Emotetによるサイバー攻撃が発生した場合、従業員のアカウント情報やメールが流出する恐れがあります。Emotetの感染が疑われる場合、被害実態や感染経路などを調査し、関係各所や個人情報保護委員会に報告する義務が発生しますが、まずは駆除が優先されます。

この記事では、Emotetの手口や構造を説明するとともに、Emotet感染有無の確認方法、および駆除方法を詳細に解説しています。感染時もあわてず適切な対応を心がけましょう。

＼法人様・個人様問わず対応　24時間365日無料相談OK！／

Emotet（エモテット）とは：悪名高いマルウェア

Emotetは、なりすましメールの添付ファイル（office製品、ZIPファイル）を経由して感染するトロイの木馬型のマルウェアです。

Emotetの大きな目的は、パスワードやクレジットカード番号など情報を盗むことです。しかし、被害はそれだけにとどまりません。攻撃者は乗っ取った端末に対して、あらゆる狼藉を働きます。以下で診ていきましょう。

Emotet (エモテット) に感染するとどうなるのか

Emotetに感染すると、次の時系列に沿って潜伏し、拡散します。

1. 感染をわかりにくくし、巧妙に潜伏する
2. 重要な情報を盗み取る
3. 他の端末に感染する
4. 社外へEmotetがばら撒かれる
5. 他のマルウェアを呼び寄せるプラットフォームとなる
6. DDos攻撃などサイバー攻撃の踏み台として悪用される
7. 盗まれた機密情報はダークウェブで取引されることがある

①感染をわかりにくくし、巧妙に潜伏する

Emotetは感染すると、正規のレジストリに潜伏するなどし、セキュリティソフトでは駆除しきれない場合もあります。そもそもEmotetは感染してもアラートなどが出ない限り、感染していることに気づきません。実際、感染しているかを正確に把握し、どのような被害を受けているか調査するには、専門業者に対応を依頼することが重要です。

②重要な情報を盗み取る

Emotetに感染すると、主に以下のような情報が盗み取られる可能性があります。

①ログイン情報

Emotetは、Webブラウザの履歴やクッキー、フォーム入力情報などから、様々なサイトのログイン情報を収集することができます。例えば、銀行のログイン情報やメールアカウントのパスワードが盗まれる可能性があります。

②メールアドレス

感染した端末のメールアドレスをEmotetが取得すると、個人情報が含まれる相手先のアドレスも把握できるため、フィッシング攻撃などに利用される恐れがあります。

③文書ファイル

Emotetは、感染した端末に保存された文書ファイル（WordやExcelなど）を収集します。これらのファイルには、企業の重要な情報や個人情報が含まれることがあります。なお、盗まれたファイルは攻撃に使用する添付ファイルとして悪用される可能性があります。

※情報漏えいを調査する必要性

データが盗まれた場合、以下のような理由から情報漏えいを調査する必要があります。

1. 漏えいした情報の特定
   情報漏えいが発生した場合、具体的にどのような情報が盗まれたかを特定することが必要です。この情報を特定することで、被害の拡大を防ぐことができます。
2. 対策の検討
   情報漏えいが発生した場合、被害を拡大させないためのアクションプランの策定や、今後同様の被害を防ぐためのセキュリティ対策の見直しなどが必要です。
3. 法的な問題
   漏えいした情報が「個人情報保護法」などに該当する場合、法的な問題が発生する可能性があります。このような場合、フォレンジック調査によって、漏えいの原因や影響範囲を明らかにすることが重要となります。

③他の端末に感染する

Emotetによって盗まれた情報は、なりすましメールの作成に使用されることがあります。この際、Emotetは、社内ネットワークを介して他の端末に感染を広げようとします。最悪の場合、社内のすべての端末が感染し、機密情報が漏えいする危険があります。

企業の場合、盗まれたデータに顧客や取引先の情報が含まれている場合、広範囲に被害が及ぶ恐れがあるため、企業は被害範囲や脆弱性を特定し、関係者や行政に周知する必要があります。

