総合研究部 研究員　吉田　基

Emotetへの対応について

１．はじめに

2月の初旬より、Emotet（エモテット）への感染を狙う不審なメールが送信されるという事案が散見されます。また、企業によるEmotetに感染した旨のプレスリリースが、執筆時点（3月7日）においても多数確認されています（筆者が2月以降に確認する限りで、プレスリリース上、Emotetと明確に言及したものを75件確認しています。）。Emotetへの感染が目立っている状態で、Japan Computer Emergency Response Team Coordination Center (JPCERT/CC)より、「2022年3月に入り、Emotetに感染しメール送信に悪用される可能性のある.jpメールアドレス数が2020年の感染ピーク時の約5倍以上に急増しています」（マルウェアEmotetの感染再拡大に関する注意喚起）と注意喚起を公表されています。本稿では、Emotetへの対応について、見ていきます。

２．Emotetについて

Emotetとは、不正なメールにファイルが添付され送信され、同ファイルをデバイス上で開くと感染するウイルスです。そして、上述の通り、Emotetへの感染を狙う攻撃メールが広く送信されています。この攻撃メールの特徴として、受信者が過去にメールのやり取りをしたことがある、相手方の氏名、メールアドレス等が使用され、あたかも正規のメールになりすましているものや業務上開封してしまいそうな文面となっています。

システムやセキュリティソフトでの対策が回避されてしまうため、攻撃メール受信者一人ひとりが、注意をする、安易にメールを開かない等が対策として提唱されています。そのため、受信者が「不審なメール」かどうかを見分けることが求められますので、どのようなメールが攻撃に用いられているのかを知っておくことは重要となります。以下、既に確認されているものを列挙しておきます（メールのイラストイメージは、IPA等で公表されていますので、そちらをご確認ください。）。

ちなみに、4つ目のパターンについては、英語圏内で用いられていた手法で、2022年3月に入って日本でも利用され始めたもの（日本語対応された）といわれています。したがって、最近のEmotetへの感染を狙うメールは、日本を狙っているものと予測されます。また、2月中旬のなりすましメールは、過去のやり取りが引用されたり、メールの差出人が実在する人を使用されていた等でしたが、3月に入ってから会社HPに掲載されている会社ロゴ画像や署名が用いられています。このように、短期間で攻撃する側も手法を変えて、より一層、受信者を偽ろうとしていることがうかがえます。

３．感染してしまった場合

(1)感染拡大防止措置

仮に「Emotet」に感染した場合には、同端末をネットワークから遮断し、続けて他のマルウェアに感染していないかを調査する必要があります（海外では、標的型ランサムウェアの感染が確認された事例もあります。）。調査には専門知識が必要となるので、専門のセキュリティーベンダーに依頼しなくてはなりません。また、「Emotet」はメール経由で感染を拡大させていくため、感染したアカウントにつきメールアドレスやパスワードの変更を行っておくべきです（警察庁 Emotet(エモテット)感染を疑ったら 参考）。

もっとも、感染したアカウントに対して、対策を施しても、既にメールでのやり取りの内容やメールアドレス等が盗まれている状態です。また、マルウェアが添付されたなりすましメールは、不特定多数のメールアカウント（攻撃インフラ）から送信されているため、メールの送信自体は止めることはできません。したがって、警察庁が公表する「Emotet(エモテット)感染を疑ったら」においても、言及されている通り、感染拡大の防止に向けて不審なメールが送信されている取引先等に向けた注意喚起を行うことが必要となります。

(2)受け入れ体制の整備

既に、不審なメールが送られてしまい受信者より問い合わせがなされているため、早急に注意喚起を行うことが前提となります。そうであっても、いつ注意喚起を行うかの検討が必要となります。実務的な話をしておきますと、不審なメールが誰に送信されているのか厳密には確定できず反響率の予測が難しいため、どれくらいの規模で体制を整備すべきかが難しいのが現状です。また、相応程度の受け入れ体制を整えるとしても時間的制約でハードルが高いことが現状です。早急に注意喚起を行わなければならないのは、当然のことですが、受け入れ体制を整えない（不十分）まま公表を行い、問合せを受けきれないとなると、かえって、信用を低下させてしまう可能性があるためです。したがって、注意喚起を行うとしても、早急にとはいえど、受け入れるだけの体制を整備したタイミングとなるものと思われます。

(3)コールセンターの設置

受け入れ体制として、情報漏えいインシデントにおいて、コールセンター事業者の利用を検討するケースが多数あります。筆者のこれまでの情報漏えい対応の経験でもコールセンター事業者を利用・協力をお願いしましたが、情報漏えいの問い合わせにも慣れており、かつ、非常に丁寧に問合せに対応していただいている印象です。また、通常、情報漏えいという有事対応に、一般企業は慣れていないので、事案対応に慣れたコールセンター事業者にお願いすることは極めて有用と思っています。

