ITベンダーを中心に「脱PPAP」が進んでいる。PPAP▼とは、ファイルをパスワード付きZIPファイルにしてメールで送信し、そのパスワードを別のメールで送るファイル共有方法のこと（図1）。メールの誤送信対策や盗聴防止に有効とされ、多くの企業で導入されていた。
しかし最近では、効果よりもリスクのほうが大きいとされている。最も大きなリスクは添付ファイルが暗号化されているため、中にマルウエアなどが含まれていてもセキュリティー製品で検知できないことだ。このため、IT企業や官公庁などが2021年以降、暗号化ファイルの受信を拒否する脱PPAPを続々と表明している。
一方、非IT企業での脱PPAPの動きはこれまで鈍かった。だが2022年に入り、非IT企業でも脱PPAPに向けた動きが加速している。積水ハウスは2022年2月に日経クロステックの取材に対し、「PPAPの利用を廃止する方向で動いている」（同社広報）と回答した。ワコールやクラシエホールディングスもPPAPの利用中止や暗号化ファイルの受信拒否を検討しているという。これら3社の共通点は、マルウエア「Emotet」の被害企業であることだ。
1カ月の検知数が約5倍に
Emotetへの感染が急拡大している。トレンドマイクロの調査では2021年12月に国内でEmotetを検出した端末の台数は2467台、2022年1月は2398台だった（図2）。524台だった2021年11月と比べて、5倍近くに増えている。
Emotetはメールで感染を広げる。感染したパソコンに保存されているメールの情報を使って、取引先などへ業務連絡に見せかけたメールを送る。そのメールに、Emotetに感染させる仕掛けを施したExcelやWordのファイルをパスワード付きZIPファイルにして添付する場合がある。このためPPAPを利用している企業では、正規のメールと感染拡大メールを区別するのが難しい。
2022年1月以降Emotetの感染被害を公表した大手企業4社は日経クロステックの取材に対して、感染経路は「メール添付の暗号化ファイル」あるいは「メール本文のURL」だったと回答した（表1）。
