【上級者向け】Outlook VBAによるパスワード付きZIPの高度セキュリティ監視と自動フラグ付与アーキテクチャ
執筆者：チーフアーキテクト
—
エンタープライズ環境における最大の脅威の一つは、巧妙に偽装された、あるいは検知をすり抜ける「パスワード付きZIP（いわゆるPPAP亜種や暗号化アーカイブ）」によるマルウェア流入である。昨今のセキュリティポリシーにおいて、暗号化された添付ファイルはサンドボックスによる動的解析を無効化するため、ゲートウェイでの一律ブロックが推奨されている。しかし、例外的な業務フローや外部からの直接受信により、依然としてクライアント端末（Outlook）の受信トレイにこれらが到達するケースは後を絶たない。
本稿では、一般的な拡張子チェックの次元を超え、VBAの限界領域に踏み込んだバイナリレベルでのZIP構造解析、パスワード保護（暗号化）の検知、そしてOutlookオブジェクトモデルのメモリライフサイクルを極限まで最適化した実用コードを提示する。
レガシーなVBA環境であっても、適切なAPIとストリーム制御を行えば、堅牢なセキュリティ監視エージェントへと昇華させることが可能だ。その実装の全貌を解説する。
—
1. アーキテクチャの設計思想：なぜVBAでバイナリ解析が必要か
多くの初学者は、添付ファイルの拡張子が `.zip` であること、あるいはファイル名が一致することだけで判定を下す。しかし、実務の現場では以下のようなバイパス手法が存在する。
1. 偽装された拡張子: 実行ファイルやスクリプトが `.zip` にリネームされている。
2. 二重・多重アーカイブ: ZIPの中にさらにパスワード付きZIPが内包されている。
3. ZIP構造内の暗号化フラグ: 拡張子が異なっていても、ローカルファイルヘッダの暗号化ビット（General Purpose Bit Flag）が立っていれば、それは暗号化アーカイブである。
これを安全かつ高速に検知するため、本システムでは「Outlookの `NewMailEx` イベントによる即時捕捉」「FileSystemObjectを通じた一時領域でのストリーム抽出」「ZIPローカルヘッダのバイナリ直接検証」を組み合わせる。
—
2. コア実装：セキュリティ監視モジュールの全容
以下のコードは、`ThisOutlookSession` に配置するイベントハンドラおよび、標準モジュールに配置する解析エンジンである。
メモリリークを完全に防ぐため、OutlookのCOMオブジェクト（`MailItem`, `Attachment`, `NameSpace` 等）は、スコープを厳密に管理し、即座に `Nothing` を代入して解放する設計としている。
`ThisOutlookSession` （イベントエントリポイント）
Option Explicit
‘ 受信メールを高速に捕捉するためのイベント宣言
Private WithEvents AppItems As Outlook.Items
Private Sub Application_Startup()
Dim ns As Outlook.NameSpace
Set ns = Application.GetNamespace(“MAPI”)
‘ 受信トレイのアイテムコレクションを取得
‘ 注意: 大規模なメールボックスではパフォーマンス影響を考慮し、フィルタリングを推奨
Set AppItems = ns.GetDefaultFolder(olFolderInbox).Items
Set ns = Nothing
Debug.Print “[Architecture Info] Security Monitor Initialized.”
