Emotet（エモテット）対策とは？現在のメール攻撃の手口と企業が取るべき対策を解説

初回公開日：2022年6月27日

Emotet（エモテット）は、企業や組織を狙った標的型攻撃メールを通じて拡散し、大きな被害をもたらしたマルウェアとして知られています。一時は国内外で感染が急拡大し、多くの企業が注意喚起を行いました。

現在はEmotetそのものの活動は落ち着いている一方で、Emotetで広まった手口は現在のメール攻撃にも広く利用されています。なりすましメールや添付ファイル、クラウドストレージへの誘導など、攻撃手法は形を変えながら継続しています。

そのため、企業には「Emotetだけを防ぐ対策」ではなく、現在のメール攻撃全体を見据えた多層的なサイバーセキュリティ対策が求められています。本記事では、Emotetの特徴や主な感染手口に加え、現在のメール攻撃の特徴や、企業が実施すべき対策について解説します。

１：Emotet（エモテット）とは

Emotet（エモテット）は、主にメールを通じて感染を広げるマルウェアの一種です。
特に企業を狙った標的型攻撃メールに悪用され、国内では2019年頃から被害が急増しました。
実在する企業や取引先を装ったメールを悪用する点が特徴で、国内外で大規模な被害を引き起こしています。

標的型攻撃メールが「攻撃手法」を指すのに対し、Emotetはその手法によって送り込まれる「マルウェア」を指します。

感染後は、社内ネットワークへの侵入、認証情報や業務データの窃取、他のマルウェアの感染拡大などに悪用されるケースも確認されています。Emotet自体の活動は以前より落ち着いているものの、OneNote添付やHTMLファイル、LNKファイルを悪用するなど、類似したメール攻撃の手口は現在も継続しており、企業にとって依然として重要な脅威となっています。

特に、Emotetはランサムウェア攻撃の初期侵入に悪用されるケースも確認されており、企業では個人情報の流出や情報漏洩など、深刻な被害をもたらす要因となっています。

Emotetで広まった攻撃手法は現在のメール攻撃にも広く利用されています。そのため、手口を理解することは、現在の標的型攻撃メールやマルウェア対策を考えるうえでも重要です。

２：Emotetの主な感染経路と手口

Emotetでは、受信者に不審さを感じさせない巧妙なメール攻撃が多く利用されました。
こうした手法は現在の標的型攻撃メールにも引き継がれており、企業では継続的な注意が必要です。

なりすましメール

Emotetでは、実在する企業や取引先、配送会社などを装った「なりすましメール」を介して感染する被害が相次ぎました。件名や本文には、請求書、発注確認、配送通知など、業務に関連する内容が使われることが多く、受信者が警戒しにくい点が特徴です。また、社内の担当者や過去のメール履歴を装うケースもあり、通常の業務メールとの見分けが難しくなっています。

スレッドハイジャック

スレッドハイジャックとは、過去の実際のメールのやり取りを悪用し、その返信を装って攻撃メールを送信する手法です。
攻撃者は盗み出したメール情報を利用し、実際の件名や本文の流れを引用した状態でメールを送信するため、受信者が不審に感じにくい傾向があります。取引先や社内担当者との正規のやり取りに見えることから、添付ファイルやURLを開いてしまうリスクが高まります。

添付ファイル型（Office文書・圧縮ファイル・OneNoteなど）

メールに添付されたファイルを開かせることで、マルウェア感染を狙う手口です。
添付ファイルにはZIP形式などの圧縮ファイルや、WordやExcelなどのOffice文書、PDFなど、業務で日常的に利用される形式が使われることが多く、受信者に不自然さを感じさせません。
また、OneNoteファイルやHTMLファイルなど、新たな形式を悪用する攻撃も確認されています。

URLリンク誘導型（HTML・LNKファイルなど）

メール本文に記載されたURLにアクセスさせ、マルウェア感染や認証情報の窃取を狙う手口です。リンク先には、クラウドストレージを装ったダウンロードページや、実在するサービスを模倣した偽のログイン画面などが利用されるケースがあります。

偽サイト上でメールアドレスやパスワードを入力させることで、認証情報が外部へ送信される被害も報告されています。
また、HTML形式のメールやショートカットファイル（LNK）を悪用し、正規サイトに見せかけて不正なサイトへ誘導する手口も確認されており、見た目だけで安全性を判断することは困難です。

