Emotet（エモテット）とは？感染の仕組みと攻撃手口、対策まで
メールを開いただけで、取引先に無断で悪意あるメールが送り続けられる。そんな事態が、あなたの会社でも起きうることをご存じでしょうか。
Emotet（エモテット）は、2014年に初めて確認されて以来、繰り返し進化を遂げてきたマルウェアです。
一度は国際捜査当局によって壊滅状態に追い込まれたものの、2021年以降に復活し、日本国内でも多くの企業・組織が被害を受けています。IPA（情報処理推進機構）は、Emotetを「注意喚起レベル：特に重要」と位置づけており、その危険性は依然として高い状態が続いています。
この記事では、Emotetとは何か、なぜこれほど被害が拡大するのか、感染したらどうなるのかを具体的に解説します。攻撃の手口を正確に理解することが、最も有効な防御の第一歩です。
Emotet（エモテット）とは
Emotetは、主に電子メールを感染経路とするマルウェアです。「マルウェア（Malware）」とは「Malicious Software（悪意あるソフトウェア）」の略で、コンピュータやネットワークに害を与えることを目的として作られたプログラムを指します。
Emotetはその中でも特殊な位置づけにあります。単独で完結する攻撃ツールではなく、感染した端末を「踏み台」として使い、さらなる攻撃やほかのマルウェアの配布を行う「プラットフォーム型マルウェア」です。侵入・偵察・支配という3段階のサイバー攻撃の入口として機能することを意味します。
セキュリティ業界では、Emotetは「マルウェア・アズ・ア・サービス（MaaS）」的な性格を持つと評されることがあります。攻撃者がEmotetのインフラを他のサイバー犯罪グループに提供・販売し、そこから展開されるランサムウェア攻撃で収益を上げるというエコシステムが形成されていたことが、各国当局の捜査で明らかになっています。被害が国境を越えて広がりやすかった背景には、この組織化された構造があります。
Emotetはウイルスとどう違うのか
「ウイルス」「マルウェア」「ランサムウェア」似たような言葉が飛び交いますが、それぞれの関係を整理しておきます。
ウイルスはマルウェアの一種です。自己複製してほかのファイルに感染する機能を持つものをウイルスと呼びます。Emotetもウイルスに近い拡散機能を持ちますが、より正確には「トロイの木馬型マルウェア」に分類されます。無害なファイルに見せかけて侵入し、感染後に様々な悪意ある動作を展開するのが特徴です。
ランサムウェアとの違いも押さえておく必要があります。ランサムウェアはデータを暗号化して身代金を要求するマルウェアですが、Emotetはそれを直接実行するわけではありません。ただし、Emotetに感染した端末にランサムウェアを追加インストールする事例が多数確認されており、「Emotet感染 → ランサムウェア展開」という二段階攻撃のルートが確立しています。つまり、EmotetはランサムウェアをD2Bで呼び込む「玄関」的役割を果たすのです。
では、スパイウェアとはどう違うのでしょうか。スパイウェアはユーザーの情報を密かに収集することに特化したマルウェアですが、Emotetは情報窃取だけでなく、感染拡大・他マルウェアの配布・スパム送信という多機能な動作を持ちます。一つの脅威が複数の役割を兼ねているという意味で、Emotetは「マルチロール型マルウェア」と理解するのが最も正確です。
読み方と名前の由来
「Emotet」の読み方は「エモテット」が一般的です。「エモテッド」とも読まれることがあります。名前の語源については公式な記録はありませんが、セキュリティ研究者の間では「Emotion（感情）」と「net（ネット）」を組み合わせた造語ではないかと推測されています。
Emotetの歴史：なぜ今でも警戒が必要なのか
Emotetが初めて確認されたのは2014年で、当初はオンラインバンキングの認証情報を盗むバンキングトロイとして機能していました。その後、2017年頃から大規模な改良が加えられ、感染拡大機能と他マルウェア配布機能を持つ現在の形に進化しています。
