「Emotet」はマルウェアへの感染を狙う不審メールであり、感染すると個人情報を抜き取られる上、マルウェアを添付した「なりすましメール」を社内外の関係者に送信されてしまいます。

もしEmotetの感染が確認された場合、駆除を行うほか、どのような被害を受けたのか調査をおこなう必要があります。この記事では、Emotetの感染が疑われるときの基本的な確認方法から、Emotetの駆除方法までご紹介いたします。

Emotet（エモテット）とは

Emotet（エモテット）とは、なりすましメールを介して拡散するマルウェアです。メールにはofficeファイル・パスワード付Zipファイル・不正なURLなどが添付されており、これらを実行することで感染します。

Emotet（エモテット）に感染した際の被害

Emotetに感染した際の被害は主に次のとおりです。

• 重要な情報を盗み取られる
• ランサムウェアに感染する
• 社内ネットワークやデバイスへ感染する
• 社外へのばらまきで踏み台にされる

重要な情報を盗み取られる

感染端末から個人情報やメールアカウントの ID、パスワードといった認証情報が盗まれます。このとき抜き取られた情報は、ハッカーが使用する外部サーバーに転送されるため、情報漏えいの観点で調査する必要性も生じます。

ランサムウェアに感染する

Emotetはランサムウェアなどのマルウェアを呼び寄せます。もし、ランサムウェアに感染すると、端末のファイルが暗号化され、データを復元するために身代金を支払うように要求されてしまいます。

社内ネットワークやデバイスへ感染する

Emotetは個人の端末を感染させるだけでなく、抜き取った情報をもとに、なりすましメールを自動生成し、社内ネットワークを使って他の端末へも感染を広げようとします。その結果、社内すべての端末から情報が漏えいする恐れが生じます。

社外へのばらまきで踏み台にされる

Emotetは、社内ネットワークにとどまらず、メールアカウントに登録されているアドレスをもとに、顧客や取引先など外部に Emotet を感染させるためのメールをばらまきます。関係先にも甚大な被害を被る恐れがあり、自社の信用失墜につながります。

Emotet（エモテット）感染時、企業のとるべき対応とは？

Emotet（エモテット）感染時の応急処置

Emotet（エモテット）感染時の応急処置は次の2つです。

• 感染した端末をインターネット環境から切り離す
• メールアドレスなどの各種パスワードを変更する

感染した端末をインターネット環境から切り離す

Emotetと疑われるファイルを開封してしまった場合、まっさきにwifi接続をオフにし、ネットワークから切り離しましょう。これは重要な初動対応となります。Emotetはネットワーク経由で他の端末へ感染を広げる性質を持っており、特にメールアカウントが乗っ取られていると、自動的にスパムメールが周囲に拡散されてしまいます。他の端末やネットワークへの二次感染を防ぐためにも、感染の疑いのある端末をネットワークから切り離しましょう。

メールアドレスなどの各種パスワードを変更する

ネットワーク遮断後、感染が疑われるデバイスで使用していたメールアドレスやパスワードは、感染・被害拡大を防ぐためにもなるべく早く変更しましょう。盗まれたメールアドレスやパスワードを流用していると、ほかのアカウントにも不正侵入される恐れがあります。

Emotet（エモテット）を駆除する方法

Emotetを検知した場合、次のステップに沿って駆除を行いましょう。ただし、初期化するとデータが消え、調査困難になるほか、操作を加えるとログ情報が消失する恐れがあるため、不用意な操作は控えてください。

1. プロセスをタスクマネージャーで停止する
2. セキュリティソフトで駆除する
3. 感染したパソコンを初期化する
4. Emotet駆除時は感染被害の実態を調べておく

①プロセスをタスクマネージャーで停止する

Emotet感染確認ツール「Emcheck」でEmotetを検知した場合、プロセス名に表示されたプロセスをタスクマネージャーで停止しましょう。イメージパスにあるファイルがEmotet本体と考えられるので、その駆除を行ってください。

②セキュリティソフトで駆除する

Emotet感染時、他のマルウェアに追加で感染している恐れがあるため、Windows Defenderなどウイルス対策ソフトでフルスキャンをかけましょう。

③感染したパソコンを初期化する

Emotetを駆除するには、感染した端末を初期化することが最も確実な手段となります。

しかし、感染拡大・二次感染を防止するには、「駆除」よりも「ネットワーク遮断」が先です。もし端末自体の初期化を行うと、感染端末のログも消失し、被害全容の調査が困難になってしまいます。また、このような初期化を行うと、データ復旧の専門業者でも、データのサルベージを行うことがきわめて困難です。

