2021年末に活動を再開してから、かなりの猛威を奮っているマルウェア「Emotet」。
今年に入ってからは、日本語で書かれた攻撃メールが出現し、日本国内組織でのEmotetへの感染被害が大幅に拡大している。その脅威的な感染力と感染スピードを危険視していながらも、従業員の危機管理が間に合わず、新たな進化を遂げてより巧妙になるEmotet攻撃に翻弄される情シスがここにも1人ーーー

Emotet（エモテット）とは、2019年から2020年に猛威を振るった、なりすましメールに添付される等して感染被害が拡大したマルウェア（悪意をもったコンピュータウイルス）だ。
2021年1月に、EUROPOL（欧州刑事警察機構）が主軸となってEmotetの攻撃基盤（ウイルスメールをばらまいたり、感染したマシンを操作するための機器等）を停止したと発表し、その後は日本国内でもEmotetに関する情報の提供や観測が徐々に少なくなり、Emotetによる攻撃や被害が停止あるいは大幅に減少したと判断されていた。しかし、2021年11月頃にEmotetの攻撃活動再開が確認され、2022年現在も被害は収束するどころか被害件数は増加している。亜種が頻繁に出現していることもあって、Emotet感染の注意喚起がされていても、だまされて感染してしまうメール受信者が後を絶たない。

基本的な攻撃手法は、不正なメールに添付されたファイル（主にMicrosoft WordやMicrosoft Excelファイル、またそれらをパスワード付きzipファイルとしたもの）に仕込まれている。添付ファイルには、マクロの実行を促す文面が記載されており、受信者がEmotetの存在に気づかず「コンテンツの有効化」をクリックすることでマクロが起動しEmotetに感染してしまう仕組みだ。

メールに添付されたWordやExcelファイルを開いた後、上の方にこの警告が表示される。コンテンツの有効化をクリックしないとファイルを編集したりすることはできないので、ファイルを開いたら何も考えずにまずはコンテンツの有効化をクリックしてしまっていたという人もいるかもしれない。

^{※拡張子とは、ファイル名の後に付くピリオド「.」の後に続く英数字のことで、ファイルの種類を識別し、どのプログラムで開いたら良いかを判別するために存在する}

Emotetがここまで猛威を奮っている要因は、その巧妙さにある。これまで私たちが見て来た不正メールは知らないアドレスから送信されたり、明らかにおかしい日本語で書かれているという特徴があったが、Emotetについては、題名に「Re:」が付いていたり、実際に行われた正規のメールのやりとりの内容を転用して生成されるものもある為、受信者がなりすましのメールであると即時判断が出来ないのだ。

またボーナスシーズンに「12月賞与」という題名で、賞与明細を添付して送付されているようなメールが送られたり、コロナ禍に乗じて、公的組織を装い、ワクチンについてや行動制限等の案内文書についてのURLがメール本文に記載されているという事を装ったメールが送られている。人々の心理を利用した巧妙な手口によって、受信者の違和感を掻い潜るのだ。

実際に起きたEmotetの被害事例をいくつか紹介しよう。

NTT西日本の事例で分かる通り、自社内で感染してから関連会社に派生するまでがとても速い。感染を確認された時点ですでに関係各所へもEmotetが侵食していると断定して動くべきだろう。そのくらいEmotetの感染威力は物凄いということだ。

日頃から気を付けていても、万が一のことはある。Emotetに感染してしまった場合の対処法も紹介しよう。

Emotetに限った話ではないが、マルウェアへ感染した場合は他の端末へ被害が拡散されぬよう、ネットワークから隔離することが必要だ。
有線LANに繋いでいる場合はLANケーブルを抜き、無線LANに繋いでいる場合はWi-Fi接続を切断しよう。

誤ってマルウェアに感染してしまったと自覚をした後も、当事者が言いにくいと感じてしまい、社内の専門部署への報告が遅れるケースがある。しかしセキュリティインシデントは一刻も早く然るべき担当者に報告し、対処をしてもらう事が重要ポイントだ。

「もしかしたら感染してないかもしれないし...」などとは思わず、疑わしい状況に至ったら、何故怪しいと思ったかを明確にして、すぐに担当部門へ報告をしよう。

Emotetは主にメール経由で感染を拡大させるマルウェアなので、感染が疑われる端末が使用していたメールアドレスのパスワードを変更しておくといいだろう。ただし、感染が疑われる端末からではなく、ほかの端末からログインしてパスワードを変更しすることをお薦めする。感染疑惑のある端末からパスワード変更の操作を行うと、変更後のパスワードも盗まれてしまうかもしれないからな。

Emotet感染は他のマルウェア感染を誘引する序章となる場合がある。情報システム担当者はEmotet感染有無を確認するだけではなく、他のマルウェア感染を疑って確認をするべきだろう。

Emotetへの対策の基本として、JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）でも以下の対策を推奨している。

事前にセキュリティセンターのマクロの設定で「警告を表示してすべてのマクロを無効にする」を選択しておく。

業務で使っている機器のOSやソフトへの適切なパッチ管理は基本中の基本だ！

Emotetが別のマルウェア感染を誘引する役割を担っていると教えたが、まさにセットになりがちなのがランサムウェアだ。最近は二重脅迫型のランサムウェアも出ていて厄介だが、まずは自力でリストア（復元）が出来るようにバックアップを取っておくといいだろう。

JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）からEmotetに感染しているかどうかをチェックできるツールが公開されている（JPCERT/CC公式サイト）。

EmoCheck(https://github.com/JPCERTCC/EmoCheck/releases)と言って、感染が疑われる端末上でパソコンのビットに合わせたソフトをインストールして実行すると、自動でEmotetに感染してるかどうかチェックしてくれるというものだ。

実際に感染していれば、以下のような画面が表示される。

しかし、いざ感染が疑わしい瞬間になったら、まずは該当の端末をネットワークから隔離することになるので、怪しいなと思った時にインターネットからこれをダウンロードする手順では遅いことになる。JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）から
最新版のEmoCheckがリリースされる度に、従業員の端末にローカルで保存しておくのが理想だろう。

アンチウイルス対策はほぼ全ての企業が実施している事だろうが、そこで侵入を阻止できるのは約99%とされている。残りの1%は未曽有のマルウェア攻撃（ゼロデイ攻撃）であったり、人にマルウェア感染を誘引させる標的型攻撃にあたる。Emotetは後者のタイプであり、攻撃を受けた人がマルウェアだと気が付きにくい事から、感染被害が広まっている。

Emotetの感染をセキュリティツールで完全に回避するのは難しいことから、社内ネットワークに侵入されてしまった後、迅速にそれを検知し、被害を最小に食い止めるという方法でEmotetの攻撃を封じるというアプローチがお薦めだ。

「USEN GATE 02 － セキュアエンドポイントサービス（Va）―」は以下の機能を備えている。