Emotet（エモテット）は、主にメールを通じて感染を広げるマルウェアです。取引先や社内担当者を装ったメールに不正な添付ファイルやURLを含め、受信者に添付ファイルを開かせたりURLをクリックさせたりして感染につなげます。過去のメール内容を流用し、正規の返信メールのように見せる手口もあります。

感染するとメール本文やメールアドレスなどが窃取され、なりすましメールなど、さらなる攻撃に悪用される可能性があります。メールセキュリティやEDRなどの技術対策に加え、従業員が不審なメールや操作要求に気付き、止めて報告できる体制を整えることが重要です。

本記事では、Emotetの感染経路や攻撃によって生じる具体的な被害、企業が行うべき技術・人的対策について解説します。

なお、JPCERT/CCでは2023年4月以降、Emotetの活動は確認していないとされています。ただし、Emotetで使われたような返信型メールや不正ファイル、URL誘導の手口は、他のマルウェア攻撃にも応用されるため、企業としては同様の攻撃に備えた対策が重要です。

Emotetは、メールをきっかけに端末へ感染し、情報窃取や別のマルウェアへの感染を引き起こすマルウェアです。感染した端末だけで被害が終わらず、社内外へ攻撃が広がる可能性があります。

Emotetは、感染した端末からメールアカウントやメール本文、メールアドレスなどを窃取し、なりすましメールに悪用します。さらに、別のマルウェアをダウンロードする役割を持つ場合もあり、被害が広がる可能性があります。

Emotetに感染すると、窃取されたメール本文や連絡先などを利用し、実際の取引先や担当者になりすましたメールが作成される場合があります。過去の件名や本文が引用されるため、受信者には普段のやり取りの続きに見えることがあります。

その結果、自社の取引先や顧客が不正な添付ファイルやURLを開き、次の感染につながるおそれがあります。

Emotetは、実在する相手とのやり取りを装ったメールなど、受信者が不審だと気付きにくい手口が使われます。ここでは、代表的な感染経路を見ていきます。

Emotetでは、取引先や社内担当者を装い、感染端末から窃取した過去のメール内容や件名を利用して、既存のやり取りへの返信のように見せかける場合があります。

見知った相手からのメールや、過去のメールへの返信に見える場合でも、安全とは限りません。身に覚えのない内容や不自然な点があれば、添付ファイルやURLを開かず、必要に応じて送信元とされる相手に別の方法で確認することが重要です。

Emotetでは、WordやExcelなどのOfficeファイルを使い、マクロやコンテンツの有効化を促す手口が使われてきました。パスワード付きZIPファイルに不正なファイルを格納するケースや、LNK（ショートカット）ファイルなどを使った手口も確認されています。

特定の拡張子だけで判断せず、予定していない添付ファイルや、開いた後に普段と異なる操作を求めるファイル全般を警戒することが重要です。

メール本文に記載されたURLも感染経路になります。「請求書の確認」「資料共有」など、業務上自然な内容でリンクをクリックさせ、不正なファイルのダウンロードへ誘導する手口です。

警察庁も、メール本文中のURLからダウンロードしたファイルを介して感染する事例を確認しています。

「添付ファイルを開かなければ安全」と考えず、リンク先や遷移先に違和感があれば操作を止めましょう。

Emotetは、添付ファイルを開く、URLをクリックする、表示された指示に従うといった操作が感染のきっかけになる場合があります。実在する相手とのやり取りを装うため、知らない送信者だけを警戒する教育だけでは十分ではありません。

予定していないファイルや普段と異なる操作要求があれば、別の方法で送信者へ確認することが重要です。技術対策をすり抜けた攻撃を止めるためにも、「不自然なら操作を止めて確認する」という行動を定着させましょう。

