Emotet（エモテット）とは？攻撃手口や被害、企業が講じるべき対策を解説
Emotet（エモテット）は、実在する取引先や知人からの返信を装ったメールなどを通じて感染を広げ、国内外の企業や組織に大きな被害をもたらしたマルウェアです。
Emotetに感染した場合、メールアカウントやパスワード、メール本文、アドレス帳などの情報が窃取されるおそれがあります。さらに、盗まれた情報が新たな攻撃メールに悪用され、取引先や顧客などへ被害が広がる可能性もあります。*1
JPCERT/CCによると、Emotetの活動は2023年4月以降確認されていません。*2
Emotet専用の感染確認ツール「EmoCheck」も配布を終了しており、脆弱性が確認されたことから、利用中の場合は直ちに使用を停止するよう案内されています。*3
しかし、Emotetで使われた「過去のメールへの返信を装う」「不審な添付ファイルやURLを開かせる」といった手口は、ほかのマルウェアやフィッシング攻撃でも使われています。そのため、Emotetの特徴を知ることは、現在のメール攻撃への備えを見直すうえでも有効です。
本記事では、Emotetの特徴や感染経路、想定される被害を振り返るとともに、感染が疑われる場合の対応と、企業が講じるべき対策を解説します。
*1 出典：独立行政法人情報処理推進機構（IPA）｜ Emotet（エモテット）関連情報
*2 出典：JPCERT/CC「マルウェアEmotetへの対応FAQ」
*3 出典：JPCERT/CC「EmoCheckの脆弱性およびEmoCheck配布終了のお知らせ」
目次[非表示]
Emotetとは
Emotetは、主にメールを通じて感染を広げるマルウェアです。
2014年ごろに、インターネットバンキングの認証情報を盗むことを目的としたマルウェアとして確認されました。その後、機能が拡張され、メール情報や認証情報を窃取するだけでなく、ほかのマルウェアを端末へ侵入させるための足掛かりとしても悪用されるようになりました。
IPAは、Emotetについて、メールアカウントやメールデータなどを窃取し、ほかのウイルスへの二次感染にも悪用されるマルウェアと説明しています。
2021年1月には、欧州刑事警察機構などによる国際共同作戦でEmotetの攻撃基盤が停止されました。しかし、その後活動が再開し、国内でも2022年11月と2023年3月に、攻撃メールの配信再開が確認されました。*4
その後、JPCERT/CCでは2023年4月以降、Emotetの活動を確認していません。*2
Emotetの感染確認に利用されていたEmoCheckの配布も終了しました。*3
そのため、現在はEmotetが継続的に感染拡大しているという前提ではなく、過去の代表的なメール攻撃として、その手口や対策を理解することが重要です。
*4 出典：独立行政法人情報処理推進機構（IPA）
「Emotetの攻撃活動再開について（2022年11月4日）」
「Emotetの攻撃活動再開について（2023年3月9日）」
Emotetの主な感染経路
Emotetへの感染を狙う攻撃では、主にメールの添付ファイルや本文中のURLが悪用されます。
受信者が不審なファイルを開いたり、URLからダウンロードしたファイルを実行したりすると、端末が感染する可能性があります。
感染後は、端末内のメール情報や認証情報が窃取され、それらを悪用した新たな攻撃メールが、取引先や社内の別の従業員などへ送られる場合があります。
次章では、Emotetが用いた具体的な攻撃手口と特徴を説明します。
Emotetの攻撃手口と特長
実在する相手からの返信を装う
Emotetへの感染を狙うメールでは、過去にやり取りした取引先や知人からの返信に見せかける手口が使われました。
実際の氏名やメール本文の一部が流用されることもあり、一般的な迷惑メールよりも見分けにくい点が特徴です。送信者名が正しく表示されていても、実際の送信元メールアドレスが異なる場合があるため注意が必要です。
添付ファイルやURLを悪用する
攻撃メールには、WordやExcelなどの添付ファイル、または不正なWebサイトへ誘導するURLが含まれる場合があります。
受信者が添付ファイル内の偽の指示に従って操作したり、URLから不正なファイルをダウンロードして実行したりすることで、端末への感染につながる可能性があります。過去には、Officeファイルのマクロのほか、ショートカットファイルやOneNote形式のファイルなども悪用されました。
