「Emotet」はマルウェアへの感染を狙う不審メールであり、感染すると個人情報を抜き取られる上、マルウェアを添付した「なりすましメール」を社内外の関係者に送信されてしまいます。

もしEmotetの感染が確認された場合、駆除を行うほか、どのような被害を受けたのか調査をおこなう必要があります。この記事では、Emotetの感染が疑われるときの基本的な確認方法から、Emotetの駆除方法までご紹介いたします。

Emotet（エモテット）とは

Emotet（エモテット）とは、なりすましメールを介して拡散するマルウェアです。メールに添付されたOfficeファイルを介して感染することが多く、マクロが組み込まれたファイルを開くことで感染します。また、メール本文のURLをクリックすることでも感染することがあるため、メールの取り扱いには注意が必要です。

Emotetに感染すると、たとえば次のような脅威に晒されます。その被害は計り知れません。

• 「重要な情報を盗み取られる」
• 「社外へEmotetがばら撒かれる」
• 「他のマルウェアを呼び寄せるプラットフォームとして悪用される」
• 「DDoS攻撃などサイバー攻撃の踏み台として悪用される」
• 「盗まれた機密情報は、ダークウェブで取引される」

このようにEmotetは、深刻な問題を引きおこす危険なマルウェアです。感染が発覚した場合は、その原因を究明し、漏えいした情報を調査することが重要です。特に流出した情報に、個人情報や企業秘密などの情報が含まれている場合、個人情報保護の観点から、感染経路や情報漏えいの有無を確認するのは急務です。

なお、マルウェアは複数の場所にデータを送信することがあり、それを追跡する必要もありますが、一般的なユーザーは、感染経路を特定するためのノウハウやツールを持っておらず、正確な感染経路を特定することは困難です。

一方でこの際「フォレンジック調査」を活用することで適切な対応を行えます。フォレンジックとは「インシデントの原因や経緯を解明するために、科学的な手法を用いた調査」のことです。これにより感染状況や流出先など、被害の状況を詳細に把握することができます。

なお、フォレンジック調査には専門知識が必要であるため、業務を委託する場合には、信頼できる専門家に依頼することが重要です。

Emotet（エモテット）に感染した際の被害

Emotetに感染した際の被害は主に次のとおりです。

• 重要な情報を盗み取られる
• ランサムウェアに感染する
• 社内ネットワークやデバイスへ感染する
• 社外へのばらまきで踏み台にされる

このような被害が発生した場合、フォレンジック調査を行うことが重要です。フォレンジック調査を行うことで、被害の深刻さや拡大の程度、流出先を把握できます。なおフォレンジック調査には専門知識が必要であり、業務を委託する場合には、信頼できる専門家に依頼することが重要です。

信頼度の高いおすすめのEmotet調査業者はこちら＞

重要な情報を盗み取られる

感染端末から個人情報やメールアカウントの ID、パスワードといった認証情報が盗まれると、その情報がハッカーが使用するC&Cサーバーに転送される可能性があります。

このような情報漏えいのリスクに直面した場合、企業は機密情報を守るために、感染端末の検出だけでなく、不正アクセスや情報漏えいの調査と対策を総合的に取り組む必要があります。

ランサムウェアに感染する

Emotetはランサムウェアなどのマルウェアを呼び寄せます。ランサムウェアに感染すると、端末のファイルが暗号化され、データを復元するために身代金を支払うように要求されます。この種のマルウェアが企業や個人に与える影響は非常に深刻であり、それに対処するためには、組織全体での対策が必要です。一般的な対策としては、定期的なバックアップ、最新のセキュリティパッチのインストール、セキュリティソフトウェアの導入などが挙げられます。

社内ネットワークやデバイスへ感染する

Emotetに感染した場合、個人情報や企業秘密が漏えいする可能性があります。特に、Emotetは社内ネットワークを使って他の端末へも感染を広げることができるため、社内すべての端末から情報が漏えいする恐れがあります。情報漏えいを防止するためには、フォレンジック調査が必要です。

フォレンジック調査では、感染した端末やネットワークトラフィックの解析を行い、情報漏えいの有無を確認することができます。これによりバックドア（ネットワークに設けられた勝手口）など脆弱性が特定できるため、情報漏えいが発生していた場合、被害の拡大を防止するために速やかに対処する必要があります。

社外へのばらまきで踏み台にされる

Emotetは、社内ネットワーク以外にも、被害者のメールアカウントに登録されているアドレスにスパムを大量送信します。これにより、顧客や取引先などの関係先にも多大な被害を与える可能性があり、自社の信用にも悪影響を及ぼすことになります。

