2023年3月14日情報セキュリティ

2022年11月に活動を再開したEmotetの脅威と対策を解説

昨今、サイバーセキュリティの脅威となっているマルウェアの一種が、Emotet（エモテット）です。一度Emotetに感染してしまうと、情報窃取（端末情報、ソフトウェア情報、メールの送受信等）されるだけでなく、社内の他の端末への感染やスパムメールの送信、他のマルウェアにも感染してしまうなどといった二次被害が大きいため、企業は感染防止策を講じる必要があります。そこで本記事では、Emotetの動向や実際の感染事例、そして対策方法について解説します。

Emotetとは

Emotetは、悪意ある攻撃者が実物の人物を装って不正なメールを送信し、そのファイルを開いてしまうと感染するサイバー攻撃。主に情報窃取や他のウイルスへの媒介を目的としています。

世界でEmotetが初めて確認されたのは2014年。国内では2019年9月頃から攻撃が急増し、11月にメディアが広く報じたことで、知れ渡ることとなりました。

Emotetの手口

Emotetは登場した当初、アカウントIDやパスワードといった認証情報の情報窃取を目的に攻撃が行われていましたが、「ばらまき型メール」による攻撃が拡散されるようになり、多くの法人で感染が報告されています。

ばらまき型メールの手口には、件名・本文が正規のメールを装ったものや業務に関係しそうな内容を装ったもの、またメール受信者の興味・関心を惹く題材を悪用したものなどが確認されています。

他にも、マクロ付きOfficeファイル（Word、Excel、PowerPoint）を添付するもの（クリックするとマクロ付きファイルがダウンロードされ感染する）やメール本文中に不正なURLリンクを記載するものもあります。

Emotetの最近の動向

2020年、Emotetの流行を受け、IPA（独立行政法人情報処理推進機構）の「情報セキュリティ白書2020」においてEmotetの詳細が公開されました。

2021年1月には欧州刑事警察機構（Europol）による大規模な対策が講じられ、Emotetの沈静化が見られましたが、2021年11月以降に再び攻撃が確認されています。

国内では、2022年3月に入りEmotetの感染が急増していましたが、その後7月中旬より一時沈静化。しかし、2022年11月に再び感染確認があったことから、JPCERTコーディネーションセンター（JPCERT/CC）が「Emotetの感染再拡大に関する注意喚起」を行うなど、Emotetの脅威は現在も継続しています。

参考：JPCERTコーディネーションセンター（JPCERT/CC）「マルウェアEmotetの感染再拡大に関する注意喚起」

Emotet（エモテット）に感染すると起こる被害

他のマルウェアにも感染する

Emotetに侵入を許すと、他のマルウェアが次々とダウンロードされて被害が拡大する可能性があります。ダウンロードされたマルウェアの中には、ファイルとしては保存されずデバイスのメモリ上だけで動作するものなど、利用者やシステム管理者にも解析されにくい工夫がされているものもあります。

重要な情報を窃取される

情報を窃取するモジュールもダウンロードされるため、アカウント情報や認証情報、ネットワーク内にある機密情報も含めて外部へ流出し、悪用される恐れがあります。

Emotetに感染して情報の窃取などの不正行為が行われたあと、ダウンロードされたランサムウェアによってデータが暗号化され、デバイスが使用不可になるケースもあります。

最悪の場合、どんな情報が盗まれたのか、何が原因だったのかを調査することができなくなります。

社内のほかの端末にEmotet（エモテット）が伝染する

Emoetは一度侵入するとセキュリティの隙間を探し、ネットワーク内のほかの端末への侵入を行います。Emotetは、端末に潜伏して活動を行いながらも頻繁にアップデートが行われていることも確認されています。組織内で感染が拡大し、さらに頻繁に行われるアップデートによって対策が遅れる恐れもあります。

社外へのEmotet（エモテット）ばらまきの踏み台にされる

窃取された認証情報が悪用され、メールの送受信履歴がある宛先へ、正規のメールを装ってEmotetのばらまき攻撃が行われることもあります。万が一、顧客へばらまき攻撃されることがあれば、注意喚起だけでなく補償の対応などが必要になる可能性もあります。

Emotetによる感染事例

ここでは、実際にEmotet感染を公表した2つの会社の事例をご紹介します。

株式会社NTTデータ関西

2022年7月、株式会社NTTデータ関西は同社が自治体向けに提供している電子申請サービスのヘルプデスク業務に使用しているパソコンがEmotetに感染し、サービス利用者のメールアドレス計2,312件が流出した可能性があることを明らかにしました。2022年5月に担当者が申請者を装った不審メールの添付ファイルを実行したことで感染しましたが、ウイルス対策ソフトで検知されなかったため、見落とされてしまったということです。その後、不審メールの申告があったことから、同社はアンチウイルスソフトによるマルウェアの無害化とフォレンジック調査を実施しています。

厚岸漁業協同組合

2022年8月、漁業組合が運営する直販店のネットショップ専用パソコンがEmotetに感染し、約5万件のメールアドレスが外部流出した可能性があると明らかにしました。

2022年6月14日、直販店ユーザーから「不審なメールが届いている」と連絡を受けたことから、調査のために組合内の全端末にウイルススキャンを実施したところ、感染の疑いのある端末が見つかりました。その後、感染が疑われる端末を隔離し、初期化のうえでログ調査を実施したところ、ログからも感染の疑いがある事実が判明しており、該当端末からメール情報が抜き出された可能性があると判断しました。

なお、組合は今後の対策として、ファイアウォールのセキュリティ機能（不審なファイルを独立した仮想空間内で確認できるサンドボックス機能の追加など）を実施すると発表しました。

参考：CyberSecurity.com 個人情報漏洩事件・被害事例一覧