無料会員登録
メールやチャットで届いたZIPファイルを見て、「圧縮ファイルだから安全だろう」と考えて開いてしまう方も少なくありません。ZIPは業務で一般的に使われる形式ですが、マルウェアを隠して配布するための容器として悪用されることもあります。
特に「請求書」「見積書」「履歴書」「注文書」などを装ったZIPには注意が必要です。展開すると実行ファイルやスクリプト、ショートカットなどが含まれており、利用者が開くことでマルウェアが実行されるケースがあります。また、パスワード付きZIPは、セキュリティ製品による中身の検査を難しくするため、攻撃者が検査回避の目的で利用することがあります。
さらに、見た目がPDFやOfficeファイルに見えるよう二重拡張子を使ったり、偽のアイコンを表示したりする手口もあります。ZIPを受信したという事実だけで安全・危険を判断せず、送信元、内容、拡張子、実行形式まで確認することが重要です。
そこで本記事では、ZIPファイルがマルウェア配布に悪用される理由、危険なZIPの特徴、パスワード付きZIPの注意点、安全な確認方法、もし開いてしまった場合の対処、フォレンジック調査で感染経路と被害範囲を確認する方法までを解説します。
ZIPファイルがマルウェア配布に悪用される理由
ZIPファイル自体は、複数のファイルをまとめて圧縮するための一般的な形式です。しかし、内部に実行ファイルやスクリプトを格納できるため、マルウェア配布に利用されることがあります。
危険な実行ファイルを内部に隠せる
ZIP内には、.exe、.js、.vbs、.bat、.cmd、.scr、.lnkなどのファイルを格納できます。
利用者が「請求書」や「資料」だと思って展開し、その中のファイルを実行すると、マルウェアが起動する場合があります。
パスワード付きZIPで検査を回避しやすい
パスワード付きZIPは、中身が暗号化されているため、メールゲートウェイやウイルス対策製品が内部ファイルを十分に検査できない場合があります。
攻撃者はメール本文にパスワードを書いたり、「別メールでパスワードを送ります」と案内したりして、利用者自身に解凍させることがあります。
実務ファイルに見せかけやすい
「invoice.zip」「見積書.zip」「履歴書.zip」など、業務上ありそうなファイル名を使うことで、不審に思わせず開かせることができます。
取引先や社内担当者になりすましたメールと組み合わせると、さらに見分けにくくなります。
二重拡張子やショートカットで偽装できる
たとえば「invoice.pdf.exe」「document.pdf.lnk」のように、先頭部分だけ見るとPDFに見えるファイル名が使われることがあります。
Windowsでファイル名拡張子を非表示にしていると、実際の形式を見落とす可能性があります。
複雑な圧縮構造で解析を難しくできる
複数のアーカイブを重ねたり、ツールによって解釈が異なるようなZIP構造を利用したりして、セキュリティ製品の解析を難しくする手口もあります。
「ZIPだから安全」とは判断できない
ZIPは正常な業務でも広く使われる形式です。そのため、拡張子だけで危険と断定することも、安全と判断することもできません。
重要なのは、誰から届いたか、なぜ届いたか、中に何が入っているかを確認することです。
マルウェア感染につながりやすいZIPファイルの手口
ZIPを利用した攻撃では、利用者が「開く」「展開する」「実行する」という流れへ自然に誘導されるよう工夫されています。
請求書・見積書を装うメール添付
「請求書を送付します」「注文内容をご確認ください」「履歴書を添付します」など、業務上自然に見える文面でZIPを送付する手口です。
受信者が展開した後、内部の実行ファイルやスクリプトを開くことで感染する場合があります。
パスワード付きZIPを使った検査回避
暗号化ZIPでは、メールセキュリティ製品が中身を展開できない場合があります。
「セキュリティのためパスワード付きにしました」と説明されると安心しやすいですが、パスワード付きだから安全ということではありません。
ショートカット・スクリプトを使った実行誘導
.lnk、.js、.vbs、.bat、.cmdなどを開かせ、PowerShellや別のプログラムを起動させる手口があります。
表示上は文書ファイルのようなアイコンになっている場合もあるため、拡張子を確認することが重要です。
二重拡張子を使ったファイル偽装
「請求書.pdf.exe」のようなファイル名では、一見するとPDFに見えます。
Windowsで拡張子表示が無効だと、末尾の.exeを確認できない場合があります。
チャット・クラウド共有からの配布
メールだけでなく、Teams、Slack、SNS、クラウドストレージの共有リンクなどからZIPを配布するケースもあります。
すでに乗っ取られたアカウントから送信されると、知人や取引先から届いた正常なファイルに見えることがあります。
怪しいZIPファイルを見分けるポイント
ZIPの危険性は、ファイル名だけでなく、送信元や文面、内部ファイル、受信経路など複数の要素を組み合わせて判断します。
送信元・返信先が不自然ではないか確認する
表示名だけでなく実際のメールアドレスやドメインを確認します。