なお、Emotetに感染した場合、以下のようなスパムメールが大量に送信されることがあります。

1. 偽の請求書
   Emotetは、偽の請求書を作成し、関係先に送信することがあります。請求書には、被害者企業の名前やロゴが入っており、信頼性が高く見えるように作られています。この請求書に記載された口座に振り込まれた場合、被害者企業は実際に支払いをしてしまいます。
2. フィッシング詐欺
   Emotetは、フィッシング詐欺のためのスパムメールを送信することがあります。例えば、銀行やオンラインショッピングサイトを装った偽のメールを送信し、被害者に個人情報やパスワードを入力させる詐欺です。
3. 悪意のある添付ファイル
   Emotetは、悪意のある添付ファイルを送信することがあります。添付されたファイルを開くことで、ランサムウェアやキーストローク・ロガーなどのマルウェアが被害者のコンピュータに侵入することがあります。
4. ウイルス感染警告
   Emotetは、ウイルス感染した可能性がある旨の警告メールを送信することがあります。このメールには、感染したファイルを削除するために、特定のプログラムをダウンロードして実行するよう求められることがありますが、これは悪意のあるプログラムをダウンロードしてしまうことになります。

これらのスパムメールが関係先に大量に送信されると、被害者企業の信用を失うことになるため、十分なセキュリティ対策が必要です。

Emotet（エモテット）感染時、企業のとるべき対応とは？

企業がEmotetに感染した場合、盗まれた個人情報が第三者に悪用されたり、周囲の関係者に感染を広げたりします。Emotetに感染してしまった場合、企業としては次のような理由から感染被害を調査する義務が生じます。

Emotet（エモテット）感染時の応急処置

Emotet（エモテット）感染時の応急処置は次の2つです。

• 感染した端末をインターネット環境から切り離す
• メールアドレスなどの各種パスワードを変更する

感染した端末をインターネット環境から切り離す

Emotetと疑われるファイルを開封してしまった場合、まっさきにwifi接続をオフにし、ネットワークから切り離しましょう。これは重要な初動対応となります。Emotetはネットワーク経由で他の端末へ感染を広げる性質を持っており、特にメールアカウントが乗っ取られていると、自動的にスパムメールが周囲に拡散されてしまいます。他の端末やネットワークへの二次感染を防ぐためにも、感染の疑いのある端末をネットワークから切り離しましょう。

メールアドレスなどの各種パスワードを変更する

ネットワーク遮断後、感染が疑われるデバイスで使用していたメールアドレスやパスワードは、感染・被害拡大を防ぐためにもなるべく早く変更しましょう。盗まれたメールアドレスやパスワードを流用していると、ほかのアカウントにも不正侵入される恐れがあります。

Emotet（エモテット）を駆除する方法

Emotetを検知した場合、次のステップに沿って駆除を行いましょう。ただし、初期化するとデータが消え、調査困難になるほか、操作を加えるとログ情報が消失する恐れがあるため、不用意な操作は控えてください。

1. プロセスをタスクマネージャーで停止する
2. セキュリティソフトで駆除する
3. 感染したパソコンを初期化する
4. Emotet駆除時は感染被害の実態を調べておく

①プロセスをタスクマネージャーで停止する

Emotet感染確認ツール「Emcheck」でEmotetを検知した場合、プロセス名に表示されたプロセスをタスクマネージャーで停止しましょう。イメージパスにあるファイルがEmotet本体と考えられるので、その駆除を行ってください。

ただし、プロセス名に表示されたプロセスをタスクマネージャーで停止しても、すでにEmotetに感染されたシステムから完全に削除することはできません。た、Emotetはしばしばファイル名やフォルダー名を偽装することがあり、本体がどこにあるかを特定するのは困難です。Emotetに感染した場合は、すぐにセキュリティソフトウェアによるスキャンを実行することをお勧めします。また、Emotet感染後はシステムの再インストールが必要な場合もあります。

②セキュリティソフトで駆除する

Emotet感染時、他のマルウェアに追加で感染している恐れがあるため、Windows Defenderなどウイルス対策ソフトでフルスキャンをかけましょう。

Windows Defenderを利用してEmotetを検出・駆除する手順は以下の通りです。

1. Windows Defenderを開きます。
2. 「ウイルスおよび脅威の防止」→「スキャンオプション」→「完全スキャン」を選択。
3. 「スキャンを開始」をクリックし、スキャン結果画面で「詳細情報」を選択します。
4. 「詳細情報」の中からEmotetと思われるファイルの有無を確認します。
5. 選択したファイルを右クリックし、「削除」を選択します。
6. 削除を確認するダイアログが表示されたら、「はい」をクリックします。
7. Windows Defenderによって、Emotetの検出・駆除が行われます。