End Sub
Private Sub AppItems_ItemAdd(ByVal Item As Object)
‘ 処理の安全性を担保するため、MailItem以外（会議出席依頼やレポート等）を早期リターン
If TypeName(Item) <> “MailItem” Then Exit Sub
Dim mail As Outlook.MailItem
Set mail = Item
On Error GoTo ErrorHandler
‘ 添付ファイルが存在する場合のみ解析処理へルーティング
If mail.Attachments.Count > 0 Then
Call ProcessSecureInspection(mail)
End If
CleanUp:
‘ COMオブジェクトの確実な解放（メモリリーク防止）
On Error Resume Next
If Not mail Is Nothing Then Set mail = Nothing
Exit Sub
ErrorHandler:
Debug.Print “[Critical Error] AppItems_ItemAdd: ” & Err.Description
Resume CleanUp
End Sub
標準モジュール：`ModSecurityInspector` （バイナリ解析・フラグ付与エンジン）
Option Explicit
‘ 判定結果の列挙体
Public Enum SecurityVerdict
Verdict_Safe = 0
Verdict_EncryptedZipDetected = 1
Verdict_SuspiciousStructure = 2
End Enum
Public Sub ProcessSecureInspection(ByVal mail As Outlook.MailItem)
Dim att As Outlook.Attachment
Dim fso As Object
Dim tempFolder As String
Dim tempFilePath As String
Dim verdict As SecurityVerdict
Dim hasEncryptedContent As Boolean
hasEncryptedContent = False
Set fso = CreateObject(“Scripting.FileSystemObject”)
tempFolder = fso.GetSpecialFolder(2) ‘ TemporaryFolder (2)
‘ 各添付ファイルを走査
For Each att in mail.Attachments
‘ 隠しファイルやインライン画像（CID付き）を除外
If Not IsInlineAttachment(att) Then
tempFilePath = tempFolder & “\” & att.FileName
‘ 安全のため、一度ディスク上のサンドボックス（一時領域）にストリームとして書き出す
att.SaveAsFile tempFilePath
‘ バイナリ構造解析によるパスワード（暗号化）検知
verdict = InspectZipEncryption(tempFilePath)
If verdict = Verdict_EncryptedZipDetected Then
hasEncryptedContent = True
End If
‘ 一時ファイルの即時破棄（フォレンジック上の残存リスク排除）
If fso.FileExists(tempFilePath) Then
fso.DeleteFile tempFilePath, True
End If
End If
Next att
‘ 判定結果に応じたフラグ付与とカテゴリ設定
If hasEncryptedContent Then
ApplySecurityFlagAndCategory mail
End If
CleanUp:
‘ オブジェクトの明示的破棄
On Error Resume Next
If Not att Is Nothing Then Set att = Nothing
If Not fso Is Nothing Then Set fso = Nothing
On Error GoTo 0
End Sub
‘ インライン添付（本文埋め込み画像等）の判定
Private Function IsInlineAttachment(ByVal att As Outlook.Attachment) As Boolean
On Error Resume Next
Dim pa As Outlook.PropertyAccessor
Const PR_ATTACH_METHOD As String = “http://schemas.microsoft.com/mapi/proptag/0x37050003”
Const PR_ATTACH_CONTENT_ID As String = “http://schemas.microsoft.com/mapi/proptag/0x3712001E”
Set pa = att.PropertyAccessor
Dim attachMethod As Long
attachMethod = pa.GetProperty(PR_ATTACH_METHOD)
‘ 1 = olByValue (通常の添付ファイル), その他はOLEやインラインの可能性
If attachMethod <> 1 Then
IsInlineAttachment = True
Else
‘ Content-IDが存在する場合はインラインとみなす
Dim contentId As String
contentId = pa.GetProperty(PR_ATTACH_CONTENT_ID)
If Len(contentId) > 0 Then IsInlineAttachment = True Else IsInlineAttachment = False
End If
Set pa = Nothing
End Function