2021年1月、欧州刑事警察機構（Europol）・米国FBI・日本の警察庁を含む8カ国の当局が合同オペレーションによってEmotetのインフラを制圧し、活動停止に追い込みました。しかしわずか10ヶ月後の2021年11月には活動を再開。2022年には日本国内で猛威を振るい、IPAへの相談件数が急増しました。
この「壊滅→復活」のサイクルが示すのは、Emotetを支える組織の技術力と持続性の高さです。インフラを奪われてもコードとノウハウが残っている限り再建できる構造になっており、完全な撲滅が困難な理由がここにあります。
Emotetの特徴：なぜ検知が難しいのか
Emotetが他のマルウェアと大きく異なる点は、セキュリティソフトによる検知を意図的に回避する設計になっていることです。通常のウイルス対策ソフトは、既知のマルウェアの「シグネチャ（特徴パターン）」と照合して悪意あるファイルを検出します。ところがEmotetは、このシグネチャ照合に引っかかりにくい構造を持っています。
マルウェア本体が直接端末に入らない
Emotetのメールには、悪意あるコードが直接添付されているわけではありません。メールに添付されるのはWordやExcelなどのOfficeファイルで、そこには「マクロ」と呼ばれる自動処理プログラムが仕込まれています。
ユーザーがファイルを開き、「コンテンツを有効にする」「マクロを有効にする」ボタンをクリックすると、マクロが起動してインターネット上のサーバーからEmotet本体をダウンロードして実行します。つまり、マルウェア本体はユーザー自身の手でダウンロードさせられる仕組みになっているのです。
これが「検知しにくい」最大の理由です。メールに添付されたOfficeファイルそのものは、この時点では悪意あるコードを含んでいないため、メールセキュリティゲートウェイやウイルス対策ソフトによるファイルスキャンを素通りしてしまうことがあります。
さらに、Emotetはポリモーフィック（多態性）の性質を持ちます。配布されるたびにコードの一部が自動で変化するため、以前検出に成功したシグネチャが次の波では通用しないケースがあります。これは「昨日まで有効だったルールが今日は役に立たない」状況を意味し、セキュリティベンダーが常に追いかけ続けなければならない理由の一つです。
Emotetの感染フロー
攻撃メールが届く（添付ファイルまたはURLリンク）
ユーザーがファイルを開き、マクロを有効化する
マクロが外部サーバーと通信し、Emotet本体をダウンロード
Emotetが端末に常駐し、メールアカウントや連絡先情報を窃取
窃取した情報を使って次の攻撃メールを拡散する
同時に、コマンドサーバーからの指示でほかのマルウェアを追加インストール
このフローが恐ろしいのは、ステップ4以降がすべてバックグラウンドで、ユーザーの知らないうちに進行する点です。感染直後は端末の動作に目立った変化がなく、普通に業務ができてしまうため、発覚が遅れます。
OneNoteファイルやショートカットファイルへの進化
Emotetはその都度、主要な防御策をかいくぐる新たな侵入経路を開拓してきました。2022年のMicrosoft社によるOfficeマクロのデフォルトブロック化に対応して、Emotetは配布ファイルの形式を変化させました。
OneNote（.one）形式のファイルや、Windowsショートカット（.lnk）ファイルを悪用した手法が確認されており、マクロを有効にするという操作を必要とせずに悪意あるコードを実行させる新たなルートが生まれています。「Officeのマクロさえ無効にしておけば安全」という認識は、最新の攻撃動向を考えると既に時代遅れになっている可能性があります。
Emotetが悪用するメールの手口
Emotetによる攻撃メールは、一般的な「迷惑メール」とは根本的に異なります。フィッシングメールのような不自然な日本語や見知らぬ送信者から届くものではなく、実際に業務でやり取りしたことのある相手から届く返信メールを偽装しているのです。
メールスレッド乗っ取り攻撃
「返信型メール」「スレッドハイジャック」とも呼ばれるこの手法は、Emotetの最も巧妙な特徴の一つです。