なお、Windows Defenderによる検出・駆除に失敗する場合や、より詳細な設定を行いたい場合は、専門家に相談することをおすすめします。

③感染したパソコンを初期化する

Emotetを駆除するには、感染した端末を初期化することが最も確実な手段となります。

しかし、感染拡大・二次感染を防止するには、「駆除」よりも「ネットワーク遮断」が先です。もし端末自体の初期化を行うと、感染端末のログも消失し、被害全容の調査が困難になってしまいます。また、このような初期化を行うと、データ復旧の専門業者でも、データのサルベージを行うことがきわめて困難です。

そもそも、また調査という観点からみると、「駆除」は仕上げにあたる作業であり、そこまで最優先すべきステップでもありません。駆除を行う前に、感染経路をはじめとする、インシデントの全容を特定することをおすすめします。

④Emotet駆除時は感染被害の実態を調べておく

改正個人情報保護法の施行により、Emotetに感染した場合、まずは「情報漏えいがあったか」「何が原因で感染したか」「ほかのマルウェアに感染していないか」などを調べる必要があります。しかし、個人での調査には限界があるため、専門業者に相談することが最善です。

専門業者には「どのマルウェアに感染したか」「いつ、どの経路で、どの規模で感染したか」「情報漏えいがあるかどうか」などが調査可能です。特にEmotetの感染経路調査には「フォレンジック調査」が有効です。

フォレンジックは、スマホやPCなどの電子機器や、ネットワークに記録されているログ情報などを解析・調査することで、サイバー攻撃被害調査に活用されています。「デジタル鑑識」とも呼ばれ、最高裁や警視庁でも正式な捜査手法として取り入れられています。

フォレンジック調査については、下記の記事でも詳しく解説しています。Emotetに感染している恐れがある場合は、まずはフォレンジック調査業者に相談しましょう。

【比較】フォレンジック調査とは？費用や事例からおすすめ会社の選び方を徹底解説

2016.3.1

※この記事は2023年11月に更新されています。 不正アクセスや情報漏えいなど、セキュリティ・インシデントの原因究明を行える「デジタルフォレンジック」。日本ではまだまだ聞き慣れない用語ですが、近年デジ

Emotet（エモテット）調査会社を選ぶときのポイント

Emotetの調査会社を選ぶときのポイントは次の6つです。

• 実績がある
• スピード対応している
• セキュリティ体制が整っている
• 法的証拠となる調査報告書を発行できる
• データ復旧作業に対応している
• 費用形態が明確である

実績がある

上場企業や警察・官公庁からの依頼実績があるかどうかも、業者の信頼性を判断する上で重要なポイントとなります。

多数の相談実績を持つ業者は、高度な技術力やノウハウ、データ復旧に関する知識が蓄積しており、膨大なデータベースから適切な方法を選択し、証拠データを抽出することが可能です。

スピード対応している

サイバーインシデントが発生した際、感染拡大や証拠隠滅を防ぐため、早急かつ正確に把握する必要があります。この際、24時間・365日営業している業者であれば、素早い対応を期待できるでしょう。

早急に原因を究明し、感染の原因となった端末を迅速に特定できる「ファストフォレンジック」「DFIR（デジタルフォレンジック・インシデントレスポンス）」などにも対応したフォレンジック調査が可能である業者を選ぶのも、重要なポイントとなってきます。

なお、いつまでに対応が完了し、調査対象機器が手元に戻るのかは、相談時に事前確認したほうが良いでしょう。

セキュリティ体制が整っている

セキュリティ対策をしっかりと行っている業者では「プライバシーマーク」や「ISO認証」などの認定を得ています。これらの認定は、世界基準で規定されている厳しい調査をクリアした業者のみ習得できるもので、フォレンジック業者の信頼性を判断するポイントにもなります。

フォレンジック調査を依頼する際は、機器はもちろんその中に保存されているデータも業者側に一定期間預けることになりますので、大切なデータを安心して預けることができるセキュリティ体制が整っているかを確認するようにしましょう。

法的証拠となる調査報告書を発行できる

フォレンジック調査の報告書は、裁判所や行政機関に提出できる「法的証拠」として活用することが可能です。もし民事・刑事訴訟を視野に入れている場合は、あらかじめ法的証拠となる調査報告書を発行できるフォレンジック専門業者に対応を追依頼することを視野に入れておきましょう。

おすすめのEmotet（エモテット）感染調査に対応している業者

Emotetのようなマルウェア感染調査に対応している業者の中で「スピード対応」と「実績」が豊富な業者を選定しました。