Emotetで使われた手口は、現在の標的型攻撃メールでも広く利用されています。標的型攻撃メールの特徴や見分け方、企業が実施すべき対策について詳しく知りたい方は、次の記事もご覧ください。
おすすめ
【コラム】標的型攻撃メール対策とは？手口・特徴・具体的な対策を解説

３：現在のメール攻撃はどう変化している？

メールを利用したサイバー攻撃は、Emotetの流行以降も形を変えながら継続しています。従来のマクロ付きOffice文書だけでなく、HTMLファイルやLNKファイル、クラウドストレージを悪用した誘導など、多様な手口が確認されています。さらに2025年以降は、生成AIを利用した自然な文章によるなりすましや、QRコードを悪用した攻撃（Quishing）など、従来よりも不審さを感じにくい手法も増えています。

OneNoteファイルを悪用した攻撃

OneNoteファイルを悪用した攻撃も確認されています。

攻撃者はメールにOneNoteファイルを添付し、「請求書」「見積書」など業務に関連する内容を装って送信します。ファイル内のボタンや画像をクリックすると、不正なプログラムが実行され、感染につながる仕組みです。

従来のOfficeマクロ規制を回避する目的で利用されるケースもあり、新たな攻撃手法として注意が必要です。

HTML添付ファイルによる認証情報の窃取

HTMLファイルを添付し、偽のログイン画面へ誘導する手口も増えています。

受信者がHTMLファイルを開くと、ブラウザ上にMicrosoft 365やクラウドサービスを装ったログイン画面が表示され、IDやパスワードの入力を促されます。入力された認証情報は攻撃者へ送信され、不正アクセスに悪用される可能性があります。
HTMLファイルは一般的なWebページ形式であるため、不審な実行ファイルに比べて警戒されにくい点が特徴です。

ショートカットファイル（LNK）の悪用

ショートカットファイル（LNK）を利用した攻撃も増加しています。
LNKファイルは本来、アプリケーションやファイルへのリンクとして利用されますが、攻撃者はこれを悪用し、不正なコマンドを実行させるケースがあります。
特に、圧縮ファイル内にLNKファイルを格納し、PDFや文書ファイルのアイコンに偽装する手法が確認されています。受信者が誤って開くことで、バックグラウンドで不正な処理が実行される可能性があります。

クラウドストレージを悪用した誘導

現在のメール攻撃では、クラウドストレージサービスを悪用するケースも増えています。メール本文に共有リンクを記載し、クラウドストレージ上のファイルへ誘導することで、メールセキュリティ対策を回避しようとする手口です。リンク先では、不正なファイルのダウンロードや偽ログイン画面への誘導が行われる場合があります。

クラウドサービスは業務で日常的に利用されるため、受信者が不自然さを感じにくい点に注意が必要です。

生成AIやQRコードを悪用した新たなメール攻撃

2025年以降では生成AIを利用して自然な文章を作成し、実在する企業や担当者になりすますメール攻撃も増えています。従来の不自然な日本語とは異なり、業務連絡に見える自然な文面が使われることで、受信者が不審さを感じにくくなっています。

また、メール本文にQRコードを掲載し、スマートフォンから偽サイトへ誘導する「Quishing（クイッシング）」と呼ばれる手口も確認されています。
QRコードはURLが直接見えにくいため、リンク先の危険性を判断しづらい点が特徴です。

このように現在のメール攻撃は、単純なマルウェア感染だけでなく、認証情報の窃取や複数の手口を組み合わせた誘導を目的とするケースが増えており、企業には多層的な対策が求められています。

４：Emotetから学ぶ企業のメール攻撃対策

現在のメール攻撃は、単一のセキュリティ対策だけで完全に防ぐことが難しくなっています。Emotetで広まった攻撃手法も形を変えながら継続しており、企業には「侵入される可能性」を前提とした継続的な対策や運用が求められています。

ここでは、Emotetをはじめとする現在のメール攻撃を踏まえ、企業が実施したい主な対策を紹介します。

メール訓練・セキュリティ教育

メール攻撃対策では、従業員一人ひとりのセキュリティ意識向上が重要です。

標的型攻撃メールは、実在する企業や取引先を装うなど巧妙化しており、見た目だけで判別することが難しくなっています。そのため、不審メールの特徴や確認ポイントを理解するためのセキュリティ教育が必要です。特に、添付ファイルを開く前のチェック方法や、リンク先を安易に閲覧しない意識づけが重要になります。

