マルウェアとは？種類の暗記より会社のパソコンへの入口で理解する方法

マルウェアとは、悪意のあるソフトウェアの総称です。総務省は、ウイルスに加え、ボット、ランサムウェア、キーロガーなど、利用者が気づかないうちに活動するプログラムを含むものとして説明しています⁠。

今日やることは、会社のパソコンへの入口を4つ⁠に分けて書き出すことです。メール、Web、USBメモリ、VPN。それぞれ誰が管理しているかが埋まれば、足りない対策が見えてきます。

なぜ種類を覚えなくてよいのか？

ウイルス、ワーム、スパイウェア、トロイの木馬。呼び名は多くありますが、社長や総務の方が見分ける必要は少ないと私たちは考えています。呼び名が分かっても、明日の設定は変わらないからです。

変わるのは入口です。添付ファイルが問題なのか、外に開いた機器が問題なのかで、頼む相手も費用も変わります。

総務省は、マルウェアはUSBメモリなどの記憶媒体、電子メール、ホームページの閲覧など、さまざまな方法で侵入すると説明しています。侵入後は、システムの破壊、他のコンピュータへの感染、不正な侵入口の設置などを行うとしています。

ここにVPNを足すと、中小企業の社内への入口を4つ⁠で見渡せます。

メールの入口はどこを見る？

取引先のふりをしたメールが、代表的な形です。IPAの中小企業向けガイドライン第4.0⁠版も、取引先や関係者を装ってウイルス付きのメールを送る手口に触れています。

少し前の例ですが、JPCERT/CCが2019年⁠に公開したEmotetの解説には、実際にやりとりしたメールを引用したなりすましメールが出てきます。文面が自然でも、本物とは限らないということです。

社内で決めておくのは、次の点です。

• 請求書や振込先の変更は、メールに書かれていない連絡先で確かめる
• 開いてしまったら、消さずにすぐ報告する。報告を責めない
• 取引先からなりすましの連絡を受けたときの窓口を決める

機械側の守りを検討するなら、メールセキュリティの製品比較で、受信時の検査と導入のしかたを比べられます。

WebとUSBメモリの入口はどこを見る？

Webでは、偽サイトでIDとパスワードを入力してしまう被害と、ソフトの古さが問題になります。IPAのガイドラインも、正規のサイトに似せた偽サイトでIDやパスワードを盗む手口に触れています。

総務省によれば、現在のほとんどのコンピュータにはセキュリティ対策ソフトが標準装備されています。主な機能は、メールやUSBメモリから受け取るデータの検査、攻撃サイトと報告されている先のブロック、ファイアウォールです。有効になっているか確かめるのが先です。

市販品を入れた場合は期限切れに注意します。総務省は、OSによっては市販品を入れると標準の機能が止まるものがあり、期限切れのまま使い続けるとかえって危険になると説明しています。

USBメモリは、工場のある会社で特に確認したい入口です。

たとえば、事務所のCAMで作ったNCデータをUSBメモリで工作機械へ運ぶ工場の場合を考えます。このUSBメモリが、インターネットにつながるパソコンと、ネットワークから切り離した設備の両方に触れることになります。「設備はネットにつながっていないから安全」⁠と⁠は言い切れません。

この場合に決めるのは、次の3つです。

• データ運搬用のUSBメモリを決めて番号で管理する
• 私物や持ち主の分からないものは差さない
• 事務所側で検査してから設備へ持っていく

VPNの入口はどこを見る？

ランサムウェアの被害に限れば、最近はここが中心です。警察庁の2026年上半期の資料は、インターネットに露出した箇所から遠隔操作で侵入する手口が多くを占め、標的型メールの添付ファイルによる感染は少なくなっていると説明しています。被害組織へのアンケートでは、侵入経路はVPN機器が約5割でした。

つまり、社員がメールに気をつけているだけでは、この入口は閉じません。

確認するのは、機種、ファームウェアの更新日、メーカーの保守の期限、多要素認証の有無です。保守会社に任せている場合は、更新の責任がどちらにあるかを契約で確かめます。

同じ資料は、未修正の弱点や漏れたID・パスワードが悪用されると説明しています。更新と認証は、どちらかだけでは足りません。

取引先を名乗るメールが届いたら何を確かめる？

なりすましの連絡を受ける側になることもあります。JPCERT/CCの解説は、「自社名でメールが届いた」⁠と連絡を受けたときに考えられる場合を2つ⁠に分けています。

1つは、自社の端末が感染してメールやアドレス帳の情報を盗まれている場合です。もう1つは、メールをやりとりしたことのある取引先の端末が感染し、そこから情報が盗まれた場合です。後者なら、自社は感染していないのに自社の名前が使われます。

実際にやりとりしたメールが引用されているときは、前者の可能性を疑うと、この解説は説明しています。社内で感染の確認を進めるのか、取引先へ注意を呼びかけるのかが変わるため、届いたメールを消さずに残してもらうよう頼みます。

入られた場合はどう備える？

入口をすべて完全に閉じることはできません。総務省も、対策ソフトの更新が間に合わず、マルウェアがすり抜けることも少なくないと説明しています。

そこで考えたいのが、端末の中の不審な動きを見る仕組みです。IPAのサイバーセキュリティお助け隊サービスの案内では、端末に監視ソフトウェア（EDR等）⁠を入れて不審な挙動を検知する方式と、社内ネットワークの出入口に監視装置（UTM等）⁠を置く方式が説明されています。

EDRは入れれば終わりではありません。警告が出たときに誰が見て、誰が止めるのかまで決めておきます。社内に担当者がいなければ、監視を外に任せられるかを確かめます。

感染した端末への対応も、事前に決めておきたい項目です。JPCERT/CCの解説は、Emotetの感染を確認した場合の対応として、端末の隔離、証拠保全、被害範囲の調査を挙げています。その端末で使っていたメールアカウントなどのパスワード変更や、同じネットワークにある他の端末の調査も含まれます。1台⁠の問題として片づけず、社内全体を見る前提で段取りを組みます。社員が判断に迷わないよう、「誰に連絡し、端末をどう扱うか」⁠を保守会社と決めて1枚⁠に書いておきます。

EDRの製品比較やエンドポイントセキュリティの製品比較で、監視の範囲と運用の担当を比べると、自社に必要な形が見えてきます。

バックアップも同じ備えの一つです。常につないだままの保存先は、感染の影響を受けるおそれがあります。入口の確認が済んだら、サイバー攻撃で最初に見直す5つの点⁠で全体を確かめ、予算別の最初の一手⁠で費用を決めてください。用語や関連の話はセキュリティの基本⁠にまとめています。