悪しき慣習「パスワード付きzipファイル（PPAP）」もこれで終わるのか？

コンピュータセキュリティにおける”PPAP”と揶揄される「パスワード付きzipファイル＋パスワード別送」の手法。先日開催された”「デジタル × 規制改革」河野大臣・平井大臣によるオープン対話”の中で、平井デジタル改革担当大臣はこの「パスワード付きzipファイル」の運用を省庁では廃止することを明言しています。

改めて、「パスワード付きzipファイル＋パスワード別送」の無意味さを理解し、政府号令の後押しを上手に活用し、自社における適切なファイル共有方法を模索してはどうでしょうか。

この対談の中ではパスワード付きzipファイルの運用に対して「やり続けてきた慣例である」「そもそもセキュリティに貢献しない」「スマホで見られないのは致命傷」などのコメントがあったのは興味深かったです。（大臣がそもそも”パスワード付きzipファイル問題”を思い出せなかったのは心配ではありましたが）
このパスワード付きzipファイル問題はデジタル改革「Idea Box」への投稿人気1位とのことであり、平井大臣によれば「霞が関の職員からの切実な声ではないか」ということでもありました。

セキュリティに明るい人たちの間では「パスワード付きzipファイル＋パスワード別送」はセキュリティを担保するには意味をなさないことは言われてきましたが、これで日本企業はようやくこの御作法と決別できる時がやってきたのかもしれません。

 

おさらい：パスワード付きzipファイル＋パスワード別送の問題

ここで改めて、何故「パスワード付きzipファイル＋パスワード別送」を行うのか、目的を考えてみましょう。
企業活動を行う中で取引先と重要なファイルを共有する際、最も手軽に行うことができるのが、メール添付になります。当然ながら、その内容を第三者の誰かに盗み見られないようにすることは、取引上の機密やコンプライアンスを守るためや個人情報保護などの観点からも不可欠です。そのための情報漏洩対策の一つとして、メールを使い送付するファイルを「パスワード付きの暗号化zipファイル」に加工して、メール添付して送信するという方法が日本では行われています。

では「パスワード付きzipファイル＋パスワード別送」が、なぜ目的を達しないのでしょうか。

図1：パスワード付きzipファイル＋パスワード別送の手順

メールにファイルを添付して送る場合に想定されるリスクは以下の二通りです。

1. メールの送信・受信間（図中の黄色いエリア）において第三者がデータを盗むこと
2. メールの誤送信（宛先間違い）

１）のケース
悪意のある第三者によりメールの通信経路中で添付ファイルを不正に取得（盗聴）されたとしても、添付ファイルはパスワードで暗号化されているので復元はされないという考え方に基づいています。
しかしながら、この場合はパスワードも添付ファイルと同一の通信経路、すなわちメールで送られているので、パスワードも不正に取得されていると考えられます。

故にセキュリティが担保されているとは言えない状況です。

２）のケース
送信者が宛先を2度間違えない限り、添付ファイルはパスワードで暗号化されているので復元はされないという考え方に基づきます。
このケースでは手動により正しい運用を行っていれば、リスクは避けられます。しかしながら、実際にはどうでしょうか？コピー＆ペーストで結局は2通とも同じ宛先に送ってしまう可能性は否めません。
また。最近は添付ファイルのzip暗号化とパスワードの発行・送信を自動化するシステムを取り入れているところも多いのではないでしょうか。この場合、メール送信後に送信確認を実施する場合が多く、その時点で再確認ができますが、実際は忙しい合間に行うので安易にチェックボックスをクリックして送信してしまう人為的ミスはゼロにはできません。

また、仮に添付ファイルのメールだけが間違って送付してしまった場合、一般的な業務利用の中で使う暗号化ZIPのパスワード強度程度であれば、少し知識のある人であれば解読もそう難しくないと思われます。

 

このような理由から「パスワード付きzipファイル＋パスワード別送」はセキュリティ的に意味がないと言われるのです。

そして、昨今のマルウェアによる攻撃の広がりに対し、この「パスワード付きzipファイル＋パスワード別送」の文化がセキュリティの抜け道を作ってしまっているのです。

 

マルウェアに利用される「パスワード付きzipファイル」

多くの企業ではメールサーバー側にウイルス検知が行えるシステムが導入されていたり、マルウェアフィルターが設置されていたりしますが、添付ファイルが暗号化されているとこれらのシステムが機能できなく、添付ファイルにマルウェアが仕込まれたメールがすり抜けてしまいます。
（参考：シリーズ【SSL可視化とセキュリティ】１）可視化が求められる背景）

