Emotet（エモテット）の手口と、訓練での備え方

Emotet（エモテット）とは

Emotet（エモテット）は、メールをきっかけに感染を広げるウイルス（マルウェア）です。IPAは、メールアカウントやメールデータなどの情報を盗むことに加え、ほかのウイルスに二次感染させるために悪用されるウイルスだと説明しています。

特に注意が必要なのが、正規のメールへの返信を装う手口です。IPAによると、攻撃メールには、受信者が過去にやり取りした実在の相手の氏名やメールアドレス、メールの内容の一部が使われます。件名も過去のメールのものが流用され、自分が送ったメールに相手が返信してきたように見えます。

感染した端末から盗まれたメールの文面やアドレスは、その後の攻撃に悪用されると考えられています。JPCERT/CCは、自社の社員になりすましたメールが送られていても、その社員の端末が感染しているとは限らず、過去にやり取りした取引先の端末が感染している可能性もあると説明しています。

感染のきっかけになるファイル

IPAが多く確認しているのは、悪意のあるマクロ（自動で動く小さなプログラム）が埋め込まれたWordやExcelのファイルです。ファイルを開くと「内容を見るには特定の操作が必要」という主旨の偽の指示が表示され、それに従ってマクロを有効にしてしまうと感染します。

IPAは、攻撃に使われたファイルの形式として、Word、Excel、OneNote、ショートカットファイル、ZIPファイル、PDF、アプリのインストーラーなどを挙げています。JPCERT/CCも、パスワード付きZIPファイルでの添付や、メール本文のリンクからファイルをダウンロードさせる方法を確認しています。

被害の例

IPAの「これまでの攻撃活動状況」には、2019年12月以降の情報が掲載されています。IPAによると、2021年1月27日に欧州刑事警察機構（EUROPOL）が各国の法執行機関などと協力してEmotetの攻撃基盤を停止させた（テイクダウン）と発表し、一時は攻撃や被害が停止または大幅に減少しました。しかしその後も、2021年11月、2022年11月、2023年3月に、攻撃活動の再開についての情報が掲載されています。

• 2022年の感染拡大：IPAの情報セキュリティ安心相談窓口には、2022年3月1日〜8日に323件の相談が寄せられ、前月の同じ時期のおよそ7倍でした。JPCERT/CCも、2022年2月の第1週から感染が急速に拡大していることを確認したと注意喚起しています
• 日本語の攻撃メール：2022年3月には、請求書に関する具体的な指示が自然な日本語で書かれた攻撃メールが確認されています（IPA）
• 手口の変化：2023年3月には、ZIPファイルを展開すると500MBを超えるファイルが出てくるものや、OneNote形式のファイルを使うものが観測されています（JPCERT/CC）

JPCERT/CCは、感染によってメールが送られるケースを、次のようなパターンに分けて説明しています。

• 自社が感染し、盗まれた情報を使って、自社になりすましたメールが取引先などに送られる
• 取引先が感染し、その端末から盗まれた情報を使って、自社の社員になりすましたメールが送られる
• 自社のメールサーバーなどが悪用され、届かなかったメールの通知（バウンスメール）を大量に受け取る

つまり、自社の社員が攻撃メールを開かなくても、取引先の感染によって自社の名前が使われることがあります。取引先から「御社から不審なメールが届いた」と連絡を受けたときに、慌てずに状況を確かめられるよう、連絡を受ける窓口と確認の手順も決めておきましょう。

訓練での再現のしかた

Emotetへの備えとして訓練を行うときは、「本物らしい返信メール」と「開いたあとの偽の指示」の2つを意識します。ただし、訓練で使うメールや添付ファイルは、実際に動くマクロやプログラムを含まない、安全なものにしてください。

件名と本文の要素

• 件名：過去のやり取りへの返信に見える型（「Re:」で始まる、業務の件名を引用する）
• 本文：取引先を名乗り、請求書や資料の確認を求める短い文。過去のメールを引用したように見せる
• 添付またはリンク：「ファイルを確認してください」と開封を促す

文面の型の考え方は「訓練メールの文例・件名の作り方」も参考にしてください。

訓練で身につけたい行動

IPAの対策をもとに、次の行動を訓練の目標にします。

• 知っている相手からのメールや、自分が送ったメールへの返信に見えても、身に覚えのない内容なら添付ファイルやリンクを開かない
• メールや添付ファイルに書かれた指示に従わない
• 「マクロを有効にする」「コンテンツの有効化」のボタンを押さない
• 不審なメールを受け取った、開いてしまったときは、すぐに担当部署へ報告する

JPCERT/CCは、信頼できると判断できない限り、添付ファイルやリンクを開かず、確実な方法で送信元に確認するよう呼びかけています。訓練後の教育では、電話など別の方法で相手に確かめる手順もあわせて伝えましょう。報告を増やす工夫は「不審メールの報告が上がらない組織の対策」で解説しています。

選ぶときに見る点

Emotetを想定した訓練をしたい場合は、次の点を確認してサービスを選びます。

• 添付ファイル型の訓練ができるか：リンクだけでなく、安全なダミーの添付ファイルを開いたかどうかを記録できるか
• 開いたあとの画面：偽の指示に気づかせる説明や、教育の画面を表示できるか
• 返信を装う文面：「Re:」で始まる件名や、業務のやり取りに近い文例を選べるか、自社で作れるか
• 報告の集計：不審なメールを報告した人を記録・集計できるか
• 訓練後の教育：マクロの警告や偽の指示について学べる教材があるか

各サービスの対応状況は比較表で確認できます。

まとめ

• Emotetは、正規のメールへの返信を装う攻撃メールで感染を広げるウイルスで、盗まれたメールが次の攻撃に使われます
• IPAとJPCERT/CCは、2022年の感染拡大や、ファイル形式を変えながら続いた手口の変化を報告しています
• 訓練では、安全なダミーのファイルを使い、「身に覚えのない返信を開かない」「偽の指示に従わない」「すぐ報告する」を身につけます
• サービスは、添付ファイル型の訓練、開いたあとの教育画面、報告の集計ができるかで比べましょう