三菱UFJ銀、“PPAP”原則廃止 メール本文にダウンロードURL記載へ

三菱UFJ銀行は6月8日、メールでパスワード付きZIPファイルを送り、パスワードを別送する方法（通称「PPAP」）を原則、取りやめると発表した。 PPAPはファイルを暗号化するため、メール受信時にマルウェアのチェックが困難な上、パスワード付きZIPファイルを悪用したサイバー攻撃の事例もある。これらのリスクに対応し、セキュリティ確保のため変更を決めた。 7月18日以降順次、同行の役職員が添付ファイルを送る際は、メール本文に専用ダウンロードサイトへのURLを記載する形に切り替える。受信者はURLからサイトにアクセスし、別送される専用パスワードを使ってファイルをダウンロードする。 PPAPは日本の企業や官公庁で広く普及してきたが、セキュリティ上の問題が指摘され、廃止の動きが広がっている。政府は2020年11月に中央省庁でのPPAP廃止を決定。企業も相次いで廃止に踏み切っている。 関連記事 ピコ太

[rag_en]

いま軽く調べたら、「ペンパイナッポーアッポーペン」がもう10年前ってマジかよ…てなった。

[tohokuaiki]

おっ、相変わらずBizStationで3ヶ月に1回パスワードを変更させるMUFJじゃないですか。しょっちゅう「詐欺振込に注意」のモーダル喚起出すの、読まないし閉じるボタンしか探さないので、やめてくれませんかね。

[theatrical]

Ppapあまりに頭悪すぎて社会人一年目から、こんなことやらせるこいつらどんだけ頭悪いんだよ。と思ってた。添付したアドレスにそのままパスワード送るとか誰がどう考えてもセキュアじゃない。

[Yuu_hamamiya]

ちなみにセキュリティのPPAPの名前の由来がペンパイナッポー…なんです。偶然の一致とかではなく、セキュリティ側が略するとPPAPじゃーんwwってネタに走った結果、こんな公的文書に残るほどに…！！

[takashi_m17]

BizStationのパスワードは前回と同じのでも通るのでまだ良い。詐欺振込注意喚起を毎日出すはナンセンス。

[deep_one]

いまさら？／「ダウンロードURLとパスワード」は誤送信が分かった瞬間にURLからファイルにつなげなく出来たり、ダウンロードしたIPを確認出来たり、パスワードの有効回数が設定できたりするものなんだよ。全然違う。

[yosida95]

パスワード付き URL はパスワードがメールで送られる限りまとめて侵害されるし、そもそも銀行(送信)側の誤送信対策であって "受信されるお客さまのセキュリティを確保するため" としては弱い気がする

[kamiokando]

こういうのって別送するメールも同じ間違った所へ送る確率が高いので意味ないと思ってる。

[asrog]

ダウンロードURL形式、ファイルがメールに残らないから管理方法考えないと後でファイル取り出せなくなるんだよね。特に、その時は使わなかったやつが後で取り出したくなった時に。

[getcha]

メール内のリンククリックするのもそれはそれで怖いよな。

[iphone]

害は大きくないとは言え、当たり前の判断になぜこんなに長くかかったのかは検証されるべきだよなぁ

[dnasoftwares]

上原哲太郎先生が助走付けてラリアットしに来るやつだ

[Lamit]

令和になってようやく終わりそう

[a2c-ceres]

『こうすればいい』PPAPで送れる程度の内容なら、暗号化しないで添付すれば良いんですよ。守ろうとしている事に対して効果が無くリスクだけ増えるのだから単に止めればマシになる。

[t_shimaya]

「別送される専用パスワード」ってそれもFAXやSMSや郵送でなくメールで同じアドレスに送るんでしょ？しかもほぼ同時に。それは別送と言っていいんけ？

[sora_h]

URL飛んでくるの嫌い。でもみんな狙いがあんまり分かってなさそう。誤送信した時に取り消せるようにするためなんじゃないのかなあ。人間が介さないメールでもそうなってるならより酷い。

[teruspr]

パスワードを平文で送ること自体に抵抗があるので「弊社略称(英小文字)＋イベント開催予定日 の計８ケタです」とかで送ってくる取引先が好きなのだが、たまにクイズが難しすぎて詰むことがある。

[adsty]

添付ファイルの送受信に専用ダウンロードサイトを用意する。

[fnm]

大手の保険会社がこれやってくるんだよな。あと全部のメールを、情報流出対策でBCCにしてる。両方とも、はやくやめてほしい。そこまでするならメールをやめて。

[tetsutalow]

純PPAPが疑似PPAPに。パスワードを別送するのによるリスク低下が手間の増加に見合うものなのかどうか。誤送信対策としても効果はゼロじゃないが条件付。パスワードなしでURLだけをS/MIME署名付で送るのでよいのでは。

[dekasasaki]

本来パスワードかける必要のないファイルにまでパスワード必須とされるの、面倒だよなあと。判断が個人に依存してしまうため、しゃーないのはわかる。

[shibainu1969]

ファイルが添付されたメールも、パスワードが書かれたメールも盗聴の恐れがある環境なら、そもそもメールでの情報伝達をやめた方が良いのでは。ウイルスチェックできなくて困るなら受信拒否で良いのでは。

[fhvbwx]

ところでチームみらいの公約にPPAP全廃ってあるんだろうか？

[camellow]

PPAPよりマシな点としてはDL側がウイルススキャンできる、誤送にすぐに気づけばロックできる、送信側の会社として何のファイルを送ったのか履歴を取れる、の3点くらいか？

[takeishi]

今までやってたのか／誰だこんな無意味なルール考えたの

[imash]

何の略か永遠に覚えられない

[koubemise]

アイ ハブ ア ZIP！　アイ ハブ ア Pass！　｜　仕事の付き合いがある自治体がそれを始めたのだが、URLが記載されているため迷惑メールに振り分けられて着信に気づかないことがあるんだよね。

[toyoshi]

相手にコストを押し付ける上に、そんなに意味がないという本当に酷い方法。せめて意味があればと思う。

[remoteworker]

意味ない上に手間もかかるしほんと滅びてほしい。どこかで派手に情報漏洩すれば意識変わるのかな

[sophizm]

“受信者はURLからサイトにアクセスし、別送される専用パスワードを使ってファイルをダウンロードする”

[lilicarium]

なんだかんだで電話でパスワード読み上げるみたいな原始的な方法が一番安全と。それすら警戒するならもう郵送ですよ。

[matchy2]

批判はするけどこうすればいいと言わないヤツラがやたら嬉しそうにPPAPとか言う

[odakaho]

IPSだかデジ庁だかが禁止って言ってから何年経ってるのよ

[soybeancucumber]

中華系クラウドを使うのは禁止しないんだ

[kaputte]

いち銀行のファイル交換ルールごときがなんで記事になってんの

[versatile]

PPAPなんていう略語通じると思うなよ

[xsde]

いい加減盗聴・なりすましができないメールプラットフォームが標準化されないものか・・・

[momonga1123]

うちの会社はいち早く7zipに移行したぞ

[mr_yamada]

gmailあたりでもっと汎用性の高いファイル転送機能を搭載してくれると楽なんだけどね、と思いつつメールを使う機会が激減してるから、どうでもいいかな