感染した端末にあるメールアカウントや送受信履歴を盗み取ったEmotetは、その情報をもとに過去のメールスレッドに「返信」するように見せかけた攻撃メールを送ります。受信者から見ると、以前から続いていた会話の続きのように見えるため、怪しいと気づきにくいのです。
実際に業務上の信頼関係がある相手から、内容的に自然な文脈で届くメールは、受信者の警戒心を大幅に下げます。「知っている人からのメールだから開いても大丈夫」という判断が、被害の連鎖を生み出す構造です。
受信者がこのメールを開いて感染すれば、今度は受信者側のメール履歴が盗まれ、その取引先や同僚へ同様の攻撃メールが送られます。こうしてEmotetは「信頼の連鎖」を悪用しながら、ネットワーク状に感染を広げていきます。
パスワード付きZIPファイル
メールに添付されたZIPファイルにパスワードをかけて送付するケースも確認されています。本文中にパスワードが記載されており、一見すると「情報漏洩を防ぐための配慮」に見えます。
ところが実際には、パスワードをかけることでセキュリティスキャンを回避するのが目的です。暗号化されたZIPはセキュリティソフトが内部を検査できないため、悪意あるファイルがそのまま届いてしまいます。
日本ではPPAP（パスワード付きZIPファイルをメール添付して送り、パスワードを別メールで送る慣行）が一定期間普及していたことで、パスワード付きZIPへの心理的抵抗が低かったという背景があります。攻撃者はこの慣習を巧みに利用しました。
時事情報を使った偽装
感染拡大の波のたびに、Emotetはその時々のニュースや社会状況を悪用した文面を採用してきました。新型コロナウイルス関連の通知を装ったメール、政府機関からの重要連絡を装ったメールなど、受信者が思わず開封したくなるテーマが選ばれます。人間の好奇心や不安心理を利用するという点で、技術的な対策だけでは防ぎきれない側面があります。
注目すべきは、これらの文面が高い自然言語品質を持つ点です。かつてのフィッシングメールは日本語の誤りや不自然な表現で識別できましたが、Emotetの攻撃メールは実際の業務メールから盗んだ文章を再利用するため、文体や語彙が受信者の業務環境に即しています。AI生成技術の普及もこの傾向を加速させると考えられており、メール文面の「自然さ」だけを根拠に安全と判断するのは危険です。
Emotetに感染したら何が起こるのか
感染後の被害は多岐にわたります。端末の動作が遅くなるといった目に見える変化がなく、しばらく気づかないケースが多い点も特徴的です。
メール情報・認証情報の窃取
Emotetは感染した端末から、メールアドレス・件名・本文などのメール情報、保存されたパスワード、ネットワーク上のアカウント情報などを収集します。窃取された情報はC2サーバー（コマンドアンドコントロールサーバー）に送信され、攻撃者が管理するデータベースに蓄積されます。
ここで注意が必要なのは、窃取される対象が「現在のメール」だけではない点です。Outlookなどのメールクライアントに保存されている過去の送受信履歴・連絡先・添付ファイルも収集対象になります。長期間業務で使用してきたメールアカウントほど、盗まれる情報の価値が高くなります。
組織内でのネットワーク感染拡大
EmotetはWindowsのSMB（Server Message Block）プロトコルや、ブルートフォース攻撃（パスワードの総当たり）を組み合わせて、同じネットワーク内の他の端末に自動的に感染を広げます。一人が感染すると、社内LAN経由で別の端末、さらに別の端末へと連鎖するため、発見が遅れると被害が組織全体に及びます。
感染が特に広がりやすいのは、ネットワーク内に同一パスワードを使い回している端末が複数存在する環境です。一台の端末のパスワードが解析されると、同じパスワードを持つ別の端末にも芋づる式に感染が広がります。セキュリティ基準として「端末ごとに異なるパスワードを使用する」「定期的にパスワードを変更する」が推奨される背景の一つはここにあります。
ほかのマルウェアへの感染