そして、最近のマルウェアはラテラルフィッシングともいわれる巧妙化した偽装メールで送られてくる為、注視していなければ取引先からのメールと見間違う可能性も大いにあります。特に日常的にパスワード付きzipファイルでデータのやり取りを行うような環境であれば、尚更のこと些細なメールの異変に気が付く可能性は少ないのではないでしょうか。
（参考：使える！情シス三段用語辞典113「ラテラルフィッシング」）

だからこそ、「パスワード付きzipファイル＋パスワード別送」は危険の温床なのです。

 

悪しき習慣を変える方法は？

電子メールの送受信では多くの場合はいわゆる平文のまま、その仕組み上、多くのサーバーを経由して配信されるため、途中で盗み見される場合があります。
それは郵便物で考えてみてください。封書や開封できないようにしたシール式の葉書であれば、配達員はその中身を外から読み取るのは容易ではありませんが、通常の葉書であれば、裏面には様々な情報が記載されており、簡単に読むことができます。（配達員は高いモラルを持っていると信じておりますが）
電子メールはこの通常の葉書に匹敵する状態です。

一つの解決策はメールの暗号化、でも…

セキュリティを担保するには、この電子メールのセキュリティを高める方法が一つの解決策です。
PGPを使ったメール暗号化やS/MIMEによる暗号化メールなど古くからその手法は存在しますが、運用の手間や証明書の管理やコストなどの問題もあり、普及しているとは言えない状況にあります。
また、この10年程度で使われ始めたメール暗号化の仕組みとしては「STARTTLS（スタート ティーエルエス）」があります。これは電子メールの問題であった送信側メールサーバーと受信側メールサーバー間をTLS暗号化メールでやり取りすることで通信経路での盗聴に効果があります。しかしながら、これも送信側メールサーバーと受信側メールサーバーの双方がこれに対応したシステムでないと機能しないため、100%安全ではありません。

現在のなりすまし被害などを鑑み、今後クライアント証明書の利用が進む場合もありますが、メールに添付された暗号化ファイルをウィルスやマルウェアの検知システムは検知できない状況を考えますとあまり良い手立てとは言えないかもしれません。

では、代替えできる方法はあるのでしょうか。

クラウドストレージやファイル転送サービスの利用が現実的

現状、考えられる方法はクラウド（オンライン）ストレージサービスやログ管理のできるファイル転送サービスを利用するというのが現実的でしょう。

Microsoft 365をお使いであれば「OneDrive」、Google Workplace（旧G Suite）をお使いであれば「Google Drive」を使う方法もありますが、企業によっては社外の人にフォルダ共有することを制限していたりすることもあり、セキュリティホールとならないように自由に使っていいかどうかは情シスに確認が必要でしょう。

その他の方法としては「Dropbox Business」や「Box」などの法人向けクラウドストレージを活用するということになりますが、Microsoft 365やGoogle Workspaceをご利用であれば、機能の重複となる部分もあり、メール添付ファイルの為だけにこれらを採用するというのはナンセンスかもしれません。

また、機密情報の受け渡しに特化した法人向けファイル転送・共有サービス「クリプト便」やファイルセキュア送信サービスに実績のある「EASY FILE EXPRESS Cloud」などファイル送受信に特化したサービスも存在します。

しかしながら、どのサービスを利用するにしても費用が掛かることは間違いありません。

一方で、firestorageなどの無料ファイル転送サービスにおいても、データの暗号化に対応していたり、専用のアップロードスペースを作成できたりと少しづつ配慮はされていますが、セキュリティレベルについては自社でコントロールすることはできません。自社におけるセキュリティの考え方とコストの天秤となります。

「帯に短し、襷に長し」というように、各社それぞれに特徴があり、自社の利用方法や社員のマインドにマッチするものを選ぶ必要があります。

 

選定の基準とすべきことは何か

考え方の一つとして、「メールに添付されたファイルは受け取らない（開かない）」ということを自社の方針としてサービスを検討してはどうかと思います。
なぜならば、昨今の標的攻撃の90%は「なりすましメール」に添付されているファイルによるものと言われています。であれば、メール添付ファイルを受け取らない方法を選定し、原則として取引先にはその方法に従って送っていただくことで、被害を最小化できるからです。
当然ながら、送信時にもその方法を用いることでメール添付をやめることができるはずです。
方法としては、ホワイトリスト方式や返信チケット方式など様々な手法があると思いますし、別の考え方としては、既存システムにTwillioなどを用いて後付けで多要素認証を加えるなどの方法でセキュリティ強度を高めるようなことも考えられます。

どう作り上げれば自社にマッチするのか、そこは情シスの腕の見せどころではないでしょうか。

 

時代がこの悪しき習慣をやめることの背中を押しています。是非、この機会に便乗して自社の「パスワード付きzipファイル」の運用を見直しましょう！
この一歩が、社会全体に広がればEMOTETなどのマルウェア被害が減少するのです。

 

【執筆：編集Gp　ハラダケンジ】