この際、サイバーセキュリティの専門業者でデータ漏えいの経路や被害範囲を特定することが重要です。また、不正アクセスのログから攻撃者が行った操作を解析することで、攻撃手法や脆弱性の特定にもつながります。なにより、早期に調査を実施することが重要です。

デジタルデータフォレンジックは、官公庁、上場企業、捜査機関等を含む幅広いインシデント対応経験を持つ専門の担当者とエンジニアが対応しており、安心して調査を任せることができます。まずはお気軽にご相談ください。

＼サイバーセキュリティ専門家へ24時間365日無料相談／

④社外へEmotetがばら撒かれる

Emotetに感染したコンピュータは、攻撃者が用意したC&Cサーバーに接続され、スパムメールや悪意のあるリンクを含む偽メールを自動的に送信するように指示されてしまいます。

この際、盗まれたメールアドレスと関係する相手に無差別に送信されるため、最悪な場合、顧客や取引先なども被害を被る恐れがあり、自社の信用失墜につながります。

⑤他のマルウェアを呼び寄せるプラットフォームとなる

Emotetに、感染するとネットワーク上に設けられたバックドア（勝手口）を経由して大量のマルウェアがダウンロードされる可能性があります。

• TrickBot：銀行口座の情報を盗むために作成されたバンキングトロイのマルウェア
• Ryuk：ランサムウェアで、感染したコンピュータ上のファイルを暗号化し、身代金を要求する
• QakBot：バンキングトロイのマルウェアで、銀行口座の情報を盗むために作成された
• Dridex：バンキングトロイのマルウェアで、銀行口座の情報を盗むために作成された

これらのマルウェアは、コンピュータ上の重要な情報を盗んだり、重要なファイルを暗号化したりする可能性があります。言わずもがな、企業はEmotet感染の早期発見と駆除が重要で、同時にEmotetの感染を予防するセキュリティ対策を実施する必要があります。

⑥DDos攻撃などサイバー攻撃の踏み台として悪用される

Emotetに感染したコンピュータは攻撃者に制御され、悪意あるネットワーク（ボットネット）に組み込まれます。これによりEmotetに感染したコンピュータは、攻撃者によって様々な悪意のある活動に利用されるため、早急に駆除する必要があります。

たとえば大量の通信要求を送信するよう指示する「DDoS攻撃」などに悪用されることも珍しくありません。感染を防止するためには、セキュリティソフトウェアやファイアウォールなどのセキュリティ対策を強化することが必要です。

⑦盗まれた機密情報はダークウェブで取引されることがある

Emotetに盗まれた機密情報はダークウェブで取引されることがあります。

たとえば下記の情報は、ダークウェブ上で取引されることがあります。

• ログイン情報（IDやパスワード）
• 銀行口座情報
• クレジットカード番号やセキュリティコード
• 個人情報（氏名や住所、電話番号など）
• 企業情報（顧客情報や取引先情報など）
• 機密情報（製品設計図や取引条件など）

ダークウェブ上では、匿名性が高く法的措置が難しいため、犯罪者が様々な不正取引を行っています。盗まれた情報は、決済情報を中心に、高値で取引されることがあります。

【結論】Emotetに感染した場合、早急な駆除と感染予防が急務

Emotetに感染した場合、個人情報や機密情報などが漏えいするリスクがあるため、早急に駆除する必要があります。また、感染を予防するためには、セキュリティソフトウェアやファイアウォールなどのセキュリティ対策を強化することが重要です。

具体的には、以下のような対策が有効です。

• セキュリティソフトのインストールと定期的な更新
• パッチの適用
• フィッシングメールの判別
• 定期的なバックアップの実施
• その他のセキュリティポリシーの策定と実施

ただし、これだけでは不十分です。

そもそもEmotetを侵入させない「入口対策」はもちろん、侵入を前提とした「内部対策」「出口対策」など多層防御を十分に実施することで、感染を予防することができます。多層防御については下記の記事でも詳しく解説しております。

【2023最新】効果的な不正アクセス対策とは？専門家が徹底解説この記事では、不正アクセスによる被害を防ぐための対策について、専門家が詳しく解説しています。インターネット上での個人情報や企業情報の漏洩は深刻な問題であり、セキュリティ対策はますます重要性を増しています。記事では、不正アクセスの手口やその被害、セキュリティ対策などについて説明しています。不正アクセスによる被害を未然に防ぐために、ぜひ参考にしてください。デジタルデータフォレンジックは、官公庁、上場企業、捜査機関や法律事務所など、幅広い対応実績があり、サイバー攻撃による情報漏えいから企業の社内不正まで調査を行っています。...

