Emotet（エモテット）対策とは？　感染リスクや最新の攻撃手法も解説

2023年3月時点で新たな攻撃手口が確認されている

Emotetは2019年末以降、感染拡大と共にメディアに取り上げられ、広く知られるようになりました。2021年には欧州刑事警察機構（Europol）による大規模な対策が成功し、Emotetは制御下に置かれたかと思われましたが、同年中に再び攻撃メールの着信が確認され、2022年にも複数の被害が報告されています。

2023年3月時点においても、Microsoft OneNote形式のファイル（.one）を悪用した新たな手口が確認されました。これは、攻撃メールに添付されたMicrosoft OneNote形式のファイルを開いて、偽の指示に沿って操作すると、Emotetに感染するというものです。Emotetは過去のものではなく、今も攻撃手法を変化させながら、ウイルス感染の被害を拡大しています。

重要な情報を窃取される

Emotetがパソコンやスマートフォンなどのデバイスに不正侵入すると、Emotetを介して情報を窃取するマルウェアがダウンロードされ、端末内の情報が盗み取られます。
Emotetに感染することで盗み取られる情報としては、次のようなものが挙げられます。

Emotetに盗まれる情報例

• メールアカウントやアドレス帳の情報
• 過去にやりとりしたメールの本文や送付先アドレス
• Webブラウザーに記録・保存したID・パスワード情報
• Webブラウザーに記録・保存したクレジットカード情報

Emotetを介して端末内の情報を盗み取られることで、社内ネットワークへ不正にログインされるおそれもあります。その結果、社内の様々な重要情報が外部へ流出し、悪用される可能性もあるでしょう。

ほかの不正プログラムに感染

一度感染すると、Emotetが媒介役となりほかの不正プログラムにも次々と感染しやすくなることも、Emotetの厄介な特徴です。

例えば、身代金要求型ウイルスのランサムウェアを勝手にダウンロードし、実行されるケースがあります。ランサムウェアに感染するとその端末内のファイルやデータが暗号化され、被害者のシステムへのアクセスが制限されてしまいます。この制限を解除するために、攻撃元は被害者に身代金の支払いを要求するのです。
ほかに、インターネットバンキングの情報を盗み取ることを目的とした、ウイルスに感染したという被害例もあります。

いずれの不正プログラムにしても、感染すると端末の使用者とその組織には深刻な被害がもたらされることとなるのです。

社内への感染拡大

Emotetは、自己増殖によって感染を拡大できる「ワーム機能」を持っており、一度ネットワーク内に侵入すると、そのネットワーク内のほかの端末への侵入も試みます。同じネットワークを使用する社内の端末にも、感染拡大する可能性が高いのです。

さらに、Emotetは、端末に潜伏し活動しながら、アップデートも頻繁に行います。OSやソフトウェアに脆弱性が発見された場合、Emotetのアップデートによって組織内で一気に感染が拡大してしまうおそれもあるでしょう。

取引先や顧客を巻き込むリスク

Emotetは、盗み取ったメールアドレスなどの情報を悪用し、取引先や顧客に対して、Emotetの感染を目的としたメールを送信することもあります。
もし、自社のEmotet感染から派生して、取引先や顧客への感染が発覚した場合、感染元の組織は取引停止やブランドイメージの毀損、損害賠償請求などのリスクも負わなければなりません。

添付ファイルのマクロ実行を促す手口

Emotetの攻撃手法として多いのは、なりすましメールに添付されたマクロ付きのWordやExcelファイル、またはパスワード付きのZipファイルを開くことでウイルスに感染するというものです。WordやExcelファイルに悪意のあるマクロ（プログラム）が埋め込まれており、ファイルを開いてマクロを実行するとEmotetに感染してしまいます。

Microsoft Officeの標準設定では、安全のためにマクロの自動実行が止められているため、設定を変更していなければ、ファイルをダウンロードするだけでEmotetに感染することはありません。「コンテンツの有効化」というボタンをクリックしてマクロの実行を許可することにより、Emotetに感染します。
先に「編集を有効にする」というボタンを表示して、ボタンをクリックしないと文書が閲覧できないかのような印象を持たせ、その後「コンテンツの有効化」を表示し、どちらもクリックしないといけないかのように見せることで、マクロを実行させようとする手口も見られます。
少しでもあやしいと思ったら、「編集を有効にする」「コンテンツの有効化」というボタンはクリックしないことが大切です。

