゆる“PPAP”（パスワード付きZIPをメール添付し、別メールでパスワードを送る運用）を原則廃止し、メール本文にダウンロードURLを記載する方式へ移行すると報じられた。金融機関は規制や監査の観点から保守的な運用になりやすいが、PPAPの実効性に対する疑義は以前から指摘されており、今回の方針は「慣習的な対策」から「実効性ある対策」へ重心を移す象徴的な動きといえる。
PPAPが抱える構造的なリスク
PPAPは一見すると「暗号化ZIPで安全」「パスワードは別経路だから安全」と思われがちだが、実際には守りたい脅威モデルに対して弱点が多い。
メール経路が同一なら“別送”の意味が薄い
添付ZIPとパスワードを同じメールシステム・同じアカウントで送受信している限り、メールボックスが侵害された場合に両方が同時に奪取される。近年主流の侵入は、マルウェアよりも認証情報の窃取、フィッシング、セッションハイジャック、MFA疲労攻撃など“アカウント乗っ取り”が中心であり、PPAPはこの攻撃にほとんど耐性を持たない。
マルウェア対策・DLPの精度を下げる
パスワード付きZIPは、ゲートウェイのウイルススキャンやサンドボックス分析、DLP（情報漏えい対策）による内容検査を迂回しやすい。セキュリティ製品側でパスワード付き添付をブロック／隔離する設定も増えており、PPAPは「届けること」自体の可用性も損ないやすい運用になっていた。
人的ミスと運用コストが増える
誤送信、誤宛先、パスワードの使い回し、弱いパスワード、パスワードの誤記など、ヒューマンエラーの温床になりやすい。また、受信側も解凍作業が必要で、モバイル利用やゼロトラスト環境（端末制御が強い環境）では業務阻害が起きやすい。
「URL共有」への移行で何が良くなるのか
メール本文にダウンロードURLを記載する方式は、単に添付をURLに置き換えるだけではない。うまく設計すれば、アクセス制御と監査性を大きく高められる。
アクセス制御を“ストレージ側”に寄せられる
ファイルをメールでばらまくのではなく、保管場所（ファイル共有基盤）側で認証・認可をかけられる。具体的には、閲覧可能なユーザーやドメインの制限、ダウンロード禁止（閲覧のみ）、端末準拠（管理端末のみ許可）など、より細かな制御が可能になる。
ログと追跡性（監査性）が向上する
誰がいつアクセスし、ダウンロードしたか、失敗したかといったイベントログをストレージ側で取得できる。PPAPではメール送信ログは残っても、受信後に誰がどの端末で開封したかの追跡は難しい。金融のように説明責任が重い業界では、監査性の向上は大きなメリットだ。
期限・回収・無効化が可能になる
URLに有効期限を設け、必要に応じて即時失効できる。誤送信が発生した際、PPAPでは相手のメールから添付を「回収」できないが、URL方式ならリンクを止めることで被害を局所化できる。
URL共有にも落とし穴はある
一方で、URL共有は万能ではない。設計を誤ると、むしろ漏えい経路を増やす可能性がある。
“誰でもアクセスできるリンク”は危険
よくある失敗は、推測可能・転送可能な公開リンクを発行してしまうことだ。メールが転送されたり、本文が誤って別チャネルに貼り付けられたりすると、第三者アクセスにつながる。原則として、認証必須（受信者の本人確認）とし、必要に応じてワンタイムコードや端末制約を併用するべきである。
フィッシングとの見分けが難しくなる
メール本文にURLが増えるほど、受信者は「本物のリンク」を見分けにくくなる。送信ドメインの統一、ブランド表示、メール認証（SPF/DKIM/DMARC）と受信側の判定強化、リンクのリライト／隔離（サンドボックスでの事前検査）など、フィッシング耐性を前提とした設計が必要だ。
脱PPAPを成功させる実装チェックリスト
PPAP廃止はゴールではなく、ファイル共有の再設計の入口に過ぎない。実務で効果を出すために、次の観点を押さえたい。
認証と権限設計
可能な限り「特定の受信者のみアクセス可」をデフォルトにする。取引先を含む外部ユーザー向けには、フェデレーション（外部ID連携）やゲスト招待、使い捨て認証など、業務実態に合う方式を選ぶ。共有範囲を“リンクを知っている人全員”にしないことが重要だ。
リンクの安全設計
有効期限、回数制限、ダウンロード制限、透かし、アクセス元制限（国・IP・端末）などを組み合わせ、誤送信や不正転送時の被害を最小化する。必要に応じて、URLをメール本文に直書きせず、受信ポータルに誘導する方式も有効だ。
マルウェア検査と情報漏えい対策
アップロード時・ダウンロード時の二段階でマルウェア検査を行い、機密情報を含むファイルの外部共有を検知・ブロックするDLPを連動させる。暗号化ZIPで検査不能にするのではなく、検査できる設計へ戻すことが、脱PPAPの本質である。
監査ログとインシデント対応
アクセスログを保全し、異常検知（短時間での大量ダウンロード、海外IPからのアクセス、深夜アクセスなど）をアラート化する。誤送信時に即時失効できる運用フロー、関係者への通知テンプレート、二次拡散を防ぐ手順を整備しておくと、現場の対応速度が上がる。
ユーザー体験（UX）の最適化
セキュリティが正しくても、使いにくければ抜け道が生まれる。受信者が迷わない導線（アクセス手順、推奨ブラウザ、問い合わせ先）を用意し、現場が日常的に“安全な手順を選びたくなる”状態を作ることが定着の鍵となる。
金融機関の動きが示す、次の標準
PPAPは「やっている感」を得やすい一方、脅威の主戦場がアカウント侵害とクラウド悪用へ移った現在、実効性が乏しい対策になりつつある。三菱UFJ銀行の原則廃止は、メール添付という古い受け渡しモデルから、アクセス制御・監査・失効を前提にした共有モデルへ移行する流れを後押しするだろう。
重要なのは、URL共有に置き換えること自体ではなく、「誰が」「何に」「どの条件で」アクセスできるのかを定義し、ログと失効手段を持ち、検査可能な形で運用することだ。脱PPAPを機に、ファイル共有をゼロトラストの設計思想に寄せ、実効性のある情報管理へ更新できるかが、これからの企業セキュリティの分水嶺となる。