独立行政法人情報処理推進機構セキュリティセンター（IPA/ISEC）は，メール受信プロトコルであるAPOPの常用使用により，パスワードが盗まれる可能性がある点について，2007年4月19日にあらためて注意を喚起する発表を行った。APOPは，メール受信用のパスワードを平文で送らないようにして安全性を高めたメール受信プロトコル。ユーザーには，パスワードを他の用途に流用しない，などの対策が望まれる。

　APOPの脆弱性は，MD5（Message Digest 5）を用いたチャレンジ・レスポンス型の認証をしているという点である。これにより，POPサーバーのパスワードが盗まれることと同様のダメージを受ける。MD5そのものが，ハッシュ衝突（異なる入力値から同一のハッシュ値を得ること）を人為的に起こさせやすいという脆弱性を抱えているほか，メール・サーバーとクライアントとの間でやり取りするチャレンジとレスポンスのペアを複数入手することで，MD5の脆弱性の高さがより加速化する。

　APOPの仕組みは以下の通り。APOPサーバーは，まず，チャレンジの文字列をクライアントに送信する。クライアントは，チャレンジの文字列にパスワードを連結したものをMD5にかけてハッシュ値（レスポンス）を作り，このレスポンスとユーザーIDをサーバーに送る。サーバーは，クライアントのユーザーIDに応じたパスワードとチャレンジを知っており，サーバー側でもハッシュ値を同じように生成する。その上で，サーバーで生成したハッシュ値とクライアントから送られてきたハッシュ値を比較し，一致していればパスワードが正しいと判断する。