お問い合わせ
Emotetは感染力が非常に高く、最も恐ろしいトロイの木馬の一つとして知られています。
このマルウェアは様々な手法を駆使して、システムに侵入し、ランサムウェアをはじめ、悪意のあるプログラムを実行します。こうした攻撃を防ぐためにも、それぞれが果たす役割は詳しく知っておく必要があります。
この記事では、Emotetの特徴やリスクをはじめ、Emotetが引き起こすランサムウェアの脅威について解説します。感染した場合でも、落ち着いて適切な対応をとりましょう。
目次
Emotet（エモテット）とは：深刻化した理由
Emotet（エモテット）は、2014年に最初に発見されて以来、継続的に進化し続けてきたトロイの木馬（マルウェア）です。
Emotetは、特にビジネス環境を標的にしており、これまで金融機関や企業のネットワークに重大な被害をもたらしてきました。
Emotetが深刻化した理由としては、以下2つの要因を挙げることができます。
- スパムメール攻撃とワーム感染を通じて感染を広げる
- さまざまな目的に使用されるマルウェアのプラットフォーム
スパムメール攻撃とワーム感染を通じて感染を広げる
Emotetは、受信者が関心を持つであろうトピックや業務に関連した情報を装ったメールを送信するため、一見して悪意のあるメールであることがわかりにくい傾向があります。
こうしたEmotetのスパムメールには、Microsoft Office文書やPDFファイルなどのように一見正当なものに見える添付ファイルが含まれています。しかし、この添付ファイルにはEmotetが組み込まれており、展開した瞬間、マクロ機能が悪用され感染してしまいます。
Emotetは「ワーム」と呼ばれる自己増殖機能を持つ
またEmotetは感染したシステム内で自己増殖する能力を持っており、感染したユーザーのアドレス帳や連絡先リストを収集してさらにスパムメールを送信します。これにより、Emotetは急速に感染を広げることができ、個人や組織全体に深刻な被害をもたらします。
特にEmotetのワーム感染や、スパムメール攻撃が企業に対して行われた場合、組織のネットワーク全体に感染が広がる恐れがあります。
これにより機密情報の漏えい、サーバーダウン、事業活動の中断などが生じ、多大な経済的損失を被るリスクがあります。
組織としても一刻もはやく「脆弱性」や「被害範囲の特定」などインシデントレスポンスを行う必要があります。
＼法人様は現地駆けつけ対応も可能／
Emotetが送信するメールの例
Emotetは、巧妙に作成された偽のメールを大量に送信し、受信者に対して信頼性のある情報や重要なアカウントの更新を促す内容を装います。例えば、銀行やクレジットカード会社からの通知や請求のように見せかけ、不審な添付ファイルを開かせることを試みます。
Emotetが使用するスパムメールの件名は多岐に渡りますが、以下に一部の例を挙げます。
請求書の件名
- “請求書 #XXXX”
- “ご請求書のお知らせ”
- “請求書のご確認をお願いします”
配送関連の件名
- “荷物のお届けについて”
- “ご注文の商品について”
- “配送ステータスのご確認”
金融関連の件名
- “不正アクティビティの検出について”
- “アカウントのセキュリティに関するお知らせ”
- “重要な口座情報の更新”
社内文書や連絡に関する件名
- “経費精算報告書の提出期限”
- “社内システムアップデートのお知らせ”
- “重要なプロジェクトについての連絡”
なお、これらはEmotetの攻撃パターンの一部であり、実際の件名は攻撃者によって変化する場合があります。最も重要なのは、添付ファイルを開かないよう注意することです。
さまざまな目的に使用されるマルウェアのプラットフォーム
Emotetに感染すると、攻撃者は被害者のネットワーク内で次のような工作を働き、さらなる悪意のある活動を展開します。
- 被害者のシステムにバックドア（出入り自由なネットワーク上の勝手口）を設置
- コマンド＆コントロール（C&C）サーバーとの通信を確立
なお、C&Cサーバーとは「マルウェアに感染したコンピューターやデバイスのネットワークを制御するために使用される悪意あるサーバー」を指します。この際、Emotetは「マルウェアのプラットフォーム」として機能し、様々な追加のマルウェアをC&Cサーバーを経由して引き寄せます。
たとえば感染したシステムに「トロイの木馬」などを送り込み、金融情報や認証情報の詐取をおこなうほか、場合によってはランサムウェアの展開も行います。
以下にEmotetが引き寄せる可能性のあるいくつかのマルウェアの例を挙げます。
Trickbot（トリックボット）
