巧妙化する怪しいメール
新型コロナウイルスへの注意喚起や賞与通知をかたる「Emotet」の進化する手口
2019年にさまざまな日本企業を襲ったマルウェア「Emotet」とは何か。専門家の話を基に、動向と対策を紹介する。
2019年後半から国内で感染が広がっているマルウェア「Emotet」。どのような攻撃手段を用い、どのような危害を及ぼす恐れがあるのか。NRIセキュアテクノロジーズが観測した最新の脅威情報を基に解説する。
Emotetとは
Emotetは2014年ごろに初めて観測されたマルウェアで、メールが主な拡散経路だ。攻撃者はメールに「Microsoft Word」形式のファイルを添付したり、メールの本文中に悪質サイトのURLを挿入したりして、標的にそれらのファイルやリンクを開かせることでデバイスの侵害を試みる。
感染の流れはこうだ。標的がWord形式のファイルを開くとマクロが起動し、コマンド実行ツール「PowerShell」を起動させてEmotet本体である実行可能ファイルをダウンロードする。メール本文中にURLが挿入された場合も同様に、標的がリンクをクリックして悪質サイトにアクセスすると、勝手に実行可能ファイルのダウンロードが始まる。その後実行可能ファイルが自動で起動し、デバイス内の機密データを盗み取ったり、別のマルウェアをダウンロードしたりといった攻撃につなげる。
NRIセキュアテクノロジーのセキュリティオペレーションセンター（SOC）が観測したデータによれば、Emotetは2019年9月から10月にかけて活動が活発化した。その後同年12月に一旦活動を休止する動きを見せたものの、2020年1月に入って活動を再開した。この期間に国内企業のEmotetに対する警戒度は急速に高まった。これはセキュリティインシデント対策を推進する一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が2019年11月にEmotetに関する注意喚起を公開したことにも表れている。JPCERT/CCはこの注意喚起の中で「2019年10月後半からEmotetの感染に関する相談を多数受けている」旨に言及し、対策を呼び掛けている。
巧みな日本語を操る攻撃者
NRIセキュアテクノロジーズの天野一輝氏
国内でEmotetが大規模に拡散した原因として、NRIセキュアテクノロジーズでセキュリティアナリストを務める天野一輝氏は「日本企業を狙った攻撃活動の増加」を挙げる。
Emotetは標的が過去にやりとりした取引先のメールアドレスを装うだけでなく、メールの文面を引用するといった手法を用いる。こうした手口に加えて、2019年11月から年末にかけて「賞与通知」、2020年1月に入ってからは「新型コロナウイルス」などを件名に含むメールが見つかるなど、標的が関心を持ちそうな要素を巧みに利用する。
天野氏によると、メールを用いたサイバー攻撃を観測する時間帯は夕方が多い一方で、Emotetを観測する時間帯は午前中に集中する傾向がある。「国内企業では『出勤後すぐメールを確認する人が多い』という事情をEmotetの攻撃者が理解しており、午前中にメールが開かれることを狙っているのではないか」と同氏は分析する。
2020年1月以降に観測したメールでは「攻撃者が学習したと思われるほどメールに使用される日本語が上達している」と天野氏は言う。「齟齬」（そご）などの難しい単語の使用、本文の内容と一致した名前のファイルの添付といった事例があり、今後も警戒が必要だ。
対策はメールセキュリティの強化
Emotet対策に役立つセキュリティ製品としては以下が挙げられる。
- メールセキュリティ製品
- 「フィルタリング」機能や「メール無害化」機能によってメールによるEmotetの侵入を防ぐ。フィルタリング機能は、エンドユーザーに届く前に悪質メールを除外する機能を指す。メール無害化機能は、有害な添付ファイルを画像化したり、メール本文に含まれる悪質なリンクを無効化したりと、攻撃につながる要素を取り除く
- セキュリティ教育サービス
- 「標的型攻撃メール訓練」サービスのような従業員に対するセキュリティ教育サービスを利用して、エンドユーザーが悪質なメールを受信した際の適切な対処を支援する
- エンドポイントセキュリティ製品
- プログラムの不審な振る舞いを検出する機能で、PowerShellの起動プロセスを監視する
こうしたセキュリティ製品の利用だけでなく、JPCERT/CCが配布している感染確認ツール「EmoCheck」の利用、「Microsoft Office」形式ファイルのマクロの無効化なども有効だ。
国内企業の事情に合わせた巧みな攻撃を仕掛けるEmotetは、今後も進化を続けると考えられる。「国内外の配布元Webサイトを使い分けている形跡があるが真意は不明」（天野氏）であるなど、引き続き警戒が必要だ。メールという日常的に触れるコミュニケーションツールに潜む脅威だからこそ、日頃からの対策に努めたい。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
2
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
5
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
6
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
7
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
-
10
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー