三菱UFJ銀行が2026年6月8日、「当行からの添付ファイル送信方法の変更に関するご案内」を公表しました。2026年7月18日より、これまでのパスワード付きZIPファイル送信（通称：PPAP）を原則取り止め、専用のダウンロードサイトを利用する方式へ順次切り替えるという内容です。理由として挙げられているのは、ファイルが暗号化されているためメール受信時のマルウェアチェックが困難であること、そしてパスワード付きZIPファイルを悪用したサイバー攻撃の事例が確認されていることです。

同行と取引のある企業にとって、これはまず受け取り方が変わるという実務的な案内です。ですが、この発表を「受け取る側の変更」だけで読み終えてよいのかは、一度立ち止まって考える価値があります。

この記事でわかること

  • 三菱UFJ銀行のPPAP廃止で、具体的に何がいつから変わるか
  • 「受け取る側」の脱PPAPが進むと、「送る側」である自社に何が起きるか
  • 取引先から指摘される前に、自社で確認しておきたいこと

何がいつから変わるのか

2026年7月18日以降、同行の役職員から送られる添付ファイルは、メールに直接添付されなくなります。メール本文には専用のダウンロードサイトへのURLが記載され、別送されるパスワードを使ってファイルをダウンロードする方式に変わります。パスワード付きZIPを送り、直後に別メールでパスワードを送るという、これまで多くの企業がなんとなく踏襲してきたやり方を、大手金融機関が名指しでセキュリティ上の弱点として説明した形です。

政府は2020年11月に中央省庁でのPPAP廃止方針を決定しており、クラウドストレージなどへの移行を進めてきました。今回の発表は、その流れが民間の大手金融機関にも及んできたことを示す一つの事例といえます。取引先から届くメールの形式が変わるだけと考えると小さな話に見えますが、長年「添付ファイル＋別送パスワード」という形に慣れてきた受け手側の運用にも、確認手順の見直しという実務対応が発生します。

「受け取る側」の変化だけでは終わらない

ここで見落としやすいのは、銀行が変えたのは「送る側」としての自社の振る舞いだという点です。多くの企業がこれまでPPAPを使い続けてきた背景には、「取引先もPPAPでやり取りしているから、自社だけ変える理由がない」という暗黙の前提がありました。取引のある金融機関がその前提から外れたということは、自社が今後もPPAPで送り続けた場合、「相手はもうやめている方式を、自社はまだ使っている」という状態が可視化されるということでもあります。

これは今すぐ問題になるとは限りません。ただし、顧問先や取引先が同様の判断をした場合、次にPPAPの妥当性を問われるのは受け取る側ではなく、送る側である自社になります。

一行の動きで終わるとは限らない理由

三菱UFJ銀行の対応だけを見て「大手だから対応できる話」と捉えるのは早計かもしれません。同行が挙げた廃止理由（マルウェアチェックの困難さ、サイバー攻撃事例）は、その銀行固有の事情ではなく、PPAPという方式そのものに内在する性質です。同じ理由づけは、他の金融機関や取引先企業が脱PPAPを進める際にもそのまま当てはまります。政府方針からの継続線上にある動きである以上、今回の発表を単独のニュースとして片づけず、同様の対応が他の取引先にも広がっていく可能性を念頭に置いておく方が、実態に近い読み方です。

送る側としての自社を、今のうちに確認する

指摘を受けてから慌てて対応方針を決めるのと、余裕のあるうちに自社の実態を把握しておくのとでは、選べる選択肢の幅が変わります。まず確認しておきたいのは次の点です。

  • 自社から社外へ、どのような方法でファイルを送っているか（PPAPか、それ以外か）。部署やメンバーによってやり方がばらついていないかも合わせて確認します
  • 送信先の中に、金融機関・官公庁・上場企業など、セキュリティ方針の見直しが早く進みやすい取引先が含まれているか
  • 個人情報や契約書など、誤送信時の影響が大きいファイルをPPAPで送っていないか
  • 取引先から脱PPAPへの対応を打診された場合に、誰が窓口となって方式や運用ルールを説明できる状態になっているか

全社一律の代替ツール導入をいきなり決める必要はありません。まずは「誰が・どの取引先に・何を・どうやって送っているか」を洗い出すところから始めれば、優先度の高い相手から段階的に見直すという現実的な進め方が取れます。棚卸しの結果、送信件数の多くが特定の部署や特定の取引先グループに集中しているとわかれば、そこから優先的に着手するという判断もしやすくなります。

こうした棚卸しの延長線上で、セキュアファイル送受信サービスのForceDriveのような選択肢を比較検討する企業も増えています。ブラウザだけで完結し、相手は登録不要で受け取れる仕組みは、取引先に負担をかけずに脱PPAPを進めたい場合の候補の一つになります。

まとめ

三菱UFJ銀行のPPAP廃止は、受け取り方が変わるという実務的な案内である以上に、「送る側」としての自社の立ち位置を問い直すきっかけになり得ます。同様の動きが他の取引先にも広がる可能性を踏まえ、指摘を受ける前に自社の送信実態を確認しておくことが、落ち着いて対応方針を選ぶための第一歩になります。確認や見直しの進め方を相談したい場合は、お問い合わせから連絡できます。