窃取したメール情報を次の攻撃に利用する
感染した端末からは、メールアカウント、メール本文、アドレス帳、認証情報などが窃取されるおそれがあります。
窃取された情報は、本人や所属組織になりすました新たな攻撃メールの作成に悪用されます。過去のメール内容を引用することで、受信者に本物のやり取りだと思わせる点が特徴です。
ほかのマルウェアへの感染に悪用される
Emotetは、単独で情報を窃取するだけでなく、別のマルウェアを端末へ侵入させる足掛かりとしても悪用されました。
そのため、Emotetへの感染が確認された場合は、ほかの不正プログラムにも感染していないか、影響範囲を確認する必要があります。
Emotet感染によって企業に生じる影響
メール・認証情報の漏えい
感染した端末に保存されていたメール本文やアドレス帳、アカウント情報、パスワードなどが外部へ流出するおそれがあります。
流出した認証情報が悪用されると、メールや業務システムへの不正アクセスにつながる可能性もあります。
取引先や顧客への二次被害
窃取されたメール情報を使って、自社や従業員を装った不審メールが取引先や顧客へ送信される場合があります。
受信した関係者が添付ファイルやURLを開くことで、被害が自社の外部へ広がるおそれがあります。
組織内の感染拡大
感染した端末を起点として、社内の別端末やサーバーへ攻撃が広がる可能性があります。
被害が複数の端末やアカウントに及ぶと、調査や復旧に必要な時間が長くなり、業務への影響も大きくなるおそれがあります。
調査・復旧による業務への影響
感染が疑われる場合は、端末の隔離やログの確認、パスワード変更、関係者への連絡などが必要になります。
調査や復旧のために対象端末やシステムを一時的に利用できなくなり、業務の停止や遅延が発生する可能性があります。
企業の信用低下
自社を装った不審メールが社外へ送られた場合、取引先や顧客からの信頼を損なうおそれがあります。
情報漏えいへの対応が遅れたり、説明が不十分だったりすると、企業イメージや取引関係に影響が及ぶ可能性もあります。
Emotetへの感染が疑われる場合の対応
Emotetを含むマルウェアへの感染が疑われる場合は、利用者だけで判断して端末を操作し続けないことが重要です。社内の手順に従って担当部署へ速やかに報告し、感染が疑われる端末をネットワークから隔離します。
端末をネットワークから隔離する
感染した可能性のある端末を、社内ネットワークやインターネットから切り離します。
LANケーブルを抜く、Wi-Fiを無効にするなどの方法があります。ただし、証拠保全や調査の都合上、端末の電源をすぐに切るべきかどうかは状況によって異なります。可能であれば、社内の担当部署や専門事業者の指示に従ってください。
警察庁も、感染が疑われる端末をネットワークから隔離するよう案内しています。
社内の担当部署へ報告する
不審なメールを開いた日時、操作内容、添付ファイル名、クリックしたURL、表示された画面などを整理し、情報システム部門やセキュリティ担当者へ報告します。
メールを削除したり、端末を初期化したりすると、調査に必要な情報が失われる場合があります。
セキュリティ製品やログで影響範囲を確認する
ウイルス対策ソフトやEDRなどを使用して端末を調査し、不審なファイルや通信がないかを確認します。
あわせて、メールサーバー、認証、プロキシ、ファイアウォールなどのログを確認し、ほかの端末やアカウントに被害が広がっていないかを調査します。
パスワードなどの認証情報を変更する
感染端末で使用していたメールアカウントや業務システムのパスワードが窃取された可能性がある場合は、感染の影響を受けていないことを確認した別の端末から変更します。
同じパスワードを複数のサービスで使い回している場合は、該当するすべてのサービスで変更が必要です。可能であれば、多要素認証も設定します。
関係先への連絡を検討する
窃取されたメール情報を使って取引先や顧客へ不審メールが送信された可能性がある場合は、関係先への注意喚起を検討します。
専門事業者へ相談する
自社だけで感染範囲や原因を確認することが難しい場合は、セキュリティインシデント対応やデジタル調査を扱う専門事業者へ相談します。
なお、EmoCheckは配布を終了しており、DLL読み込みに関する脆弱性も確認されています。現在利用している場合は、直ちに使用を停止してください。*3
■アイエスエフネットでは、メールアドレスやパスワードなどの情報が、サイバー空間上に漏えいしていないか？を調査するサービスを提供しています。