Emotetは他のマルウェアを引き寄せ、情報の盗難、ランサムウェアの拡散、ボットネットの作成など、さまざまな目的に使用されます。中でもランサムウェアの展開において、主要な役割を果たすのが、トロイの木馬「Trickbot」です。EmotetはしばしばTrickbotと連携し、共同で攻撃を行います。
もともとTrickbotは、バンキング認証情報の窃取に重点を置いたトロイの木馬でがした、ランサムウェアの展開をおこなう機能もあわせ持っています。
たとえばTrickbotは、いくつかの追加ファイルをダウンロードすることがあります。この過程で、重要なデータやファイルが暗号化され、身代金を要求される可能性があります。
それ以外にも、Trickbotは感染したシステムを「ボットネット」の一部として活用することもあります。これにより、感染したマシンはC&Cサーバーとの通信を確立し、攻撃者の指示に従って「スパムメールの送信」「DDoS攻撃の実行」「他のシステムへの侵入」など、悪意ある活動を実行します。
この際、コンピューターから証拠を収集・分析し、感染経路や脆弱性の特定、および被害範囲の把握などが必要になります。
私たちデジタルデータフォレンジックは、官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があり、攻撃に使用された侵入経路や漏えいデータを迅速に特定します。ご相談や詳細な情報については、いつでもお気軽にお問い合わせください。
＼サイバーセキュリティの専門家へ24時間365日で無料相談／
Ryuk（リューク）
Ryukは、2018年に最初に確認されたランサムウェアで、大企業や組織を標的とするように設計されており、世界中の組織に損害を与えました。
このランサムウェアは、別のマルウェアである、EmotetやTrickbotとの関連性が指摘されています。流れとしては、EmotetやTrickbotがネットワークに侵入してシステムを感染させ、権限を乗っ取った上で、Ryukランサムウェアが展開される仕組みとなっています。
各マルウェアは成立時期が異なるものの、相互に連携しあっており、これは背後にいる組織が、複数のマルウェアを併用することで、より攻撃性を高めていることを示唆しています。
なお、Ryukが暗号化するファイルの種類はさまざまですが、通常、ドキュメント、スプレッドシート、プレゼン資料などビジネスでも重要なファイルを暗号化する傾向があります。
Qakbot（キュークボット）
Emotet感染後、Qakbot（通称：Qbot）というトロイの木馬が追加でダウンロードされることがあります。Qakbotはバンキングトロイの木馬であり、オンラインバンキング情報の窃取や、機密情報の盗難などを目的としています。
Qakbotについては下記の記事でも詳しく解説しています。
Ursnif（アーシニフ）
Emotetが感染したシステムにUrsnifというマルウェアを導入することもあります。Ursnifは銀行口座情報やクレジットカード情報を盗むために設計されたトロイの木馬です。
これらはEmotetが引き寄せる可能性のあるマルウェアの一部ですが、Emotet自体は他のマルウェアとの組み合わせや攻撃パターンが多様で、感染時は迅速な調査が求められます。
Emotet（エモテット）がランサムウェア攻撃に使われる仕組み
Emotet（エモテット）がランサムウェア攻撃に使われる仕組みは次のとおりとなっています。
- スパムメール攻撃：悪意ある添付ファイル
- バックドア（ネットワークの勝手口）を設定
- コマンド＆コントロール（C&C）通信を開始／追加のマルウェアをダウンロード
- ランサムウェアの展開：社内外のネットワークに感染拡大
なお、こうした攻撃を防ぐためにも、ネットワークの入口・内部・出口で、多層防御を行う必要があります。不正アクセスによる被害を未然に防ぐ方法は下記の記事でも詳しく解説しています。
スパムメール攻撃：悪意ある添付ファイル
Emotetは、悪意のある添付ファイルを開かせることで、受信者に感染を広げるために巧妙に作成された偽のメールを大量に送信します。この脅威は、一見すると信頼性のあるメールに見える場合があるため、受信者は慎重に判断しなければなりません。
バックドア（ネットワークの勝手口）を設定
バックドアは、攻撃者がシステムに不正にアクセスするための秘密の経路です。攻撃者はバックドアを通じてシステムに侵入し、その後、マルウェアを持ち込んだり、追加の攻撃を行ったりすることができます。
コマンド＆コントロール（C&C）通信を開始／追加のマルウェアをダウンロード
Emotetは、感染したシステムから外部のコマンド＆コントロールサーバー（C&Cサーバー）と通信を行います。C&Cサーバーは攻撃者がマルウェアを制御し、指示や追加のコードを送信するための基盤となります。これによって、たとえばマルウェアをダウンロードしたり、機密情報を窃取したり、他の攻撃手法を展開したりすることが可能になります。