取引先と似ているものの一文字違うドメイン、返信先だけ別ドメインになっているメールなどは注意が必要です。
急がせる文面がないか確認する
「至急」「本日中」「未納」「訴訟」「アカウント停止」など、利用者を焦らせる表現がある場合は慎重に確認してください。
パスワード付きZIPを安易に信用しない
「暗号化しているから安全」という考え方は避ける必要があります。
送信経路、業務上の必要性、送信者本人による送付確認などを行ってください。
内部ファイルの拡張子を確認する
Windowsでは、エクスプローラーの「表示」から「ファイル名拡張子」を有効にします。
.exe、.js、.vbs、.bat、.cmd、.scr、.lnkなどが含まれている場合は、特に慎重に扱ってください。
入手経路に心当たりがあるか確認する
突然届いたメール添付、知らない共有リンク、広告や検索結果から取得したZIPなどは注意が必要です。
取引先からのファイルであっても、別の既知連絡先から送付の事実を確認すると安全性を高められます。
ZIPファイルを開く前に行いたい安全対策
業務上ZIPを確認する必要がある場合でも、本番端末でそのまま展開・実行するのは避けた方が安全です。
送信者を別経路で確認する
怪しいZIPが届いた場合、そのメールへ返信するのではなく、既知の電話番号や既存のチャット、正規ポータルなどから送付の事実を確認します。
拡張子を表示して内部ファイルを確認する
ファイル名だけで判断せず、実際の拡張子を確認します。
「document.pdf.lnk」など、文書を装ったショートカットに注意してください。
本番環境で直接実行しない
どうしても確認が必要な場合は、隔離された解析環境やサンドボックスを利用します。
業務アカウント、共有フォルダ、社内ネットワークへアクセスできる通常端末で実行すると、感染時に被害が拡大する可能性があります。
OS・解凍ソフトを最新化する
ZIPを展開しただけで直ちにマルウェアが実行されるケースは一般的ではありませんが、脆弱な展開ソフトなどを悪用する例外もあります。
OSや解凍ツールを継続的に更新してください。
AV・EDR・サンドボックスで多層検査する
アンチウイルスだけに依存せず、メールゲートウェイ、EDR、サンドボックス、アーカイブ解析などを組み合わせます。
ネストされたZIPや暗号化ZIPでは単純なファイル検査だけでは十分でない場合があります。
- 送信者と送付理由を別経路で確認します。
- ファイル名拡張子を表示します。
- パスワード付きZIPでも安全と判断しません。
- 本番端末で実行せず、必要に応じて隔離環境で確認します。
- AV・EDR・メールセキュリティなど複数の仕組みで検査します。
ZIPファイルを展開しただけならマルウェア感染するのか
多くのケースでは、ZIPを展開しただけでマルウェアが自動的に実行されるわけではありません。
実際の感染は、展開後に利用者が.exe、.lnk、.jsなどを開いたり、マクロを有効化したりすることで始まることが多くあります。
ZIPを受信しただけ
メールを受信しただけで、添付ファイルを開いていない場合は、通常は感染につながりません。
ZIPを展開しただけ
展開しただけで内部ファイルを開いていない場合は、一般的には感染リスクは限定的です。
ただし、展開ソフトやOSの脆弱性が存在するケースもあるため、最新版を利用することが重要です。
内部ファイルを開いた
PDFやOffice文書を開いた場合でも、内容によってはリンクやマクロを経由して攻撃につながる可能性があります。
実行ファイル・ショートカット・スクリプトを実行した
.exe、.lnk、.js、.vbs、.batなどを実行した場合は、マルウェア感染を前提に確認した方が安全です。
マクロやPowerShellなどを実行した
マクロ有効化、PowerShell実行、セキュリティ警告の解除などを行った場合は、外部から追加マルウェアを取得している可能性があります。
「開いた」ではなく「どこまで操作したか」が重要
ZIPについて相談する際は、「ZIPを開いた」という表現だけではリスクを判断しにくい場合があります。
受信・展開・閲覧・実行・マクロ有効化のどこまで行ったかを整理することが重要です。
怪しいZIPファイルを開いてしまった場合の対処法
ZIP内のファイルを実行してしまった可能性がある場合は、単純にファイルを削除するだけでは十分でないことがあります。
端末をネットワークから隔離する
怪しいファイルを実行した場合は、LAN、Wi-Fi、VPNなどから端末を切り離します。
追加マルウェアのダウンロード、外部への情報送信、社内ネットワークへの横展開を防ぐためです。
メール・ZIP・展開ファイルを保全する
元のメール、ZIPファイル、展開済みファイル、ファイル名、保存場所、実行時刻などを記録します。
削除してしまうと、感染経路やマルウェア種別を確認しにくくなる場合があります。
EDR・AVの検知履歴を保存する
EDRやアンチウイルスで検知があった場合は、検知名、ファイルパス、ハッシュ、隔離結果、発生時刻などを保存します。
実行履歴・プロセス・通信を確認する
ZIP内ファイルの実行後に、PowerShell、cmd.exe、wscript.exe、mshta.exeなどが起動していないか確認します。
