Emotetとは？被害事例とその対策まで徹底解説

Emotetとは

Emotetは2014年に初めて検出されたマルウェアで、当時はオンラインバンキングの認証情報を窃取するトロイの木馬（正規プログラムを装って侵入し、不正行為を行うマルウェア）として登場しました。

2019年11月以降、多くの被害が報告され、メディアでも大きく取り上げられました。一時的に活動が沈静化したものの、2021年11月以降に再び感染が拡大。その後も感染手法が進化し、現在も深刻な脅威として活動が確認されています。

他のマルウェアとの違い

Emotetが他のマルウェアと際立って異なる3つの特徴をご紹介します。

●モジュール型の構造

Emotetは複数のモジュールで構成されており、必要に応じて機能を追加したり変更したりすることができます。これにより、攻撃者は柔軟に攻撃手法を変更することが可能です。

●高度な感染拡大能力

Emotetは感染した端末のメールデータやアドレス帳を窃取し、それらの情報を利用してなりすましメールを送信します。これにより、非常に高い確率で新たな感染を引き起こすことができます。

●継続的な機能アップデート

Emotetは頻繁に機能がアップデートされ、新たな攻撃手法が追加されています。これにより、セキュリティ対策をすり抜けて感染を継続させる能力を維持しています。

これらの特徴により、Emotetは長期間にわたって活動を続け、深刻な被害をもたらしています。

Emotetの感染経路

主な感染経路はなりすましメールです。これらのメールは、実在する組織や個人になりすまし、過去のやり取りを引用するなどして信憑性を高めています。

なりすましメールの特徴

Emotetが送信するなりすましメールは、実在する組織や個人を偽装し、過去のメールのやり取りを引用するなどして正規のメールと誤認させる手口が特徴です。

そして、これらのなりすましメールに、ウイルスを仕込んだファイルが添付されています。

添付ファイルの種類と手口

添付ファイルには以下の形式のものが多く利用されます。

• Microsoft Office文書ファイル：マクロ実行による感染
• PDFファイル：リンククリックで感染
• ZIPファイル：解凍後のファイルのマクロの実行で感染

これらのファイルに、悪意のあるマクロやスクリプトが巧妙に埋め込まれており、ユーザーがファイルを開いて特定の操作（マクロの有効化など）を行うことで、Emotetが実行されます。

これらの中でも、マクロを使用した感染手法が最も多くの被害事例として報告されています。 例えば、Office文書ファイルを使用した攻撃では、以下のような手順で感染が起きます。

1. ユーザーがファイルを開く
2. マクロの有効化を促すメッセージが表示される
3. ユーザーがマクロを有効にすると、Emotetがダウンロード・実行される

その他の型式として挙げたPDFファイルやZIPファイルも、ユーザーに操作を促しEmotetを実行させるという同様の仕組みとなっています。

Emotetによる被害

Emotetに感染すると、組織や個人に深刻な被害をもたらします。その直接的な被害と二次的な被害を説明します。

直接被害

情報窃取

過去に送受信されたメールのアドレス、表示名、件名、及び添付ファイルを含む本文が窃取されるほか、Webブラウザに保存された認証情報、Webサービスのログイン情報、クレジットカード情報の窃取も報告されています。

さらには、顧客情報や機密情報が外部に漏洩するリスクや、知的財産も流出、競合他社による不正利用といった可能性も懸念されます。

金銭的損失

保有している情報にクレジットカード情報やオンラインバンキングのアカウントがあれば、不正に利用され、直接的な金銭被害を受ける可能性があります。

ランサムウェア拡大防止のためにネットワークを遮断するなど、やむを得ず業務を停止せざるを得ない状況が発生する場合もあります。システム復旧作業には多大な手間とコストがかかり、業務の長期中断による二次的な損害も懸念されます。

二次被害

Emotetは、他のマルウェアをダウンロードする機能も備えているため、他のマルウェアの感染経路としても機能します。そのため、以下のような二次被害が発生する可能性があります。

信頼失墜と法的リスク

顧客や取引先からの信用が低下し、組織のブランドイメージにも悪影響が及ぶ可能性があります。この信用低下は、長期的な取引関係の喪失につながることもあります。

さらには、個人情報の漏えいが発生した場合、個人情報保護法違反に問われる可能性があり、法的責任を追及されることもあります。その結果、損害賠償請求などのリスクも生じます。

ボットネットへの組み込み

ボットネットとは、悪意のある目的で使用されるコンピュータのネットワークです。通常、ボットネットはマルウェアによって感染した多数のデバイス（コンピュータやIoTデバイスなど）から構成され、DDoS攻撃（過剰なアクセスによるサイバー攻撃）への加担や、スパムメールの送信元として悪用されます。