ランサムウェアの展開：社内外のネットワークに感染拡大
Emotetや一部のランサムウェアは、自動的に感染を広げる能力によって、感染が指数関数的に拡大する可能性があります。また脆弱なシステムだと、社内外のネットワークに感染を広げ、顧客や取引先までも巻き添えになるリスクが極めて高いです。
なお、サプライチェーン（供給関係）をターゲットとするサイバー攻撃を「サプライチェーン攻撃」と言い、この場合、関係する組織網全体に感染が拡大するリスクがあります。
二重脅迫型のランサムウェアに感染した場合
ランサムウェアは金銭を奪うために「二重恐喝」手法を使います。この攻撃は、感染したコンピュータ内のデータを暗号化して身代金を要求するだけでなく、窃取した情報を暴露して脅迫します。最近のランサムウェアは、二重恐喝型が主流となり、被害者の65%が二重恐喝に直面しています。
出典：spiceworks
社内の情報が公開されると、取引先や顧客からの信頼を失うことがあります。また機密情報が流出すると、競合他社に情報を利用されて、企業に深刻な損害をもたらしたり、法的問題に発展したりすることもあります。
ただし、身代金を支払わないでください。身代金を支払うと、その事実を暴露される「三重恐喝」に遭う可能性があるほか、そもそも身代金を支払ったとしても、データが詐取されたことには変わりなく、支払いの有無に関係なくデータを売買されてしまう恐れがあります。
まずはサイバーセキュリティ専門家の協力を得て、感染の原因や経路などを把握し、被害の詳細な分析・調査を行うなど、将来の攻撃を予防するための対策を講じることが重要です。
私たちデジタルデータフォレンジックは、官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があり、攻撃に使用された侵入経路や漏えいデータを迅速に特定します。ご相談や詳細な情報については、いつでもお気軽にお問い合わせください。
＼サイバー攻撃被害 24時間365日受付／
Emotet（エモテット）から身を守るためにできること
Emotet（エモテット）から身を守るためにできることは次のとおりです。
- スパムメールを開かない
- 受信したメール内のリンクをクリックしない
- ウイルス対策ソフトウェアを最新の状態に保つ
- バックアップを作成
スパムメールを開かない
Emotetは主にスパムメールを通じて感染を広げる傾向があります。不審なメールや差出人が不明なメールには注意し、開封や添付ファイルの実行を避けましょう。
受信したメール内のリンクをクリックしない
Emotetはフィッシングメールや悪意のあるリンクを使用して感染を広げることがあります。受信したメール内に含まれるリンクを直接クリックせず、信頼できるソースからの情報を確認してからアクセスするようにしましょう。
ウイルス対策ソフトウェアを最新の状態に保つ
定期的にウイルス対策ソフトウェアやセキュリティソフトウェアをアップデートし、最新の脅威に対応できるようにしましょう。これにより、Emotetなどのマルウェアの検出と阻止が強化されます。
バックアップを作成
バックアップはランサムウェアによるデータの暗号化や消失時に被害を最小限に抑える重要な手段です。定期的かつ頻繁に重要なデータやシステムのバックアップを作成し、仮に感染した時に「汚染」されないように別のオフラインストレージやクラウドに保存しましょう。
マルウェア感染時の対応フロー
Emotetやランサムウェアなどマルウェアに感染時、誤った対応を取ると、再感染やデータ漏えいなどのインシデントに遭遇する恐れがあります。
よって過不足のないフローで適切な対応を取りましょう。 Emotetやランサムウェアに感染した場合の対処法は次のとおりです。
- 端末をオフラインにする
- バックアップから感染前のデータを復旧する
- ランサムウェア感染調査に対応した専門業者を利用する
①端末をオフラインにする
まずは、ネットワークから感染した端末を切り離す必要があります。これにより感染が広がることを防ぐことができます。
②バックアップから感染前のデータを復旧する
感染したサーバーのバックアップを確認し、最新のバックアップからデータを復元することで少なくとも被害を修復することが出来ます。
ただ、ランサムウェア感染時は、復旧だけではなく、攻撃経路の特定や、再発防止策の検討が必要となります。攻撃に遭った場合は「フォレンジック調査」を検討しておきましょう。
③マルウェア感染調査に対応した専門業者を利用する
Emotetやランサムウェア感染時は、感染経路を特定し、再発防止策を講じる必要があります。