もっとも、コールセンター開設に複数日程を要してしまう一方で、問合せ自体は、不審なメールが送信された（受信した）後、数日に集中するので、コールセンターを開設した時点では、問合せ数は少なく、自社のみでの対応が可能といった事態になることも予測されます。したがって、コールセンターの設置をするにしても、日数との兼ね合いで、どの程度の効果が期待できるのかは見極めが必要となってきます。

４．公表文

初動として注意喚起を行った後、調査を行い原因究明等の事実確認を行います。もちろん、自社で専門的な調査が可能であれば問題ありませんが、第三者の専門機関等によるフォレンジング調査を行うケースがあります。また、ステークホルダーから信用の回復の観点や安全性を担保する趣旨から、第三者調査を経ておくことが推奨されます。加えて、実務的な話でいくと、「第三者の調査をして安全性を確認しないと信用できない」といったご指摘を受けることがあります。自社あるいは第三者の調査の結果を経て最終の公表を行っていくこととなります。各企業、公表を行っており、確認していますが、様々で参考になるものも多かったのですが、以下、サンプルを掲載しておきますので、ご活用ください。

初動対応 注意喚起（HP掲載）

最終報告 調査完了後（HP掲載）

５．最後に

本稿では、最近、注目を集めるEmotetについて簡単に見た後、初動対応・注意喚起・公表文について言及してきました。実際の対応では、個別具体的事情を念頭に細かい部分で検討やステークホルダーとの調整が必要となります。2021年7月のコラムでも述べた通り、情報漏えい対応は、最終目的である情報主体への謝罪と説明というゴールから逆算して、今、誰との関係（ステークホルダーは誰か）で、何をすべきかを検討していけば、十分に対応し得るものです。

また、攻撃する側が圧倒的に有利であり、その手法も高度であることに鑑みて、情報漏えいは起きることを前提として、平時より、備えておくことが肝要で、マニュアルを整備したり、他社の漏洩事例を参考に検討をしておくこと、CSIRTにおいて、攻撃者による事業への影響分析や事業計画の策定などリスクヘッジをしておく必要があります。

最近の個人情報漏えい事故（2022年1月、2月）

下記の表は、2022年1月と2月に発生した情報漏えい事故やトラブル一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

今回、取りあげておきたいのは、No.40と41です。No.40は決済代行会社での情報漏えいで、No.41は関連会社におけるランサムウェアへの感染となります。事案の性質は異なるところ、いずれの事案も漏洩元における事象に留まらず、関連会社にまで影響していることです。いずれも関連会社において、クレジットカードによる決済を停止したり、国内の工場の稼働を停止しています。これを、影響を受けた側（今回でいう加盟店や自動車メーカー）から見たとき、第三者における情報を利用・保管するリスク（サードパーティーリスク）が現実に発生したものといえます。ちなみに、No.40は決済代行会社での情報漏えいでは、各種調査、再発防止等、発生が見込まれる費用として、その他費用に168 百万円が計上されており、インシデントとしての影響・規模の大きさがうかがえます。

サードパーティーリスクは管理していくべきこととなりますが、一般論として、取引先数は相当数となる（情報の利用や管理を委託する企業に限定すれば数は限られますが・・・。）考慮することとなり、当然、サードパーティが重要な役割を担い、依存してしまう場合には管理水準が適切であるのか、ビジネスパートナーとしてふさわしいのかも検討の上、評価しなくてはなりません。

その上で、サードパーティに対して、セキュリティの水準の向上や情報管理体制の整備などを求めていくこととなります。もっとも、過度な負担を強いるような要求やサードパーティに丸投げを行ってはならず、双方で必要なセキュリティ水準に関して認識を一致させておくことが望ましいです。すなわち、委託元単体あるいは委託先単体でセキュリティ体制を構築するのではなく、サプライチェーン全体で構築していくことが望まれます。

セミナーや研修について

当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。

セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

セミナー・研修系サービスの紹介

SPリスク・ラーニング

新型コロナウイルスの影響により、多くの企業で在宅勤務を前提にしたWeb研修や会議が行われている状況を受け、「コンプライアンス」「ハラスメント」「クレーム対応」「情報セキュリティ」「防災・BCP」など、新入社員から入社2～3年目の若手社員に必須の危機管理に関する知識を詰め込んだ9種類の研修用動画を提供しています。

危機管理会社の新入社員・若手社員研修

社会人に求められる常識や、業務の習得に必要な視点・モチベーション、仕事場におけるコミュニケーションスキル等を「リスクマネジメント」の観点から学び、企業と新入社員本人の双方からのアプローチで、早期離職や問題社員化等の「人財ロス」低減を目指します。数々のリスク対応で培った、危機管理会社ならではのオリジナルメニューで、他社ではできない領域の研修が可能です。理論と実践が結びついた早期の危機管理教育が、「人財」を育てます。