‘ ZIPファイルのバイナリ構造を読み解き、暗号化フラグを検知する関数
Private Function InspectZipEncryption(ByVal filePath As String) As SecurityVerdict
Dim fileNum As Integer
Dim headerBytes(3) As Byte
Dim localHeader(30) As Byte
Dim bitFlag As Integer
InspectZipEncryption = Verdict_Safe
fileNum = FreeFile
On Error GoTo CleanUp
Open filePath For Binary Access Read As #fileNum
‘ ファイルサイズがZIPの最小構造（22バイト未満）を満たしているか
If LOF(fileNum) < 22 Then GoTo CleanUp
' ローカルファイルヘッダーシグネチャ (PK\x03\x04 = 0x04034B50) の確認
Get #fileNum, 1, headerBytes
If headerBytes(0) = &H50 And headerBytes(1) = &H4B And headerBytes(2) = &H3 And headerBytes(3) = &H4 Then
' General Purpose Bit Flag の読み出し (オフセット 6, 2バイト)
Dim flagBytes(1) As Byte
Get #fileNum, 7, flagBytes
' バイト配列から整数値へのコンバージョン
bitFlag = flagBytes(0) + (flagBytes(1) 256)
' ビット0 (Least Significant Bit) が立っている場合は暗号化されている
If (bitFlag And 1) = 1 Then
InspectZipEncryption = Verdict_EncryptedZipDetected
End If
End If
CleanUp:
Close #fileNum
On Error GoTo 0
End Function
' 警告フラグの付与とセキュリティカテゴリの設定
Private Sub ApplySecurityFlagAndCategory(ByVal mail As Outlook.MailItem)
With mail
' 重要度を「高」に強制変更
.Importance = olImportanceHigh
' フラグを設定（赤旗、期限なし）
.MarkAsTask olMarkNoDate
.TaskSubject = "【セキュリティ警告】パスワード付きZIP検知・要目視確認"
' カテゴリにセキュリティ警告を追加（既存のカテゴリを維持しつつ追加）
If InStr(1, .Categories, "【要警戒】暗号化添付", vbTextCompare) = 0 Then
If Len(.Categories) > 0 Then
.Categories = .Categories & “, 【要警戒】暗号化添付”
Else
.Categories = “【要警戒】暗号化添付”
End If
End If
‘ 未読状態を維持または注意喚起のためにフラグ更新を保存
.Save
End With
End Sub
—
3. チーフアーキテクトが解説する「実務上の要点と極限の最適化」
このアーキテクチャを現場に投入するにあたり、以下の知見がシステムの安定性を左右する。
1. バイナリ構造（ZIP Specification）の正確な把握
ZIPフォーマットはPKWARE社によって定義されている。ファイル先頭の4バイト（シグネチャ）の直後、オフセット6〜7バイト目に位置する General Purpose Bit Flag の第0ビット（LSB）が `1` である場合、そのファイルは標準的なパスワード暗号化（ZipCrypto）またはAES暗号化が施されている。
拡張子を `.zip` から `.dat` や `.txt` に偽装していても、このバイナリシグネチャとフラグを直撃するため、偽装ファイルを完全に無力化できる。
2. メモリリークとCOM解放の鉄則
Outlook VBAにおける最大の障害は、「見えない参照カウンタの保持によるプロセス残留（OUTLOOK.EXEのゾンビ化）」である。
`For Each att In mail.Attachments` のようなループ内では、自動的に生成されるイテレータやオブジェクト参照がVBAの内部スタックに居座り続ける。本コードでは、処理の終了時に明細単位での `Set = Nothing` を徹底し、さらにエラートラップ内でも確実なオブジェクト破棄を行う構造を採用している。
3. スレッド安全性と非同期の罠
`NewMailEx` や `ItemAdd` イベントは、OutlookのメインUIスレッドのイベントループ内で同期実行される。もし巨大なファイル（例: 500MBのZIP）を同期的にバイナリ読み込みすると、Outlook全体のフリーズ（Not Responding）を引き起こす。
本コードは小〜中規模の添付ファイルを想定しているが、極端な大容量ファイルが流入する環境では、ファイルサイズチェック（例: `att.Size > 10 1024 1024` ならバイナリ解析をスキップして即時警告とする等）のガード条件を追加することが、シニアエンジニアとしての実務的な配慮となる。
—
4. 結語
VBAはレガシーな言語と揶揄されることもあるが、OSのローカルリソース、ファイルシステム、そしてOutlookのMAPI層にこれほどダイレクトにアクセスできる強力なインターフェースは他に類を見ない。
ここに示したバイナリ解析ロジックを組み込むことで、高価なサードパーティ製セキュリティアドインを導入せずとも、組織のクライアントサイド・ファーストディフェンスラインを強固に構築することが可能となる。コードの意図とオブジェクトのライフサイクルを完全に理解した上で、自社のセキュリティ要件に合わせたチューニングを施して活用してほしい。