そもそも、また調査という観点からみると、「駆除」は仕上げにあたる作業であり、そこまで最優先すべきステップでもありません。駆除を行う前に、感染経路をはじめとする、インシデントの全容を特定することをおすすめします。

④Emotet駆除時は感染被害の実態を調べておく

Emotetに感染した場合、改正個人情報保護法が施行された影響により、駆除をおこなうよりも先に「情報漏えいがあったのか」「何が原因で感染したのか」「ほかのマルウェアに感染していないか」といった事後調査が必要です。

しかし、個人での特定作業には限界があるため、適切な調査を行うには、専門業者に相談することが最善です。専門業者では「どのマルウェアに感染したのか」「いつ、どの経路で、どの規模で感染したか」「情報漏えい有無はないか」といったことを調査することが出来ます。

特にEmotetの感染経路調査には「フォレンジック調査」が有効です。フォレンジックとは、スマホやPCなどの電子機器や、ネットワークに記録されているログ情報などを解析・調査することで、サイバー攻撃被害調査に活用されています。別名「デジタル鑑識」とも呼ばれ、最高裁や警視庁でも正式な捜査手法として取り入れられています。

Emotetに感染している恐れがある場合、まずはフォレンジック調査業者へ相談をしましょう。フォレンジック調査については下記の記事でも詳しく解説しています。

【比較】フォレンジックとは？費用や相場・おすすめ業者を徹底解説（フォレンジック調査）

2016.3.1

※この記事は2023年3月に更新されています。 不正アクセスや情報漏えいなど、セキュリティ・インシデントの原因究明を行える「デジタルフォレンジック」。日本ではまだまだ聞き慣れない用語ですが、近年デジタ

Emotet（エモテット）調査会社を選ぶときのポイント

Emotetの調査会社を選ぶときのポイントは次の6つです。

• 実績がある
• スピード対応している
• セキュリティ体制が整っている
• 法的証拠となる調査報告書を発行できる
• データ復旧作業に対応している
• 費用形態が明確である

実績がある

上場企業や警察・官公庁からの依頼実績があるかどうかも、業者の信頼性を判断する上で重要なポイントとなります。

多数の相談実績を持つ業者は、高度な技術力やノウハウ、データ復旧に関する知識が蓄積しており、膨大なデータベースから適切な方法を選択し、証拠データを抽出することが可能です。

スピード対応している

サイバーインシデントが発生した際、感染拡大や証拠隠滅を防ぐため、早急かつ正確に把握する必要があります。この際、24時間・365日営業している業者であれば、素早い対応を期待できるでしょう。

早急に原因を究明し、感染の原因となった端末を迅速に特定できる「ファストフォレンジック」「DFIR（デジタルフォレンジック・インシデントレスポンス）」などにも対応したフォレンジック調査が可能である業者を選ぶのも、重要なポイントとなってきます。

なお、いつまでに対応が完了し、調査対象機器が手元に戻るのかは、相談時に事前確認したほうが良いでしょう。

セキュリティ体制が整っている

セキュリティ対策をしっかりと行っている業者では「プライバシーマーク」や「ISO認証」などの認定を得ています。これらの認定は、世界基準で規定されている厳しい調査をクリアした業者のみ習得できるもので、フォレンジック業者の信頼性を判断するポイントにもなります。

フォレンジック調査を依頼する際は、機器はもちろんその中に保存されているデータも業者側に一定期間預けることになりますので、大切なデータを安心して預けることができるセキュリティ体制が整っているかを確認するようにしましょう。

法的証拠となる調査報告書を発行できる

フォレンジック調査の報告書は、裁判所や行政機関に提出できる「法的証拠」として活用することが可能です。もし民事・刑事訴訟を視野に入れている場合は、あらかじめ法的証拠となる調査報告書を発行できるフォレンジック専門業者に対応を追依頼することを視野に入れておきましょう。

おすすめのEmotet（エモテット）感染調査に対応している業者

Emotetのようなマルウェア感染調査に対応している業者の中で「スピード対応」と「実績」が豊富な業者を選定しました。