また、疑似攻撃メールを利用した訓練を実施することで、実際の業務環境に近い形で対応力を高めることができます。

IPA（情報処理推進機構）でも、標的型攻撃メール訓練や情報セキュリティ教育の重要性について注意喚起が行われています。

参考：IPA「Emotet（エモテット）攻撃の手口」

EDR／NGAVによる多層防御

万が一、メール攻撃をきっかけにマルウェア感染が発生した場合でも、被害を最小限に抑えるためには多層的な防御が重要です。

NGAV（次世代アンチウイルス）は、AI・機械学習や振る舞い検知などの技術で既知・未知の脅威を検知する役割を担います。
一方、EDRは端末内の不審な挙動を監視し、侵入後の調査や対応を支援します。

現在のメール攻撃では、従来型のアンチウイルス（パターンマッチング方式）を回避する手法も増えているため、侵入後の挙動検知を含めた対策が求められています。

多要素認証（MFA）の導入

認証情報の窃取対策として、多要素認証（MFA）の導入も重要です。

メール攻撃では、偽ログイン画面へ誘導し、IDやパスワードを盗み取る手口が増えています。万が一、認証情報が漏えいした場合でも、MFAを導入していれば、不正ログインのリスクを低減できます。

特に、クラウドサービスやVPN、リモートアクセス環境では、多要素認証の導入が重要な対策の一つとなります。

OS・ソフトウェアの更新管理

OSやソフトウェアを最新状態に保つことも重要です。
攻撃者は、脆弱性が修正されていないソフトウェアを悪用して侵入や感染拡大を狙います。メール攻撃をきっかけに侵入された後、古いソフトウェアの脆弱性を悪用されるケースも少なくありません。

そのため、Windowsや各種アプリケーションの更新状況を継続的に管理し、セキュリティパッチを適用することが重要です。また、企業内にどのような端末やソフトウェアが存在しているかを把握し、管理対象を継続的に把握・整理することも重要です。使用していないソフトや古い製品を放置しないことも、脆弱性悪用の防止につながります。

詳しくはこちら
【ISM CloudOne】端末の脆弱性を自動で診断！

ログ監視による早期検知

メール攻撃では、侵入そのものを完全に防ぐことが難しいケースもあるため、侵入後の不審な挙動を早期に検知する視点が重要です。

たとえば、不審なログイン、異常なPowerShell実行、深夜帯の通信などは、感染や不正アクセスの兆候となる場合があります。こうした異常を把握するためには、端末やサーバーのログ取得・監視が欠かせません。ログ監視は、インシデント発生時の調査や初動対応にも役立ちます。

ログを継続的に監視・運用することで、被害拡大を防ぎやすくなります。特に、通常とは異なる外部接続や不審なイベントを早期に発見することが重要です。また、EDRなどの監視製品と組み合わせることで、侵入後の異常検知や初動対応を強化できます。

PowerShellの利用監視

PowerShellはWindows環境で広く利用される管理機能ですが、攻撃者に悪用されるケースも多く確認されています。管理用途で日常的に利用されるため、不審な実行であっても気づきにくい点に注意が必要です。

特に、ファイルレス攻撃ではPowerShellが悪用されるケースがあります。通常とは異なるPowerShell実行や、不審なコマンドの利用を監視することで、攻撃の早期発見につながります。

権限管理の見直し

被害拡大を防ぐためには、ユーザー権限の適切な管理も重要です。

管理者権限を持つアカウントが多い環境では、マルウェア感染時に被害が広範囲へ拡大するリスクがあります。そのため、必要最小限の権限のみを付与する「最小権限」の考え方が重要です。また、退職者のアカウントや未使用状態のアカウントの放置もリスクとなるため、定期的なアカウント管理が求められます。

バックアップ対策

メール攻撃では、感染後に業務停止やデータ暗号化などの被害へ発展するケースもあります。そのため、定期的なバックアップ取得も重要です。

万が一感染した場合でも、バックアップが適切に管理されていれば、復旧できる可能性が高まります。ただし、バックアップ先まで暗号化されるケースもあるため、世代管理やオフライン保管を含めた運用（3-2-1ルール）が求められます。

このように、現在のメール攻撃対策では、メールの対策だけでなく、更新管理やログ監視、権限管理などを含めた継続的な運用が重要です。
IT資産管理ツール「ISM CloudOne」では、端末のOSやソフトウェアの更新管理（脆弱性診断機能）に加え、端末にインストールされているソフトウェアの把握も可能です。
更新状況や資産情報を継続的に管理することで、セキュリティリスクの低減につながります。また、ログ取得・管理機能も備えており、不審な操作や異常な挙動の早期発見にも活用できます。

