ひとことで言うと
実在の取引相手を装ったメールで広がるマルウェア
01エモテットのしくみ
エモテット（Emotet）は、メールで広がるマルウェアです。感染したパソコンからメールの文面やアドレス帳、担当者の名前を盗み、それを使って「本物の取引相手からの返信」に見えるメールを作ります。JPCERT/CCによると、取引先が感染し、そこで盗まれた情報で自社の名前をかたられることもあります。
届き方は時期によって変わってきました。JPCERT/CCがまとめた主なものは次のとおりです。
- マクロ付きのWord・Excelファイルを添付し、開いたあとにマクロを有効にさせる（パスワード付きZIPで送られることもある）
- 本文のリンクから、悪意のあるWord・Excelファイルを落とさせる
- ショートカットファイル（LNK）を添付する（2022年4月ごろから）
- OneNote形式のファイルを添付する（2023年3月）
- 500MBを超えるファイルをZIPに入れ、検査をすり抜けようとする（2023年3月）
02よくある被害の例
- 「先日の件です」という件名で、実際にやり取りした文面を引用したメールが届き、添付を開いて感染する。
- 感染後、自社の社員の名前で取引先へ不審なメールが送られ、取引先から問い合わせが来て初めて気づく。
- 自社のメールサーバーが感染メールの送信に使われ、あて先不明で戻ってきたメールが大量に届く。
03防ぐには
- 知っている相手からでも、予期しない添付ファイルやリンクは開きません。気になるときは電話など別の手段で確かめます。
- 「マクロを有効にする」「コンテンツの有効化」を押しません。
- 自社の社員を名乗る不審なメールが届いたら、社内で共有し、感染していないか調べます。
- 考え方は標的型攻撃への備えと同じです。社員への訓練はメールセキュリティ・訓練で探せます。
04被害にあったら
- JPCERT/CCが出している確認ツール「EmoCheck」の最新版で、感染しているか調べます。怪しいメールを開いたパソコンで、開いたときと同じアカウントでログインして使います。最新版でも見つけられない場合があるとされています。
- 感染していたら、そのパソコンをネットワークから外し、メールのパスワードを変えます。
- なりすましメールが送られていれば、取引先に知らせて、開かないよう伝えます。
- 自社で対応しきれないときは、JPCERT/CCの対応依頼フォームから相談できます。