特に「脆弱性」を悪用した攻撃を受けた場合、再度、攻撃を受けないよう、適切な対応を行うとともに、どの端末のどのデータが詐取されたのかを確認する必要があります。
法人の場合、個人情報の漏えいが疑われる際は、関係各所に向けた「被害報告」が必要ですが、自社調査だけでは客観性や正確性が担保できないことがあります。
たとえば、セキュリティツールはマルウェアを検知・駆除できますが、感染経路や情報漏えいの有無を適切に調査することはできません。したがって、 Emotetやランサムウェアに感染時は、感染経路の調査に対応した「フォレンジック調査」を利用することが有効です。
◎フォレンジック調査を考えている方へ (お見積りまで完全無料)
フォレンジック調査は、DDF（デジタルデータフォレンジック）までご相談ください。
累計32,377件のご相談実績(※1)があり、他社にはないデータ復旧業者14年連続国内売上No.1のデータ復旧技術(※２)とフォレンジック技術を駆使してお客様の問題解決をサポートします。
✔不正アクセスの形跡があると報告された
✔ランサムウェアやマルウェア感染の原因がわからない
✔データが漏えいしているかもしれない
上記のようなご相談から調査項目/作業内容のご提案、お見積りまでは完全無料。安心してご相談ください。
＼24時間365日 相談受付／
※1 データ復旧専門業者とは、自社及び関連会社の製品以外の製品のみを対象に保守及び修理等サービスのうちデータ復旧サービスを専門としてサービス提供している企業のこと
第三者機関による、データ復旧サービスでの売上の調査結果に基づく。（集計期間：2007年～2020年）
※2 累計ご相談件数32,377件を突破（期間：2016年9月1日～）
マルウェア感染時、感染経路調査を行うメリット
マルウェアに感染した場合、感染経路を調査することで、攻撃者の侵入方法を特定し、将来の攻撃から身を守るために対策を講じることができます。
マルウェア感染の調査を行う方法として「フォレンジック調査」を挙げることができます。フォレンジック調査とは、電子機器から証拠を収集・分析して、インシデントの詳細を解明する手法で、たとえば攻撃者がどのようにランサムウェアを侵入させたか、どのような手法や脆弱性が悪用されたかなど、感染経路や情報漏えいの特定に役立ちます。
マルウェア感染時の対処におけるフォレンジック調査のメリットは次のとおりです。
- 被害範囲を特定できる
- 感染経路や攻撃手法の解析・証拠の確保できる
- 専門エンジニアの詳細な調査結果が得られる
- セキュリティの脆弱性を発見し、再発を防止できる
①被害範囲を特定できる
フォレンジック調査は、感染したシステムやネットワーク内での攻撃の拡散範囲を特定するのに役立ちます。これにより、被害を受けたシステムやデータ、ネットワークの一部を迅速に特定し、対処を開始することができます。
②感染経路や攻撃手法の解析・証拠の確保できる
フォレンジック調査では、マルウェアの攻撃手法や感染経路を解析し、証拠を確保できます。また、証拠の確保は、法的な措置や法執行機関との連携に役立つだけでなく、被害の評価や保険請求のためにも重要な要素となります。
③専門エンジニアの詳細な調査結果が得られる
フォレンジック調査の専門会社には、正確にハッキング被害の実態を確認するために必要な高度な技術を持つ専門エンジニアがいます。
自社調査だけでは不適切な場合がありますが、フォレンジックの専門業者と提携することで、調査結果をまとめた報告書が作成でき、公的機関や法廷に提出することができます。
④セキュリティの脆弱性を発見し、再発を防止できる
フォレンジック調査では、マルウェアによる被害の程度や感染経路を特定することで、今後のリスクマネジメントに貢献することが出来ます。弊社では、解析調査と報告書作成の他に、お客様のセキュリティを強化するためのサポートも提供しています。
私たちデジタルデータフォレンジックは官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応経験があります。お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたしますので、まずはお気軽にご相談ください。
＼フォレンジック調査の専門家へ24時間365日無料相談／
マルウェア感染による企業の情報漏えいインシデント対応が義務化されています
2022年4月から改正個人情報保護法が施行されました
2022年4月に施行された「改正個人情報保護法」では、個人データの漏えい、あるいは漏えいが発生する可能性がある場合、報告と通知が法人に義務付けられました。違反した企業には最大1億円以下の罰金が科せられる可能性もあります。
