Emotetとは？取引先を装うメールで広がる手口と感染時の会社の動き

Emotet（エモテット）⁠と⁠は⁠、メールアカウントやメールの情報を盗み、ほかのウイルスに感染させるためにも悪用されるウイルスです。IPAの解説はそう説明しています。JPCERT/CCのFAQ⁠によると2023年4月以降は活動が確認されておらず、いま慌てて対策を買い足す話ではありません。

今日やることは、「御社の名前で変なメールが届いた⁠」⁠と電話を受けたときに、誰が何をするかを1枚⁠の紙に書くことです。この動きはEmotetに限らず、なりすましメール全般で使えます。

この記事は公開情報を整理したものです。基本の用語はセキュリティの基本のカテゴリ⁠にまとめています。

Emotetは今も流行している？

公開されている記録を並べると、止まっては戻ることを繰り返し、2023年⁠を最後に確認されなくなった経過が分かります。

感染の有無を調べるJPCERT/CCのツール「EmoCheck」⁠は⁠、提供が終わりました⁠。古い解説記事には今も使い方が載っています。ツールが配られていた当時の手順を、今そのまま実行しないでください。別の場所で配られている同名のファイルを探して使うのも避けてください。

会社の優先順位も、当時とは変わっています。IPAの情報セキュリティ10大脅威2026⁠の組織編は、1位⁠がランサム攻撃、2位⁠がサプライチェーンや委託先を狙った攻撃で、Emotetの名前はありません。警察庁の令和8年上半期の資料でも、ランサムウェア被害の侵入経路で約5割⁠を占めるのはVPN機器です。

それでも手口を知っておく理由は、Emotetが再び戻らないとは誰にも言えないことと、「取引先から来たように見えるメール」⁠へ⁠の動きが今も必要なことです。

過去のメールの返信を装うとはどういうこと？

Emotetに感染すると、JPCERT/CCのFAQ⁠が挙げる次の情報が盗まれます。

• 過去に送受信したメールアドレスと表示名
• 過去に送受信したメールの件名と本文、添付ファイル
• Webブラウザに保存していたアカウントなどの認証情報

盗まれた本文を引用すると、受け取る側には「前の話の続き」⁠に見えるメールができます。IPAは、正規のメールへの返信を装う手口として説明しています。2022年3月には、添付ファイル名や本文になりすまし元の組織名や署名が入る例も確認されました。

たとえば、部品メーカーの営業担当者が、客先と図面つきの見積もりをメールでやり取りしているとします。この担当者の端末が感染すると、本文と添付の図面が盗まれる可能性があります。そのうえ客先には、見積もりの続きに見えるメールが届くことになります。

見た目で見分ける方法を教育で徹底するだけでは足りません。添付の形式は、マクロつきのWordやExcelから、パスワードつきZIP、OneNote形式などへ変わってきました。JPCERT/CCは、取引先から届いたように見えても信頼できると判断できない限り開かず、確実な手段で送信元へ確かめるよう呼びかけています。

社内で決めやすいのは、次のような場面です。

• 急ぎで添付を開くよう求められた見積もりや請求書は、電話で相手に確かめる
• 確かめる電話番号は、そのメールの署名ではなく、手元の名簿のものを使う
• 開いてしまったら、怒られない前提で、すぐ決まった担当へ伝える

「御社名で不審なメールが届いた」⁠と言われたら？

受けた人が最初に聞くのは次の4つです。相手には、ファイルを開かないようお願いします。

1. いつ届いたか
2. 差出人の表示名と、実際の送信元アドレス
3. 本文に、過去のやり取りが引用されているか
4. 添付やリンクを開いてしまったか

3つ目で切り分けが変わります。JPCERT/CCのFAQは次の2つ⁠の場合を示しています。

感染が疑われるときに、FAQが挙げている対応は次のとおりです。

1. 端末を隔離し、証拠を保全する。保存されていたメールとアドレス帳を確認する
2. メールアカウントやブラウザに保存した認証情報のパスワードを変える
3. その端末がつながっていた社内ネットワークの全端末を調べる
4. 通信ログを監視し、隔離できているか、ほかの感染端末が無いかを見る
5. ほかのウイルスの感染を確かめる。海外では標的型ランサムウェアの事例もある
6. 影響を受ける可能性のある関係者へ注意喚起する
7. 端末を初期化する

取引先には、いつ、何を伝える？

連絡する先は、FAQでは「調査で確認した対象メールと、アドレス帳に含まれていたメールアドレス」⁠で⁠す⁠。相手が不特定多数になるときは、プレスリリースなどでの掲載も挙げられています。

全部分かってから連絡しようとすると、その間にも相手がメールを開くかもしれません。私たちなら、分かっていることだけで先に一報を出し、調査結果は後から伝える形にします。文面は、たとえば次のようなものです。

弊社の名前を装った不審なメールが送られているとの連絡を受けました。差出人の表示は〇〇、件名は〇〇です。添付ファイルやリンクは開かず、削除をお願いいたします。弊社からのご連絡かどうかのご確認は、メールではなく〇〇（電話番号）へお願いいたします。原因は調査中で、〇月〇日までに改めてご連絡いたします。

書くときの注意は4つです。

• 感染や情報漏えいは、確定していなければ断定しない
• 感染が疑われる端末とメールアカウントを連絡に使わない
• 確認先はメール以外の手段にする
• 図面や個人データの漏えいが確認されたら、該当する取引先へ個別に伝える

一度の連絡で終わるとは限りません。FAQは、盗まれたアドレスは攻撃の基盤に取り込まれ、なりすましメールが続く可能性を説明しています。社内の感染を止めても相手に届くことがあるので、ホームページでも告知しておくと問い合わせに答えやすくなります。

漏れた情報に個人データが含まれていれば、個人情報保護法上の対応も確かめてください。法令の整理は、国家サイバー統括室のサイバーセキュリティ関係法令Q&Aハンドブック Ver.3.0⁠が参考になります。社長の責任との関係はサイバーセキュリティ基本法と社長の責任⁠で扱っています。

備えとして何を整えておく？

Emotet専用の製品を探す必要はありません。添付ファイルとURLをメールの段階で調べるならメールセキュリティの製品比較、端末側で不審な動きまで見るなら法人向けセキュリティソフトの製品比較⁠やEDRの製品比較で、機能と運用の形を比べられます。どの製品も、すべての攻撃を止めると考えないでください。

費用をかける前にできることもあります。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版は、最初の取り組みを「情報セキュリティ6か条」としています。OSとソフトの更新、ウイルス対策ソフト、パスワード、共有設定、バックアップ、手口を知ることの6つです。付録の「5分⁠でできる！情報セキュリティ自社診断」⁠で⁠、今の状態を確かめられます。

メールの情報が盗まれることは、3要素でいえば機密性の問題です。自社のどの情報を優先して守るかは、情報セキュリティの3要素を社内の例で考える記事⁠で整理できます。