米CISAからの注意喚起が
freeeの脱PPAPを後押し
freeeでは12月1日から、パスワード付きファイルが添付されたメールを受信した場合、原則としてメールサーバーで添付ファイルが自動的に削除されるようになった。メール本文はそのまま受信者に届くが、本文末尾に添付ファイルが削除された旨のコメントが付く。
自動的に添付ファイルが削除され、それを通知する文言が本文の後に付加される 画像提供：freee拡大画像表示
freee CIO（Chief Information Officer：最高情報責任者）の土佐鉄平氏によれば、セキュリティ上の観点から、これまでもfreeeからの送信メールにはなるべくファイルを添付しない方針だったそうだ。
同社はGoogle Workspace（旧G Suite：Gmailやカレンダー、ドライブ、ドキュメント、スプレッドシートなどのツールを含むクラウド上のワークスペース）を利用しており、従業員にはGoogle ドライブを使ってファイル共有を行うことを推奨。個人情報を含むものなど特に重要な情報は、メールではなくドライブを利用するよう指示してきた。
ただし、取引先のポリシーによってはドライブへのアクセスが制限されていることもあるため、その場合は別の手段を選択。ほかに選べる手段がなければ、例外的にメールにファイルを添付して送信するという運用だった。
その一方、これまで外部からのメール受信の際には添付ファイルの受け取りは制限されていなかった。パスワードが後送される、いわゆるPPAP方式のファイル受信も行っていたという。
ここ数年、不審メールの検知が増えていたfreee。土佐氏は「幸い、実害を受けることは今までなかったが、やはりパスワードで暗号化されてスキャンツールが効かない状態で受信しているケースは結構あった。以前からずっと、これは課題だと認識していた」と語る。
具体的に、パスワード付きファイルをメールで受け取らないことを検討し始めたのは、米CISAによりEmotetへの注意喚起が出たことがきっかけだった。ウイルス対策ソフトやファイアウォールの設定、電子メールに添付された実行ファイルのブロックなど、これまでも対策を講じるよう推奨されてきた項目に加えて、「ウイルス対策ソフトでスキャンできないタイプのメール添付ファイル（zipファイルなど）のブロック」が対策として推奨されていたからだ。
「公的な機関からの注意喚起という後ろ盾を得て、これを機に廃止を進めてしまおうということになった」（土佐氏）