＼サイバーセキュリティ専門家へ24時間365日無料相談／

Emotet（エモテット）感染時、企業のとるべき対応とは？

2022年4月から改正個人情報保護法が施行

2022年4月に施行された「改正個人情報保護法」では、個人データの漏えいや、漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。

違反した企業には最大1億円以下の罰金が科せられる可能性がありますので、Emotetに感染した場合、情報漏えいの有無や規模、サイバー攻撃の感染経路や影響範囲を調査し、関係者に報告する必要があります。しかし、これは自社で対応することが困難であるため、デジタル端末を分析・調査する「フォレンジック」の重要度が、年々増加しています。

フォレンジックでは、脆弱性、攻撃手法、有効な対策など、様々な情報が得られます。これにより、同様の被害を未然に防ぐことができます。また調査結果をもとにセキュリティ対策を適切に見直し、強化することも可能です。

フォレンジック調査の詳細については下記の記事でも詳しく解説しています。

フォレンジック調査とは：必要性・活用事例・業者選定のポイントを解説フォレンジック調査とはデジタル機器を調査・解析し、「法的証拠」に関わる情報を抽出し、インシデントの全容を解明する調査です。フォレンジック調査会社では、警察でも使用される技術を用いて、サイバー攻撃からハッキング、情報持ち出しや横領などの調査を行います。本記事ではフォレンジック調査の必要性・活用事例・業者選定のポイントを解説します。...

＼サイバーセキュリティ専門家へ24時間365日で無料相談／

Emotet（エモテット）の感染有無を確認する方法

Emotet（エモテット）の感染有無を確認する方法は、次の通りです。

• Emotet感染確認ツール「EmoCheck」を使う
• ウイルス対策ソフトでスキャンを掛ける
• Windows Defenderを利用する
• Emotet調査に対応した専門業者を利用する

Emotet感染確認ツール「EmoCheck」を使う

EmoCheckとは、JPCERT/CCがGitHubで公開している感染確認ツールです。操作手順については警視庁がこちらで解説していますので、ぜひ参考にしてください。

ただし、EmoCheckでは検知できないことも存在するため、ほかのウイルス対策ソフトも併用しておきましょう。

ウイルス対策ソフトでスキャンを掛ける

Emotetそのものは、通常のウイルスソフトだと検知しにくいため、ウイルス対策ソフトでスキャンを掛けるだけでは不十分です。しかし、Emotetは他のマルウェアも引き寄せるため、ウイルス対策ソフトを併用することが大切です。

Windows Defenderを利用する

Windows Defenderは、Windowsに標準搭載されているセキュリティソフトです。Emotetは、Windowsを対象としたマルウェアであり、ほかのセキュリティソフトでは検知・ブロックできなくても、Windows Defenderだとブロックすることが可能です。

Windows DefenderでEmotetの感染を確認する手順は以下の通りです。

ただし、Emotetは、ひんぱんに変化するため、Windows updateを行っていないと、Emotetを検知できない場合もあります。古いバージョンを使っている場合は、新しいバージョンに更新するようにしましょう。

Emotet（エモテット）調査に対応した専門業者を利用する

セキュリティツールはマルウェアの存在を検知・駆除こそできますが、Emotetのインシデント調査には専門業者に依頼する必要があります。

特に法人の場合、個人情報漏えいが確認された場合は被害報告が必要ですが、自社調査だけでは客観性や正確性が担保できないことがあります。この点、専門業者ではフォレンジック技術を使用して、感染経路や情報漏えいの有無などを適切に調査することが可能です。