また、添付ファイルをダウンロードしてマクロを実行する以外にも、次のような方法でEmotetに感染することがあります。

マクロを実行しなくても感染するケース

• メール本文にあるリンクをクリックした先で、WordやExcelファイルをダウンロードすると感染する
• メール内のリンクをクリックするとPDFの閲覧を促す画面に飛び、閲覧しようとするとウイルスファイルが勝手にダウンロードされる
• メールにパスワード付きZipファイルとして添付されたショートカットファイルを開くと感染する

2023年3月最新の攻撃手法

2023年3月には、メールに添付されたZipファイル内に500MBを超えるWordファイルが含まれている攻撃メールが確認されました。これは、容量を大きくすることによって、ダウンロード時のセキュリティソフトによる検知回避を狙った手口と考えられます。

このように、過去の事例では見られない新しい攻撃手法が生まれる可能性は、今後も十分に考えられます。

感染の確認ツールで常時チェック

Emotetに感染しているかどうかは、抜き取られた情報を悪用されて初めて気付くことが多く、そのときには被害が拡大している可能性があります。感染してしまった場合にすぐ対処できるよう、感染の有無を定期的にチェックすることが大切です。

一般社団法人JPCERTコーディネーションセンターが無料で公開・配布しているEmotet専用の感染チェックツール「EmoCheck」を活用すれば、端末のどこにEmotetが感染・潜伏しているのかを診断することができます。こうしたツールを使って、感染の有無をチェックしましょう。

管理ソフトを導入している場合、ソフトによっては、管理者が従業員の使用する端末の感染状況を「EmoCheck」で一括チェックできる機能もあります。診断結果が「感染」だった場合は、管理者にメールで通知されます。「EmoCheck」を管理者ツールから従業員の各端末に配付して実行できるため、導入作業の手間も軽減できます。

マクロ自動実行機能を無効化する

Emotetに感染する主な原因は、メールの添付ファイルを開封して「コンテンツの有効化」をクリックし、マクロ実行してしまうことです。Microsoft Officeの標準設定では、マクロ実行前に警告を表示するようになっています。もし、警告もなくファイルを開くだけでマクロを自動実行するように設定を変更している端末がある場合は、感染リスクが高くなるので「警告を表示してすべてのマクロを無効化する」設定に変更しておく必要があります。
また、警告を表示して従業員に判断を委ねるのではなく、すべてのマクロを無効化しておく設定も可能です。

組織内で対策ルールを整備する

組織内でEmotet対策をルール化し、注意喚起することも大切です。具体的なルールの内容としては、次のようなものがあります。

Emotet対策のルールの例

• 不審なメールはもちろん、自分への返信に見えるメールでも、不自然な点があれば添付ファイルは開封しない、もしくは本文中のURLをクリック・タップしない
• メールや添付ファイルの閲覧中に、身に覚えのない、または意味がわからない警告ウインドウが表示されたら操作を中断する
• メールの添付ファイルを開封してマクロやセキュリティに関する警告が表示された場合は、マクロを有効にしたり、警告を無視したりする操作をしない
• 身に覚えのないメールや添付ファイルを開封してしまったら、速やかにシステム管理部門などへ連絡する

ウイルス対策ソフトを導入する

ウイルス対策ソフトを導入することで、詐欺メールや迷惑メールを検出することができます。ソフトによっては、添付された不正ファイルもリアルタイムでスキャンして、検出する機能を備えたものもあります。
ウイルス対策ソフトは基本的に従来のパターンに基づいて検出を行うため、新たにアップデートされたウイルスには対応しきれない可能性もある点には注意が必要です。

メールセキュリティサービスを利用する

メールセキュリティサービスを利用することで、不正プログラムの感染を目的としたメールを検出し、感染を防止することができます。
迷惑メールフィルターをはじめ、未知のウイルスに対応するための解析機能を搭載したセキュリティサービスもあります。また、Microsoft 365やGoogle Workspaceなどのクラウドメールにもセキュリティ機能を適用できるサービスがあるため、自社のメールサービスに応じて選ぶといいでしょう。

OSやソフトウェアを最新の状態に保つ

OSやソフトウェアは、時間の経過と共に脆弱性が発見されることがあります。脆弱性はプログラムの不具合や設計ミスが原因で起こるもので、発見されると修正プログラムが各メーカーから配布されます。
こうした脆弱性が発見され、修正プログラムをインストールしていない状態で、潜伏していたEmotetのアップデートが行われると、爆発的に感染が拡大してしまうおそれがあるのです。

OSやソフトウェアの脆弱性を残しておくと、Emotetに限らず様々な不正プログラムによる攻撃を受けるリスクが高くなります。更新通知が来たら速やかにアップデートし、常に最新の状態に保つことが大切です。