Remove Me
無料スキャン

パスワード付きZIPは情報漏洩につながる？内閣府が見直した方式

Remove Me編集チーム · 公開日：2026年11月7日 · 読了目安：1分

要点

内閣府の会見は、ZIP形式そのものではなく、同じ経路でパスワードを自動で送る方式を不適切としました。不審なZIPは開かず、送り主に別の手段で確認してください。

この記事は、次の総合ガイドの一部です： 情報漏洩のお知らせが届いたら：まずやること

パスワード付きZIPの何が問題とされたのか

「ZIP 情報漏洩」と検索しても、特定のサービスが起こした漏洩事故を指すとは限りません。多くの場合は、ファイルをZIPにまとめて暗号化し、別のメールでパスワードを送る方法の安全性が話題になっています。

この方法について、2020年11月24日の内閣府の会見で、当時のデジタル改革担当大臣が見解を述べました。内閣府と内閣官房では、ZIPファイルの送付と同じ経路でパスワードを自動で送る方式を、26日に廃止する予定だと説明しています。1週間前の17日の会見では、廃止の方向で検討していること、他省庁にも実態調査を指示したことが述べられていました。

理由は、セキュリティ対策の面でも、受け取る側の利便性の面でも適切ではないから、とされました。ZIP形式そのものが危険だという説明ではありません。

会見で示された考え方

会見では、個人情報など機密性の高い情報を含むファイルを送るときの対応にも触れています。ファイルにパスワードをかけたうえで、まったく別の経路でパスワードを知らせる方法が、まずは適切だったという趣旨です。

会見では、同じ経路でパスワードを自動で送る方式について、かえって危険性が高いとも述べられています。

他の省庁については、内閣官房の組織と連携して実態調査を進め、同じ方式を廃止するよう促す考えが示されました。送付の代わりの手段は、会見の時点では決まっていないとされています。

無料で公開情報を確認する

ZIPがマルウェアの配達に使われた例

もう一つの問題は、攻撃メールです。JPCERTコーディネーションセンター（JPCERT/CC）は2020年9月に、マルウェアEmotetのメールで新しい手口を確認したと公表しました。パスワード付きZIPファイルを添付し、パスワードをメール本文に書く手口です。

この場合、メールが届くまでの経路でセキュリティ製品が検知や検疫をできず、受信者に届いてしまうことが想定されると、JPCERT/CCは説明しています。

JPCERT/CCのFAQには、その後の例も追記されています。2021年11月14日に活動が再開したEmotetでは、docmやxlsmのファイルと並んで、パスワード付きZIPが添付されるケースが確認されました。2022年5月には、ZIPの中にショートカットファイル（lnk）が入る例も確認されています。

情報が漏れる仕組み

Emotetに感染すると、端末から情報が盗まれます。JPCERT/CCのFAQによると、過去に送受信したメールのアドレスと表示名、件名と本文、添付ファイルが対象です。ブラウザに保存した認証情報も含まれます。

盗まれたメールは、攻撃者が別の人へ送る偽の返信メールに使われることがあります。見覚えのある件名や、実際にやり取りした文面に見えるため、取引先からの連絡と見分けにくくなります。

JPCERT/CCは、仕事に関係がありそうで、取引先から送られたように見える添付ファイルでも、感染につながる可能性があるとしています。信頼できると判断できないかぎり、「マクロやコンテンツを有効化」のボタンは押さないよう呼びかけています。

パスワード付きZIPが届いたときの対処

  1. 送り主に、メールとは別の手段（電話や社内の連絡手段など）で、本当に送ったかを確認します。
  2. 心当たりのない添付ファイルやリンクは開きません。
  3. 開いてしまい、マクロやコンテンツの有効化を押した場合は、ネットワークから端末を切り離します。
  4. 組織の端末なら、情報システム部門に連絡します。
  5. FAQを参考に、その端末で使ったメールアカウントや、ブラウザに保存した認証情報のパスワードを変更します。

パスワードの変え方は、パスワードを変更するときの手順にまとめています。

自分の情報が出回っていないか確かめる

ファイルを送る側の工夫は、個人では決められない場合も多いものです。一方で、自分のメールアドレスが過去の漏洩に含まれていないかは、確認できます。メールアドレスの漏洩を調べる方法も参考にしてください。

Remove Meは、公開されている情報と、これまでに知られた漏洩を調べるサービスです。現時点では、削除の依頼は送りません。また、特定のZIPファイルや、特定の事故の有無を探すものではありません。

調べて何も見つからなくても、情報が出回っていないことの証明にはなりません。見つかった場合は、パスワードの変更から始められます。不審なメールの見分け方は、フィッシングメールの見分け方で整理しています。

出典

よくある質問

パスワード付きZIPをメールで送ると、情報が漏洩しますか。
内閣府の会見では、ZIPと同じ経路でパスワードを自動で送る方式が、セキュリティ面でも受け取る側の利便性でも適切でないとされました。なお、ZIP形式そのものが危険だという説明ではありません。
政府はパスワード付きZIPをやめたのですか。
2020年11月24日の会見で、内閣府と内閣官房は26日から、同じ経路でパスワードを送る方式を廃止すると発表しました。他の省庁については、内閣官房の組織（NISC）と連携して実態を調べ、廃止を促す考えが示されました。政府全体の現在の運用は、読んだ資料では確認できていません。
個人情報を含むファイルは、どう送ればよいですか。
会見では、パスワードをかけたうえで、まったく別の経路でパスワードを知らせる方法が、まず適切な対応だったと述べられました。送る手段の代替は、その時点では決まっていないとされています。自社のルールがあれば、そちらに従ってください。
取引先から届いたパスワード付きZIPでも注意が必要ですか。
JPCERT/CCは、取引先から送られたように見える添付ファイルでも、マルウェアの感染につながる場合があると注意を呼びかけています。信頼できると判断できないかぎり、「マクロやコンテンツを有効化」は押さないでください。
開いてしまったら、まず何をすればよいですか。
JPCERT/CCのFAQは、感染の疑いがある端末の隔離と証拠保全、メールアカウントやブラウザに保存した認証情報のパスワード変更を挙げています。組織の端末なら、情報システム部門に連絡してください。

出典

編集方針

この記事は、上に挙げた公的な情報源をもとにRemove Meチームが執筆しています。情報源に変更があった場合は、記事を更新します。内容は情報提供を目的としたもので、個々の状況に合わせた法的助言ではありません。

記事に誤りがありましたか？ お知らせください

あわせて読みたい記事