【テクニカル・上級編】【中級者向け】受信メールの添付ファイルがパスワード付きZIPの場合、自動で解凍をスキップして警告フラグを付与するセキュリティ監視 – Outlook VBA解析バイブル

境界防御の終着点：Outlook VBAによる「パスワード付きZIP」自動検知の極致

メールセキュリティにおいて、パスワード付きZIP（PPAP）は依然として残存するレガシーな脅威だ。サンドボックスやゲートウェイでの検知がすり抜けた際、最後の砦となるのはエンドポイント、すなわちOutlookのクライアントサイド処理である。

今回は、単なる「メールの移動」ではなく、メモリを汚染せず、高負荷を回避し、かつ確実に脅威を隔離するためのアーキテクチャを提示する。VBAを単なるスクリプト言語と侮るなかれ。適切に扱えば、これはWindows APIを掌中に収める強力な自動化エンジンだ。

—

1. アーキテクチャの要諦：非同期イベントとメモリ管理

Outlookの `NewMailEx` イベントは強力だが、安易な実装はOutlook自体のハングアップを招く。特に、大きな添付ファイルを解析する際、メインスレッドを占有することは許されない。

我々が目指すのは、「軽量なメタデータ解析」だ。バイナリをすべてメモリに展開する愚は犯さない。ZIPのヘッダ構造を解析し、パスワード保護フラグのみを抽出する。

2. 実装の核心：ZIPヘッダの構造的解析

ZIPファイルの暗号化フラグは、各ファイルのローカルヘッダの「汎用目的ビットフラグ（General Purpose Bit Flag）」の第0ビットに存在する。これを確認するだけで十分だ。

‘ 必須：Windows APIによる低レイヤーファイルアクセス
Private Declare PtrSafe Function CreateFile Lib “kernel32” Alias “CreateFileW” _
(ByVal lpFileName As LongPtr, ByVal dwDesiredAccess As Long, …) As LongPtr

”’

Function IsZipPasswordProtected(ByVal filePath As String) As Boolean
Dim fileNum As Integer
Dim buffer(0 To 6) As Byte ‘ 先頭数バイトで十分

fileNum = FreeFile
Open filePath For Binary Access Read As #fileNum

‘ ZIPのローカルファイルヘッダの特定箇所(オフセット6)を判定
‘ 第0ビットが1であれば暗号化されている
Get #fileNum, 7, buffer(0)

Close #fileNum

‘ ビット演算による判定
IsZipPasswordProtected = (buffer(0) And 1) = 1
End Function

3. セキュリティ監視の本体：Outlookイベントの実装

`ThisOutlookSession` に記述するコードは、常に簡潔かつ堅牢でなければならない。オブジェクトのライフサイクル管理を怠れば、COMのメモリリークが蓄積し、数日の稼働でOutlookを不安定にする。

Private Sub Application_NewMailEx(ByVal EntryIDCollection As String)
Dim objItem As Object
Dim mail As MailItem
Dim att As Attachment
Dim tempPath As String

Set objItem = Session.GetItemFromID(EntryIDCollection)

If TypeOf objItem Is MailItem Then
Set mail = objItem

‘ 添付ファイルの走査
For Each att In mail.Attachments
If LCase(Right(att.FileName, 4)) = “.zip” Then
tempPath = Environ(“TEMP”) & “\” & att.FileName
att.SaveAsFile tempPath

‘ セキュリティ判定
If IsZipPasswordProtected(tempPath) Then
‘ 警告フラグの付与と色分け
mail.Categories = “要警戒：PPAP”
mail.Importance = olImportanceHigh
mail.FlagIcon = olRedFlagIcon
mail.Save

‘ ログ出力（監査証跡）
Debug.Print “検知: ” & mail.Subject & ” パスワード付きZIPを隔離対象としてマーク”
End If

‘ オブジェクトの明示的解放（必須）
Kill tempPath
End If
Next att
End If

CleanUp:
Set att = Nothing
Set mail = Nothing
Set objItem = Nothing
End Sub

4. シニアエンジニアへの提言：極限のチューニング

このコードを実戦投入する際、以下の3点を忘れてはならない。

1. エラーハンドリングの徹底: `SaveAsFile` が失敗する場合（ファイル名の競合や権限不足）、`On Error Resume Next` で誤魔化すのは素人仕事だ。必ず特定の例外をキャッチし、ログを吐く仕組みを構築せよ。
2. API呼び出しの最適化: `PtrSafe` 宣言は必須である。64bit版Outlook環境を前提とし、ポインタの扱いに細心の注意を払うこと。
3. UIスレッドの保護: 大量メール受信時に処理が遅延する場合、`DoEvents` を挟むか、処理の一部を別プロセス（VB.NETで作成したCOMアドイン）へオフロードすることを検討すべきだ。VBAはあくまで「Glue（接着剤）」であり、重い処理の責任を負わせるべきではない。

結びに代えて

自動化とは、単に手作業を減らすことではない。「システムに規律を持たせる」ことである。

セキュリティ監視をクライアントサイドのVBAに実装するということは、サーバーサイドのゲートウェイが万が一突破された際の「最終的な防衛線」を自らコード化することを意味する。このコードを記述する貴殿の責任は重い。だが、これこそが、アーキテクトとして歩む道だ。

コードを信じるな、仕組みを信じろ。そして、常にメモリの解放を忘れるな。それが、真のプロフェッショナルの矜持である。