Emotet感染時のフォレンジック調査を行うメリットは、主に次の2つがあります。

①専門エンジニアの詳細な調査結果が得られる

フォレンジック調査の専門会社には、正確にハッキング被害の実態を確認するために必要な高度な技術を持つ専門エンジニアがいます。

自社調査だけでは不適切な場合がありますが、フォレンジックの専門業者と提携することで、調査結果をまとめた報告書が作成でき、公的機関や法廷に提出することができます。

②セキュリティの脆弱性を発見し、再発を防止できる

フォレンジック調査では、Emotetによる被害の程度や感染経路を特定することで、今後のリスクマネジメントに貢献することが出来ます。弊社では、解析調査と報告書作成の他に、お客様のセキュリティを強化するためのサポートも提供しています。

＼フォレンジック調査の専門家へ24時間365日無料相談／

Emotet (エモテット) 感染時の応急処置

Emotet (エモテット) 感染時の応急処置は、次の通りです。

• 感染した端末をインターネット環境から切り離す
• メールアドレスなどの各種パスワードを変更する

感染した端末をインターネット環境から切り離す

感染端末をネットワークから物理的に隔離しましょう。また、感染端末に繋がっていたネットワークも外部から遮断する必要があります。時間経過と共に他の端末へ感染が拡大する可能性があるので、迅速な対応が求められます。

メールアドレスなどの各種パスワードを変更する

マルウェアに感染すると、パスワード類が外部に漏えいする恐れがあります。感染が疑われる場合は、すぐにパスワードを変更してください。

【注意】初期化すると具体的な調査が困難になる

応急処置として、端末の初期化があります。しかし、これを行うと具体的な調査が困難になる恐れがあります。また、初期化に限らず、フォルダの移動などの操作を加えると、感染経路などを記録したログ情報も消失する恐れがあるため、不用意な操作は控えてください。駆除を行う前に、端末をオフラインに保ったまま、調査に依頼することをおすすめします。

Emotet (エモテット) を駆除する方法

Emotet感染確認ツール「Emocheck」でEmotetを検知した場合、以下の方法でその駆除を行ってください。

1. プロセスをタスクマネージャーで停止後、削除する
2. セキュリティソフトで駆除する
3. 感染したパソコンを初期化する
4. Emotet駆除時は感染実態を調査する

①プロセスをタスクマネージャーで停止後、削除する

Emocheckで感染が確認されると、感染元のファイルパスが表示されます。まずはプロセス名に表示されたプロセスをタスクマネージャーで停止しましょう。イメージパスにあるファイルがEmotet本体と考えられるので、該当ファイルを削除してください。

②セキュリティソフトで駆除する

Emotet感染時、他のマルウェアに追加で感染している恐れがあるため、Windows Defenderなどウイルス対策ソフトでフルスキャンをかけましょう。

③感染したパソコンを初期化する

Emotetを駆除する最も確実な方法は、感染した端末を初期化することです。

しかし、端末そのものを初期化してしまうと、感染した端末のログも消えてしまうため、被害の全容を調査することが難しくなります。また、これはデータ復旧の専門業者であってもデータのサルベージは極めて困難です。感染拡大や二次感染を防ぐためには、駆除よりもネットワーク遮断が先決です。

そもそも、「駆除」最後のステップであり、最優先で行うべきステップではありません。駆除を行う前に、感染経路を含め、インシデントの全容を把握することをお勧めします。

④Emotet駆除時は感染実態を調査する

Emotetに感染するとセキュリティホールを開けられたり、バックドアをしかけられたりすることもあります。しかしこれはセキュリティツールのみだと検知困難な場合もあります。

この場合、単に検体を駆除するだけでは不十分です。そのため、感染経路も含めて、感染実態を調査する必要があります。Emotet調査に対応したマルウェア感染調査業者では、Emotetの感染経路や他のマルウェアの感染有無、漏えいしたデータなど、具体的被害を調査することが可能となっています。

お困りの際はデジタルデータフォレンジックまでご相談ください。

Emotet（エモテット）調査・対策を行う場合、専門業者に相談する

＼法人様・個人様問わず対応　24時間365日無料相談OK！／

Emotet（エモテット）調査会社への相談方法

＼法人様・個人様問わず対応　24時間365日無料相談OK！／

Emotet調査の料金・目安について