三菱UFJ、PPAP廃止計画「以前からあった」　今になって実施の経緯は

銀行のメール送信方法が、ようやく時代に追いつこうとしている。三菱UFJ銀行が発表した「PPAP廃止」のニュースは、一見すると新しい取り組みに見えるかもしれない。しかし実は、政府や大手IT企業がすでに4年前から実行していた対策を、いま実現する段階に至ったということなのだ。

PPAPとは「Password Protected Archive Protocol」の略で、要するにパスワード付きZIPファイルをメールで送り、そのパスワードを別のメールで後から送るやり方のこと。セキュリティが強いように見えるが、実は落とし穴がある。パスワード付きZIPファイルと、それを開くためのパスワードが別々のメールで届くため、もし途中で通信が盗まれると、両方が盗まれる可能性があるからだ。さらに、古いZIP暗号化方式は実は簡単に破られる可能性もあるというセキュリティの専門家の指摘がある。

2020年末、日本の中央省庁（総務省や経済産業省など）が相次いでこのやり方を廃止すると宣言した。その後、ソフトウェア企業やIT企業も「もう使わない」と決めた。つまり、金融機関以外の組織はすでに新しいセキュリティ方式に切り替えていたわけだ。

では、なぜ銀行は遅れていたのか。答えは「複雑さ」と「保守的さ」にある。銀行システムは規制が厳しく、セキュリティ基準も細かく決まっている。新しい仕組みに切り替えるには、顧客システムとの互換性確認、規制当局への報告、システムテストなど、膨大な準備が必要になる。特に個人向けだけでなく、企業向けサービスも提供している大規模銀行は、影響範囲が極めて広い。

三菱UFJのように国内最大級の銀行が廃止を宣言することで、ようやく業界全体の切り替えが本格化するだろう。これは金融機関の顧客にとって、より安全なメール送信が実現することを意味する。ただし、移行期間があるため、すぐにすべてが変わるわけではない点は注意が必要だ。