もしEmotetやランサムウェアなどマルウェアに感染した場合、まず感染経路や漏えいしたデータを確認することが重要です。
しかし、調査を行う場合、法知識や専門技術が必要です。これは自社のみで対応するのが困難なため、フォレンジック専門家と提携して調査を実施することをおすすめします。
＼相談から最短30分でWeb打ち合わせを開催／
マルウェア被害調査を行う場合、専門業者に相談する
マルウェア・ランサムウェア感染、不正アクセスのような問題が発生した場合、どのような経路で、どのような情報が漏えいしたのか、被害の全容を正確に把握する必要があります。しかし、自力で調査を行うと、調査対象範囲が適切でなかったり、意図しない証拠データの消失が発生しやすく、不完全な結果になる恐れがあります。
このような事態を防ぎ、適切な調査によって原因究明を行うためにも、フォレンジック調査の専門家に相談することが重要です。フォレンジック調査では、インシデント対応のプロが初動対応から、専門設備でのネットワークや端末の調査・解析、調査報告書の提出、ならびに報告会によって問題の解決を徹底サポートします。
デジタルデータフォレンジックでは、お電話またはメールでお問合せいただくと、状況のヒアリングと対応方法、お見積りを無料でご案内いたします。法人様の場合、ご相談から最短30分で初動対応のWeb打合せも開催しておりますので、お気軽にご相談ください。
官公庁・上場企業・捜査機関等まで幅広い調査対応経験を持つ専門の担当とエンジニアが対応させていただきます。
＼法人様は現地駆けつけ対応も可能／
フォレンジックサービスの流れや料金については下記からご確認ください。
【初めての方へ】フォレンジックサービスについて詳しくご紹介
【サービスの流れ】どこまで無料？ 調査にかかる期間は？ サービスの流れをご紹介
【料金について】調査にかかる費用やお支払方法について
【会社概要】当社へのアクセス情報や機器のお預かりについて
多くのお客様にご利用いただいております
マルウェア調査会社への相談方法
インシデントが発生した際、フォレンジック調査を行うか決定していない段階でも、今後のプロセス整理のために、まずは実績のある専門会社へ相談することを推奨しています。
取引先や行政に報告する際、自社での調査だけでは、正確な情報は得られません。むしろ意図的にデータ改ざん・削除されている場合は、情報の信頼性が問われることもあります。
インシデント時は、第三者機関に調査を依頼し、情報収集を行うことを検討しましょう。
DDF（デジタルデータフォレンジック）では、フォレンジックの技術を駆使して、法人/個人を問わず、お客様の問題解決をいたします。
当社では作業内容のご提案とお見積りのご提示まで無料でご案内しております。
解析した結果は、調査報告書としてレポートを作成しています。作成した報告書には、調査で行った手順やインシデントの全容などが詳細に記載され、法執行機関にも提出可能です。
＼法人様 最短30分でお打合せ可能です／
調査の料金・目安について
調査の料金・目安について
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
機器を来社お持込み、またはご発送頂ければ、無料で正確な見積りのご提出が可能です。
まずはお気軽にお電話下さい。
【法人様限定】初動対応無料（Web打ち合わせ・電話ヒアリング・現地保全）
❶無料で迅速初動対応
お電話でのご相談、Web打ち合わせ、現地への駆け付け対応を無料で行います（保全は最短2時間で対応可能です。）。
❷いつでも相談できる
365日相談・調査対応しており、危機対応の経験豊富なコンサルタントが常駐しています。
❸お電話一本で駆け付け可能
緊急の現地調査が必要な場合も、調査専門の技術員が迅速に駆け付けます。（駆け付け場所によっては出張費をいただく場合があります）
よくある質問
対応内容・期間などにより変動いたします。
詳細なお見積もりについてはお気軽にお問い合わせください。
専門のアドバイザーがお客様の状況を伺い、概算の見積りと納期をお伝えいたします。
可能です。当社は特定の休業日はございません。緊急度の高い場合も迅速に対応できるように、365日年中無休で対応いたしますので、土日祝日でもご相談下さい。
もちろん可能です。お客様の重要なデータをお取り扱いするにあたり、当社では機密保持誓約書ををお渡しし、機器やデータの取り扱いについても徹底管理を行っております。また当社では、プライバシーの保護を最優先に考えており、情報セキュリティの国際規格（ISO24001）およびPマークも取得しています。法人様、個人様に関わらず、匿名での相談も受け付けておりますので、安心してご相談ください。
この記事を書いた人
デジタルデータフォレンジック
エンジニア
