パスワード付きZipファイルは、一般的なZip形式の圧縮ファイルに暗号化機能を追加したセキュリティ手段です。業務ファイルの共有やメール添付の場面などでよく使用されますが、暗号化の仕組みやその安全性については正しく理解されていないことが多く、近年では「PPAP」として社会的な議論の対象にもなっています。
本記事では、暗号化Zipファイルの技術的背景、使用時のリスク、最新のセキュリティ事情を解説し、実践的な運用指針を提示します。
パスワード付きZipファイルの基礎知識
Zipファイルとは？
Zipファイルとは、複数のファイルやフォルダを1つにまとめてデータを圧縮する形式です。
WindowsやmacOSなど、多くのOSに標準対応しており、広く普及しています。
パスワード付きZipファイルの仕組み
パスワード付きZipファイル（Password-Protected Zip File）は、圧縮時に指定されたパスワードにより、ファイルの中身を暗号化する形式です。
ファイル名やディレクトリ構造は暗号化されず閲覧可能ですが、ファイル本体を解凍・閲覧するには正しいパスワードが必須となります。
暗号化方式の種類とその強度
ZipCrypto（Zip 2.0暗号化）
-
古くから使用されている方式で、Windowsが標準対応。
-
鍵長は96ビットと短く、既知平文攻撃（Known-Plaintext Attack）に脆弱。
-
現在では一般的なPCでも短時間で復号可能とされており、セキュリティレベルは非常に低い。
AES暗号（AES-256）
-
256ビット鍵を使用する強力な暗号方式。
-
米国政府標準（FIPS）にも採用されている。
-
対応ソフトが限定的（例：7-Zip）、ただしセキュリティ性は高い。
-
英数字のみの短いパスワードでは脆弱な点は変わらない。
パスワードの強度について
強力な暗号方式を使っていても、短い・推測されやすいパスワードでは安全性が大幅に低下します。
例えば「abc123」「password1」などは数秒で解読されてしまう可能性があります。
PPAP運用とその問題点
PPAPとは？
PPAPとは、「Password付きZipファイルを送ります」「Passwordを別メールで送ります」という日本特有のセキュリティ慣行を略した俗称です。
主に企業や官公庁で使用されてきました。
なぜPPAPは危険なのか？
-
暗号化とパスワードを同じ通信経路（メール）で送るため、攻撃者に両方傍受されるリスクがある。
-
使用されるZipCrypto方式がもはや安全ではない。
-
受信者のセキュリティ対策次第で復号の難易度が変わるため、統一したセキュリティが担保できない。
PPAPの廃止の動き
2020年以降、多くの企業や官公庁がPPAPの廃止・禁止を発表。
以下のような代替手段への移行が進められています。
推奨される代替手段：
-
ファイル転送サービス（例：Box, OneDrive, GigaFile便）
-
セキュアリンク付きクラウドストレージ
-
メール暗号化（S/MIMEやPGP）
-
ゼロトラストネットワークの活用
実用シーンとリスク評価
よくある活用例：
-
顧客や取引先への契約書・見積書の送信
-
プログラムやデータの一時的な保管・共有
-
オフライン環境へのセキュアデータ移動
リスクの具体例：
-
誤送信された場合、パスワードを別送していても漏洩する恐れ
-
クライアント側でパスワード付きファイルの解凍ができない
-
古い暗号化方式を利用していたことで、社内情報が解読された事例も存在
まとめ
パスワード付きZipファイルは、簡易な暗号化手段として広く利用されてきましたが、以下の点からその使用には注意が必要です。
-
ZipCrypto方式はもはや安全ではない
-
AES暗号は強力だが、ソフトウェアの対応に限りあり
-
PPAPはセキュリティ慣行として非推奨
-
安全な運用には強力なパスワードと代替手段の活用が必須
今後は、よりセキュアなファイル共有・暗号化の仕組みを活用し、「なんとなく安心」から「実際に安全」な運用への転換が求められます。