情報漏えい調査サービス「MIERUPASS（ミエルパス）」の詳細はこちら
類似するメール攻撃を防ぐための対策
Emotetの活動が現在確認されていなくても、同様のメール攻撃への対策は引き続き必要です。
OSやソフトウェアを最新の状態に保つ
OS、Microsoft Office、ブラウザ、メールソフト、セキュリティ製品などを定期的に更新し、既知の脆弱性を放置しないようにします。
IPAも、OSやアプリケーション、セキュリティソフトを最新の状態にすることを推奨しています。
添付ファイルやURLを安易に開かない
知っている相手からのメールであっても、内容に不自然な点がある場合は、添付ファイルやURLを開かないようにします。
特に、次のような場合は注意が必要です。
自分が送信した覚えのないメールへの返信
業務と関係のない添付ファイル
不自然な日本語や急かす表現
表示名と送信元アドレスが一致しない
添付ファイルを開いた後に操作を求められる
パスワードや認証情報の入力を求められる
マクロや不審な操作を有効にしない
添付されたWordやExcelファイルを開いた際に、「マクロを有効にする」「コンテンツの有効化」などの操作を求められても、安易に実行しないようにします。
業務でマクロを使用しない場合は、組織の設定として無効化することも有効です。
メールセキュリティ対策を導入する
添付ファイルやURLを検査するメールセキュリティ製品を導入し、不審なメールを利用者へ届く前に検知・隔離します。
業務上使用しないファイル形式の添付を拒否することや、送信ドメイン認証を活用することも対策として有効です。
権限を必要最小限にする
利用者へ不要な管理者権限を付与しないようにします。
マルウェアが侵入した場合でも、利用できる権限を限定することで、端末や組織内への影響を抑えられる可能性があります。
従業員教育を継続する
メール攻撃は、技術的な対策だけで完全に防ぐことは困難です。
実際の業務で届きそうなメールを例にして、次の内容を定期的に周知します。
知っている相手からのメールでも確認する
不審な添付ファイルやURLを開かない
警告画面の意味が分からない場合は操作を中断する
誤って開いた場合は、隠さず速やかに報告する
報告窓口と対応手順を整備する
不審なメールを受信した場合や、添付ファイルを開いてしまった場合に、従業員が迷わず報告できる窓口を設置します。
あわせて、端末の隔離、ログの確認、関係部署への連絡、外部専門事業者への相談などの手順を事前に決めておくことが重要です。IPAも、相談・報告窓口を設置し、不測の事態に対応できるよう準備することを推奨しています。
まとめ：企業の情報資産を守るために必要な備え
Emotetは、実在する相手との過去のメールを悪用し、添付ファイルやURLを開かせることで感染を広げたマルウェアです。
感染すると、メール本文やアドレス帳、パスワードなどが窃取され、自社や取引先を装った攻撃メールに悪用されるおそれがあります。また、組織内での感染拡大や、ほかのマルウェアへの二次感染につながる可能性もあります。
JPCERT/CCでは、2023年4月以降Emotetの活動を確認しておらず、専用確認ツールのEmoCheckも配布を終了しています。現在は、Emotetの感染拡大を前提とした対策ではなく、その攻撃手口から得られた教訓を、一般的なメール攻撃やマルウェア対策へ生かすことが重要です。
企業は、ソフトウェアの更新、不審な添付ファイルやURLへの注意、メールセキュリティ対策、マクロの制限、権限管理、従業員教育などを組み合わせて対策する必要があります。
また、不審なメールを開いてしまった場合に備え、社内の報告窓口や初動対応の手順を整備しておくことも大切です。
社内のセキュリティ対策やインシデント対応体制に不安がある場合は、セキュリティに関する知見を持つITベンダーや専門事業者への相談を検討しましょう。
アイエスエフネットでは、企業のセキュリティ対策やIT環境に関するご相談を受け付けています。まずは、お気軽にご相談ください。
※この記事は、公開時点の情報に基づいて作成しています。
アイエスエフネットでは、メールアドレスやパスワードなどの情報が、サイバー空間上に漏えいしていないか？を調査するサービスを提供しています。
情報漏えい調査サービス「MIERUPASS（ミエルパス）」の資料ダウンロードはこちら
＼アイエスエフネットのセキュリティソリューション「MIERUシリーズ」／
