三菱UFJのPPAP原則廃止を起点に、日本のセキュリティの真の弱点が「脅威を見つける力」ではなく「分かっていても直す力」にあることを論じる。検知が自動化される時代に問われる、是正の遅さとガバナンスの重さ。
三菱UFJ銀行が6月8日、メールでパスワード付きZIPファイルを送り、パスワードを別送する方式（通称「PPAP」）を原則廃止すると発表した。7月18日以降、添付ファイルは専用ダウンロードサイトのURLをメール本文に記載し、受信者が別途渡されるパスワードでダウンロードする方式に切り替わる。
率直に言って、最初に浮かぶのは「こんな枯れた話を、2026年の今になって？」という感想だろう。
検知でも、問題認識でもない。「分かっていた」のだ、ずっと。
誤解を恐れずに言えば、置き換え先の技術要素は新しくない。ファイルアップロード、認証、期限付きダウンロード、監査ログ——どれも枯れた技術である。問題は、それを金融機関の全顧客・全業務に耐える運用として通すことだった。
では、その「運用として通す」ことの、何がそこまで重かったのか。
金融という特殊事情。 銀行が添付を送る相手は、法人・個人・士業・官公庁・他行・監査法人と、桁違いに多く雑多だ。新方式は「全員がURLを踏み、サイトで認証してダウンロードできる」ことが前提になる。相手側のメールセキュリティが見慣れぬURLを弾けば、あるいは不慣れな顧客が踏めなければ、“お金が動く書類”が届かない。一般企業の資料共有とは、事故のコストが違う。加えて、誰がいつどのファイルに触れたかを検査で示せる監査要件もある。汎用のクラウドストレージをそのまま、とはいかない。
フィッシングを注意してきた事情。 皮肉なことに、銀行は長年「メール本文のURLは安易に踏むな」と顧客を教育してきた。その銀行が、代替策として「本文にダウンロード用URLを貼る」。自らの教育と真逆で、フィッシングに便乗されやすい。代替策が別のリスクを生むこの構造こそ、「金融だから難しい」の正体だ。
稟議・承認の嵐。 どれほど些末なシステムでも、顧客データに触れる以上は社内のセキュリティ委員会、内部監査、委託先管理、規制対応をすべて通す。長いのはコードではなく、稟議の列である。
つまり、ボトルネックは技術ではない。組織だ。
金融庁に背中を押されてなお、1年余り。この時間が示すのは、日本の弱点が「脅威を見つける力」ではなく「分かっていても直す力」にあるということだ。検知は終わっていた。是正が、動かなかった。
いま、国はまさにこの「是正」を国家規模のテーマに据えようとしている。報道によれば、2026年5月、国家サイバー統括室を中心とする複数省庁が、重要インフラを守る対策パッケージ「Project YATA-Shield」を取りまとめたという。背景にあるのは、米AnthropicのフロンティアAI「Claude Mythos Preview」に象徴される、AIによる脆弱性発見の急速な高速化だ。Mythosは限定的なパートナーにのみ提供される“公開されないAI”とされ、27年前のOpenBSDや16年前のFFmpegの脆弱性を自律的に発見したと報じられている。
そして、その対策パッケージが重要インフラ事業者に求める柱の一つが——報道ベースでは——「既知の未処理脆弱性のリスクに速やかに対応すること」だという。
——既知の、未処理の脆弱性。それは、PPAPそのものではないか。
最強のAIが何を見つけようと、最後にそれを“直す”と決め、稟議を通し、全社に展開するのは、人であり組織である。AIが脆弱性を見つける速度が上がっていくこの時代に、我が国の真の弱点は、技術でも検知でもなく、「分かっていても動けない組織」のほうにある。
PPAP廃止という、一見すると小さく、古いニュース。だがそれは、AIで脆弱性を見つける時代の足元に、静かに問いを突きつけている。
私たちは、見つけたものを、本当に“直せる”のか。
出典: ITmedia NEWS（三菱UFJ銀のPPAP原則廃止／2026年6月8日）、Publickey・ニッキンONLINE（金融庁による金融機関へのPPAP是正要請／2025年5月）、各種報道（Project YATA-Shield、および「Claude Mythos Preview」とProject Glasswingに関する報道）
Aikido Community Japan
公開日: 2026/6/8
最終更新: 2026/6/8
セキュリティの最新情報をお届けします。