マルウェアとウイルスの違いは？社内で言葉をそろえるための短い整理

マルウェアは悪意のあるソフトウェアの総称で、ウイルスはその一種です。

今日やることは、社内の報告で使う言葉を決めることです。私たちの案は、種類がわからない段階では「マルウェア感染の疑い」⁠と書き、種類がわかったらランサムウェアなどの名前を足す形です。この記事の後半に、そのまま社内に回せる短い決まりを載せました。

全体はセキュリティの基本のカテゴリから見られます。

言葉の定義はどう違うのか？

総務省の用語集は、マルウェアをMalicious Software（悪意のあるソフトウェア）⁠の略で、攻撃をするソフトウェアの総称と説明しています。コンピュータウイルスと同じ意味で使われるものの、厳密にはさらに広い用語で、ウイルス、ワーム、スパイウェア、ボット、トロイの木馬などの種類があるとしています。

狭い意味のウイルスは、増え方で定義されます。米国国立標準技術研究所（NIST）⁠の用語集では、ほかのプログラムを変更して自分の複製を含ませることで広がり、感染したプログラムが実行されると動くものです。

代表的な種類を短く並べます。

種類は重なることがあります。この表は分類の試験のためではなく、「ウイルスはマルウェアの中の1つ⁠」⁠とわかれば足ります。

ウイルスと呼ぶのは間違いなのか？

間違いとは言い切れません。公的な資料でも、呼び方はそろっていないからです。

• 総務省のサイト⁠は「マルウェア（ウイルス等）」⁠と併記し、ボット、ランサムウェア、スパイウェア、トロイの木馬などをまとめて「広義のウイルス」⁠と呼ぶこともあると説明しています
• IPAの情報セキュリティ6か条⁠は「ウイルス対策」「ウイルス対策ソフト」という言葉を使っています
• 同じEmotetを、IPAは「ウイルス」と説明し、JPCERT/CCは「マルウェア」⁠と呼んでいます
• 法律の分野では、法務省の資料が刑法の不正指令電磁的記録に関する罪を「いわゆるコンピュータ・ウイルスに関する罪」⁠と⁠し⁠て⁠い⁠ま⁠す

日常の会話で「ウイルス」⁠と言う人を直す必要はありません。問題になるのは、言葉のずれで報告の中身があいまいになるときです。

言葉がずれると、社内で何が困るのか？

困るのは、受け取る側が状況を読み違えることです。

たとえば、工場の検査装置につないだパソコンで、セキュリティソフトの警告が出たとします。現場から「ウイルスが出ました」とだけ連絡が来ると、担当者には次のことがわかりません。

• ソフトが検知して処理を終えたのか、感染して動いている疑いがあるのか
• 画面に出た名前は何か
• その装置は止めたのか、動かしたままか

反対に、総務部が取引先への連絡で「ランサムウェア」⁠と書いたのに、調べたら別の種類だったという場合は、訂正が必要になります。種類が確定する前に名前を断定しないほうが、後で困りません。

「検知」⁠と「感染」⁠も別の言葉です。検知はソフトが見つけたこと、感染は実際に入り込んだことを指す、と社内で決めておくと、報告を受けた人が次の動きを判断しやすくなります。検知が無いことは、感染していないことの証明にはなりません。この点は、EmoCheckの記事でも実例として扱います。

社内の報告では、どうそろえるのか？

次の決まりを、そのまま使えます。私たちの提案であり、公的な基準ではありません。

報告の中身は、IPAのセキュリティインシデント対応の手引き⁠が示す5W1Hの整理に合わせると、書く順番に迷いません。手引きには、不用意に電源を切るなどして記録を消さないようにする注意もあります。社内では次の5行⁠にまとめます。

件名：マルウェア感染の疑い（検知／感染の別：検知）
機器：どの部署の、どの機器か
時刻：いつ気づいたか
表示：画面に出た製品名と名前（写真を添付）
対応：自分がしたこと、していないこと

種類の判断を、最初に気づいた人に求めないでください。現場の人は、見たものをそのまま伝えれば十分です。言葉が正しいかを気にして連絡が遅れるほうが、言葉のずれより大きな問題になります。「こんな言い方で報告していいのか⁠」⁠と迷わせないよう、決まりと同時に、連絡先を1か所に決めて伝えてください。判断は、担当者や保守会社、必要に応じてIPAの相談窓口⁠と一緒に行います。

この決まりは、教育の場で1回説明すれば足ります。研修の教材を外部に任せるなら、セキュリティ教育サービスの比較があります。

現場の言い方は、どう書き換えるのか？

現場の言葉を禁止する必要はありません。受け取った担当者が、報告の形に書き直せば足ります。次の表は、そのときの例です。

最後の行のように、すべての事故がマルウェアの話とは限りません。IPAの10大脅威2026の解説書は、攻撃者がマルウェアだけでなくOS標準のコマンドも用いて情報を盗むと説明しています。警察庁の令和8年上半期の報告書でも、ランサムウェアの侵入経路の約5割⁠はVPN機器で、未修正の脆弱性や漏えいした認証情報が悪用されるとされています。

「ウイルスは見つかりませんでした」は、攻撃が無かったという意味にはなりません。報告書では「マルウェアは検知されなかった」⁠と⁠、見た範囲がわかる形で書きます。

社外へ伝えるときも同じ言葉でいいのか？

社内で決めた言葉を土台にして、相手に合わせて補います。取引先には、専門用語よりも「どの情報やサービスに影響があるか⁠」⁠が必要です。「マルウェア感染の疑いがある端末を1台確認し、調査中です」のように、確定した事実と調査中のことを分けて伝えます。

届出の先は、事故の中身で変わります。IPAの手引きは、個人情報の漏えいは個人情報保護委員会へ、犯罪性がある場合は警察へ、ウイルス感染や不正アクセスはIPAへ届け出る例を挙げています。ここでも公的な窓口の呼び名は「ウイルス」⁠な⁠の⁠で⁠、届出の書類では窓口の言葉に合わせます。

言葉をそろえたら、製品の選び方も変わるのか？

製品カタログの読み方が少し変わります。カタログにはウイルス対策、マルウェア対策、EDRなどの言葉が並びますが、言葉だけで範囲を決めつけず、何を検知し、検知の後に何ができるかを公式の仕様で見てください。

端末を守る製品の全体像はエンドポイントセキュリティの比較で、侵入後の検知と対応に重きを置く製品はEDRの製品比較で見られます。

なぜ会社が狙われるのかは犯人の儲け方から見た狙われ方に、対策全体の抜けの点検は情報セキュリティ対策の具体例一覧⁠にまとめています。