メール攻撃は侵入後に被害が拡大するケースも多いため、端末管理だけでなく、ログ監視を含めた継続的な対策が重要です。

５：EmoCheck終了が示す「対策の変化」

Emotetの流行時には、感染確認を目的とした専用ツール「EmoCheck」が広く利用されました。しかし現在では、メール攻撃そのものが多様化しており、特定のマルウェアだけを想定した対策では十分とは言えない状況になっています。

EmoCheckの配布終了は、現在のセキュリティ対策の考え方を象徴する出来事の一つとも言えます。

EmoCheckとは

EmoCheckは、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が公開していたEmotet感染確認ツールです。

主にWindows端末を対象とした、Emotet感染の有無を簡易的に確認できるツールとして、多くの企業や組織で利用されました。Emotet流行時には、感染確認や初動対応の一環として活用され、国内でも広く知られる存在となりました。

なぜEmoCheckが利用されたのか

Emotetは、標的型攻撃メールを通じて急速に感染を拡大し、多くの企業へ被害をもたらしました。特に、取引先や実際のメール返信を装う「スレッドハイジャック」が大きな問題となり、「自社が感染していないか確認したい」というニーズが高まりました。こうした背景から、専門知識がなくても比較的簡単に感染確認を行えるEmoCheckは、多くの企業で利用されるようになりました。

利用停止の背景

2026年4月、JPCERT/CCは、EmoCheckに脆弱性が確認されたことや、Emotetの脅威が収束したことを受け、EmoCheckの配布終了を公表しました。

出典：JPCERT/CC「EmoCheckの脆弱性およびEmoCheck配布終了のお知らせ」

直接的な理由はツールの脆弱性ですが、その背景には、攻撃が多様化・複雑化している状況もあります。

現在では、認証情報窃取型マルウェアやランサムウェア、ファイルレス攻撃など、多様な脅威が確認されています。そのため、特定のマルウェアのみを検知する対策だけでは、現在の攻撃全体へ十分に対応することが難しくなっています。

特定マルウェア対策から多層防御へ

メール攻撃の手口は、Emotetだけでなく、認証情報窃取型マルウェアやランサムウェア、ファイルを使わずに攻撃を行う「ファイルレス攻撃」などへと多様化が進んでいます。
そのため現在の企業には、「特定のマルウェアを検知する」だけではなく、侵入後の不審な挙動を早期に発見し、被害拡大を防ぐための多層的なセキュリティ対策が求められています。

たとえば、次のような対策を組み合わせることで、単一の対策だけでは防ぎきれない攻撃への対応力を高めることが重要です。

• EDRによる挙動監視
• ログ取得・監視
• 更新管理
• 多要素認証（MFA）
• 権限管理

また、EmoCheckの提供終了は、現在のセキュリティ対策が「特定の脅威への個別対処」から、「継続的な監視と多層防御」を重視する方向へ変化していることを示す一例とも言えるでしょう。

まとめ：Emotet対策は「現在のメール攻撃対策」につながる

Emotet（エモテット）は、標的型攻撃メールを通じて大きな被害をもたらした代表的なマルウェアとして知られています。一時期と比べると活動は落ち着いているものの、Emotetで広まった攻撃手法は現在のメール攻撃にも広く利用されています。

OneNoteファイルやHTML添付、LNKファイルなどの従来型の手口に加え、生成AIを利用した自然な「なりすましメール」や、QRコードを悪用した攻撃（Quishing）なども確認されています。攻撃手法はさらに多様化しており、従来のマクロ対策だけでは十分とは言えず、企業には継続的な対策が求められています。
こうした攻撃に対応するためには、侵入を防ぐ対策だけでなく、侵入後の不審な挙動を早期に検知し、被害拡大を防ぐ視点も重要です。

Emotet対策は、単なる「過去のマルウェア対策」ではなく、現在の脅威を見据えた継続的な監視や侵入後対策へつなげていくことが重要です。

攻撃手法は変化を続けているため、侵入後対策を含めた継続的な見直しが欠かせません。現在の攻撃に対応するためにも、自社の更新管理やログ監視などの対策状況を定期的に確認し、必要に応じてセキュリティソリューションの導入や運用方針の改善を進めていくことが重要です。

「どこまで対策できているかわからない」「対策の抜け漏れが不安」という場合は、チェックリストを活用して現在の対策状況を確認してみましょう。

クオリティソフト株式会社
コラム編集部

企業のIT資産管理とセキュリティを支えるパートナーとして、現場の知見に基づき、情報システム管理者の皆様に役立つ最新情報と課題解決のヒントをお届けします。