EDR、Windows Event Log、Proxy、DNS、Firewallなどから外部通信も確認します。
認証情報・セッションの窃取を確認する
マルウェアがインフォスティーラーの場合、ブラウザ保存パスワードやCookie、セッショントークンが盗まれている可能性があります。
別の安全な端末から重要アカウントのパスワードを変更し、既存セッションを失効してください。
同じZIPを受け取った他端末も確認する
企業内で同じメールが複数人に届いている場合は、同一ハッシュ、同一URL、同一添付ファイルをキーに他端末も確認します。
- 端末をネットワークから隔離します。
- 元メール・ZIP・展開ファイルを削除せず保全します。
- EDR・AVの検知情報を保存します。
- 実行プロセスと外部通信を確認します。
- 別端末から重要アカウントの認証情報を保護します。
- 同じZIPを受信した他ユーザー・端末も調査します。
怪しいZIPを開いた後に不審なプロセスや通信が確認された場合は、ファイル削除だけで対応を終えないことが重要です。すでにマルウェアが別ファイルを作成したり、認証情報を外部送信したりしている可能性があります。
ZIPマルウェア感染を防ぐための対策
ZIP経由のマルウェア対策では、利用者教育だけでなく、メール・エンドポイント・実行制御を組み合わせる必要があります。
パスワード付きZIPを安全扱いしない
暗号化されていることと安全であることは別です。
パスワード付きZIPにも通常以上の確認ルールを設けます。
実行形式・スクリプトを制限する
.exe、.js、.vbs、.bat、.cmd、.scr、.lnkなど、業務で不要な実行形式の添付や実行を制限します。
メールゲートウェイで添付を検査する
添付ファイルのサンドボックス解析、アーカイブ展開、URL検査などを組み合わせます。
EDRで実行連鎖を監視する
メールクライアントやExplorerから、PowerShell、cmd、wscriptなどが不自然に起動していないか監視します。
不審添付を隔離環境で確認する
どうしても確認が必要なZIPは、業務端末ではなく解析用サンドボックスなどで扱います。
ZIP経由のマルウェア感染をフォレンジック調査で確認する方法
ZIP内のファイルを実行してしまった場合は、「マルウェアを検知したか」だけでなく、どこまで実行され、何が外部へ送信された可能性があるのかを確認する必要があります。
元メール・ZIPの受信経路
メール原文、送信元、添付ファイル、URL、受信日時などを確認し、攻撃がどの経路から始まったのかを整理します。
展開・実行されたファイル
ZIP内部のファイル名、ハッシュ、保存場所、実行時刻などを調べます。
実行後に起動したプロセス
EDRやWindowsの記録から、ZIP内ファイルを起点にPowerShell、cmd、wscript、rundll32などが起動していないかを確認します。
外部通信・追加マルウェア取得の痕跡
Proxy、DNS、Firewall、EDRなどのログから、不審なドメインやIPへの通信、追加ペイロードのダウンロードなどを確認します。
認証情報・機密情報流出の可能性
インフォスティーラーなどが実行されていた場合は、ブラウザの保存済みパスワード、Cookie、メール、SaaS、VPNなどの認証情報が影響していないか確認します。
ZIPマルウェア感染をフォレンジック調査会社に相談する
怪しいZIPを受信しただけ、あるいは展開しただけで内部ファイルを実行していない場合は、必ずしも専門調査まで必要とは限りません。
一方、ZIP内の.exe、.lnk、.jsなどを実行した、マクロを有効化した、PowerShellが起動した、不審な外部通信やアカウントの異常が発生している場合は、マルウェア感染を前提に詳しい調査が必要です。
端末を初期化したり、元のZIPやメールを削除したりすると、感染経路や実行内容、情報流出の有無を確認する証拠が失われる恐れがあります。感染が疑われる場合は、端末を隔離し、証拠を残した状態でフォレンジック調査会社への相談を検討してください。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
ZIPファイルそのものはマルウェアではありませんが、実行ファイル、スクリプト、ショートカット、マクロ付き文書などを隠して配布するために悪用されることがあります。特に、請求書・見積書などを装ったメール添付や、パスワード付きZIPには注意が必要です。
受信したZIPを確認する場合は、送信者を別経路で確認し、ファイル名拡張子を表示し、内部に.exe、.js、.vbs、.lnkなどが含まれていないか確認してください。パスワード付きだから安全と判断せず、必要に応じて隔離された環境やサンドボックスで確認します。
また、ZIP内のファイルを実行した、マクロを有効化した、PowerShellが起動したなどの操作を行った場合は、端末をネットワークから隔離し、元メール・ZIP・展開ファイル・EDRログを保全してください。感染経路や情報流出の有無が分からない場合は、証拠を削除する前にフォレンジック調査で被害範囲を確認することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
