情報処理推進機構（IPA）は4月19日、メール受信用の通信プロトコル「APOP」にセキュリティホールが存在すると警告した。APOPによる通信で、メールサーバ（APOPサーバ）アクセス用パスワード漏えいの可能性があるという。
APOPは、メールクライアントとサーバ間でメール受信に必要なやり取りを行うための通信プロトコル。広く利用されているメール受信プロトコルPOP3がサーバアクセス用のパスワードを平文で送るのに対し、APOPはMD5と呼ばれる方式でハッシュ化して保護する。
ただし、MD5ハッシュ関数にはハッシュ衝突（同じハッシュ値を持つ2つの異なるデータ列が発見可能なこと）の問題が存在するため、ユーザーが偽のAPOPサーバに誘導されてデータを解析されると、APOPパスワード解読の恐れがある。APOPパスワードが漏えいし、ほかのシステムでも同じパスワードを流用していると、不正ログインに悪用される危険もある。
MD5が原因であることから、現時点で根本的な対策はない。IPAは、「POP over SSL」やSSL暗号化対応のウェブメールなどの利用を推奨している。最新情報は、「JVN#19445002：APOPにおけるパスワード漏えいの脆弱性」で参照できる。