Emotetに感染すると、端末内の情報が窃取されるだけでなく、その情報を使って社内外へ攻撃が広がる可能性があります。

感染すると、メールアカウントやメール本文、メールアドレスなどが窃取され、顧客や取引先とのやり取りが外部へ漏れる可能性があります。

また、メールソフトやブラウザなどに保存された認証情報が窃取されると、別のサービスへの不正アクセスなどの被害につながる可能性もあります。

攻撃者は、窃取したメール情報から実在する担当者や企業になりすましたメールを作成し、取引先や顧客へ新たな攻撃を仕掛ける場合があります。

また、社内のほかの端末へ影響が広がることもあります。1台の感染が、自社だけでなく取引先や顧客を巻き込むインシデントへ発展する可能性があります。

Emotetは、別のマルウェアを導入する足掛かりとして利用される場合があります。その結果、追加の情報窃取や不正アクセス、ランサムウェアによるデータ暗号化など、さらに深刻な被害へ発展する可能性もあります。

警察庁も、Emotetに感染すると、他の不正プログラムに感染するおそれがあると注意喚起しています。そのため、Emotetを駆除するだけで終わらせず、ほかの侵害がないか端末やネットワークを確認することが重要です。

Emotetへの対策では、メールや端末を守る技術対策と、従業員が不審な操作を止め、早期に報告できる体制を組み合わせる必要があります。

メールセキュリティ製品で不審な添付ファイルやURLへの対策を行うとともに、OSやアプリケーション、セキュリティソフトを常に最新の状態に保ちます。

また、業務でOfficeのマクロ機能を使用しない場合は無効化し、送信ドメイン認証を活用したメールフィルタリングなども組み合わせます。

さらに、感染の早期検知や被害拡大の防止に備え、EDRやログ取得・監視などの多層的な対策を検討することも重要です。認証情報が窃取された場合の不正ログイン対策としては、多要素認証も有効といえます。

不審な添付ファイルを開いたり、リンクをクリックしたりした時点で、情報システム部門などへ報告するルールを決めておきます。感染が疑われる端末はネットワークから隔離します。感染が確認された場合は、感染した端末で使用していたメールのパスワードを変更するなど、関係するアカウントへの対応も行います。

併せて、ほかの端末への感染や追加のマルウェア、不正アクセス、社外への不審なメール送信がないかを調査します。取引先や顧客への注意喚起が必要になった場合の連絡手順も整理しておくことが重要です。

Emotetでは、実在する取引先や過去のメール内容を利用した返信型メールも使われるため、「知らない送信者だけを警戒する」という教育では不十分です。予定していない添付ファイルや、「有効化」「実行」など、普段と異なる操作要求には注意するよう周知します。

また、判断に迷ったときの確認先・報告先を明確にします。誤って操作した従業員を責めるのではなく、「開いてしまった段階」で報告しやすい環境を作ることが早期対応につながります。

Emotetのように実在する相手を装う攻撃は、知識だけでは判断が難しい場合があります。実際の業務に近いメールや操作を疑似体験し、「怪しいと感じる・操作を止める・報告する」までを練習することが有効です。

『セキュアプラクティス®』では、フィッシングや標的型攻撃メールなど、メールを起点とした攻撃を学べるシナリオを用意しています。ウイルス感染後のPCの挙動も疑似体験でき、管理者側では履修状況も確認できるため、「気付く・止まる・報告する」という行動の継続的な定着につなげられます。

Emotetは、不正な添付ファイルやURLを含むメールから感染を広げます。実在する人物や過去のメール内容を利用した攻撃もあるため、特定のファイル形式やメールの特徴だけを覚える対策では十分ではありません。

感染すると、メール情報や認証情報の窃取、社内外への攻撃拡大、別のマルウェアへの感染につながる可能性があります。メールセキュリティ、EDR、更新管理などの技術対策と、従業員が不審な操作を止めて報告するための教育を組み合わせることが重要です。

従業員の判断力や報告行動を定着させるには、知識の周知だけでなく、実際の業務に近い状況を想定した体験型学習も有効です。

『セキュアプラクティス®』では、こうしたセキュリティ行動を実践的に学べるシナリオを用意しています。実際の業務に近い状況で判断を練習し、「気付く・止まる・報告する」という行動の定着につなげることができます。