被害事例

Emotetによる具体的な被害事例として、以下のようなものが報告されています。

• 2019年10月：大学での感染
  学内ネットワークを介して広範囲に感染が拡大し、学生や教職員の個人情報が流出した。
• 2020年1月：複数の医療機関での感染
  患者情報を含む大量のメールデータが流出し、一部の医療機関では診療に影響が出た。
• 2020年3月：不動産業での感染
  取引先とのメールデータが流出し、なりすましメールにより取引先にも被害が拡大した。

これらの事例から、Emotetの感染が組織に与える影響の大きさがわかります。

Emotetの対策方法

ここまで、Emotetの脅威を説明してきましたが、それらの脅威から組織や個人を守るには、どのような対策が有効であるか、侵入前の予防策と侵入後の対応策を説明します。

侵入前の対策方法

●システム・セキュリティの強化

Emotetの主な感染経路であるメール対策として、スパムフィルターの導入やDMARC（Domain-based Message Authentication, Reporting & Conformance：送信ドメイン認証の仕組み）、SPF（Sender Policy Framework：送信元IPアドレスの認証）の設定、不審な添付ファイルやリンクの自動スキャンを徹底する必要があります。これにより、メールによる感染リスクを大幅に低減できます。

エンドポイントでは、最新のウイルス対策ソフトの導入と定期的なスキャンを行うとともに、EDR（Endpoint Detection and Response）を活用することで、迅速な脅威検知と対応が可能な体制を構築します。また、OSやソフトウェアの脆弱性を悪用する攻撃を防ぐために、これらを最新のバージョンに更新する習慣を徹底します。Office製品も同様に最新状態に保つことが重要です。

●ユーザー設定や教育

ユーザー設定においては、メールアカウントや重要なシステムへのアクセスに多要素認証を適用し、不正アクセスを防ぎます。また、Office文書のマクロは信頼できる発行元のものだけを許可するよう設定し、不用意な有効化を防止します。

セキュリティ教育では、フィッシングメールの識別や不審な添付ファイルを開かない注意を徹底し、トレーニングを通じてユーザーの意識を向上させることが不可欠です。さらに、パスワードの適切な管理を実施し、使い回しを避け定期的に変更することで、不正ログインのリスクを最小限に抑えます。

●セキュリティ監視の強化

SIEM（Security Information and Event Management: ログやイベントをリアルタイムで監視し不審な活動を早期に発見するシステム）を導入し、リアルタイムで不審な活動を監視することで早期発見・対策ができる体制を構築します。

侵入後の対応方法

Emotetの感染が疑われる場合や、すでに感染が確認された場合、被害を最小限に抑えるために迅速かつ適切な対応が求められます。以下に、具体的な対応策を示します。

感染の確認

まずは、Emotet感染の有無を迅速に確認することが重要です。そのために、「EmoCheck」などの専用ツールを活用して感染状況を調査します。さらに、ウイルス対策ソフトを用いて詳細なスキャンを実施し、ネットワークトラフィックに異常がないかを確認することで、感染範囲を特定します。同じネットワークに接続されているすべての端末を調査し、感染拡大のリスクを排除する必要があります。 また、感染経路や範囲を詳細に調査するため、メモリダンプやディスクイメージの作成、ログファイルの保存といった証拠保全を行うことが重要です。

感染端末の隔離

感染が確認された端末は、ネットワークからただちに切断し、物理的に隔離します。これにより、他の端末やネットワークへの感染拡大を防ぐことが可能です。

パスワードの変更

感染後は、メールアカウントや管理者アカウントを含むすべての関連アカウントのパスワードを速やかに変更します。これにより、不正利用やさらなる被害を防ぎます。また、アクセス制御を強化し、重要な情報資産への不正アクセスを防止します。

法令遵守と関係機関への連絡

個人情報の漏えいなどが発生した場合は、法令に基づき、個人情報保護委員会への報告や該当者への通知を速やかに行う必要があります。これにより、法的責任を果たすと同時に、被害者への誠実な対応を示すことができます。

まとめ

Emotetは、その巧妙な感染手法と深刻な被害をもたらす能力から、現代のサイバーセキュリティにおいて最も警戒すべき脅威の一つです。

このマルウェアは、なりすましメールや添付ファイル、悪意のあるリンクを通じて組織内に侵入し、迅速に感染を拡大させます。その結果、機密情報の流出や業務停止、金銭的損失など、甚大な被害をもたらす可能性があります。Emotetへの対応には、事前の予防策と事後の対応策の両方を行うことが重要です。

また、感染後の対応として、感染の早期発見や端末の隔離、証拠保全、関係機関への迅速な連絡を含む対応手順を整備することが求められます。

このような取り組みは、一時的な対応にとどまらず、継続的に行われるべきです。組織全体でセキュリティ意識を高め、最新の防御策を取り入れることで、Emotetをはじめとするサイバー攻撃からのリスクを軽減し、安全な環境を維持することが可能となります。