Emotetはボット端末をコントロールするサーバーからの指示で、別のマルウェアをダウンロード・実行します。確認されているものとしては、TrickBotやQakbotなどの情報窃取型マルウェア、そしてランサムウェア（Ryuk、CONTIなど）が挙げられます。
特にランサムウェアとの組み合わせは深刻です。医療機関、地方自治体、製造業など多くのセクターで、Emotet感染を経由したランサムウェア被害が発生しており、業務停止や身代金要求といった深刻な結果につながっています。
重要なのは、Emotetが端末に侵入してからランサムウェアが展開されるまでに一定の潜伏期間が存在することです。この期間中にEmotetは静かに活動範囲を広げ、より多くの端末・より重要なシステムへのアクセス権を確保します。そのうえで、タイミングを見計らってランサムウェアを一斉展開する手法が確認されています。攻撃者にとって被害を最大化するための「仕込み期間」として利用されているのです。
踏み台化によるスパム送信
感染端末は攻撃者のボットネット（不正に制御された端末の集合体）に組み込まれ、大量のスパムメールや攻撃メールの送信元として利用されます。被害者の立場から見ると、自分の組織のメールアドレスから知らないうちに悪意あるメールが送られ続けるという事態に直面することになります。
これは取引先や顧客との信頼関係を損なうだけでなく、送信ドメインのブラックリスト登録、メール配信停止など、業務継続に支障をきたす副次的被害を引き起こします。被害が発覚した後の取引先への謝罪・説明対応、対外的な信頼回復に要するコストは、技術的な復旧コストを上回るケースも少なくありません。
国内での被害事例
Emotetによる被害は、日本国内においても企業規模や業種を問わず発生しています。
IPA（情報処理推進機構）の発表によれば、2022年3月以降に国内での相談件数が急増し、2022年は年間を通じて警戒レベルが引き上げられました。業種別では製造業・医療・行政・教育機関など幅広い分野で被害が報告されています。
具体的な被害の内訳としては、メールアカウント情報の漏洩、取引先への不審メール送信、重要書類・顧客情報の流出、そしてランサムウェアによるデータ暗号化・身代金要求が挙げられます。
病院（大阪府）での事例では、Emotet感染を起点にランサムウェアが展開され、電子カルテシステムが使用不能になりました。救急受け入れの制限を余儀なくされ、通常診療の再開まで数ヶ月を要したとされています。医療機関への攻撃は患者の生命にも関わりうるという点で、サイバー攻撃の社会的影響が広く認識されるきっかけになりました。
製造業での事例としては、大手メーカーのグループ会社がEmotetに感染し、社員や取引先のメールアドレスが外部に流出した事案が確認されています。感染したPCから盗まれたメール情報が、その後も第三者への攻撃メール送信に悪用され続けるという二次被害も報告されています。
通信業においても、大手通信会社の複数拠点のPCがEmotetに感染し、取引先などのメールアドレスが流出した事案が発生しています。このケースで特徴的なのは、感染した社員自身がEmotetメールを送信する「加害者」的立場になっていたことで、被害者でありながら加害者になるという事態が組織の信頼に与えたダメージは無視できません。
Emotetへの対策：今すぐできること
対策は「感染を防ぐ事前対策」と「感染後の初動対応」の二層で考える必要があります。
事前対策
Officeのマクロ設定を見直す
Microsoft 365では、インターネットからダウンロードしたファイルのマクロを既定でブロックする設定が2022年以降のバージョンから標準化されています。ただし、組織によってはグループポリシーで上書きされていたり、旧バージョンのOfficeを使用しているケースもあります。自社の設定を確認し、不要なマクロの自動実行は禁止しておくことが基本です。
ここで注意したいのは、「マクロを無効にするとすべて解決する」という過信は禁物だという点です。前述のとおり、Emotetは既にOneNoteやショートカットファイルを悪用した手法に切り替えており、マクロ対策だけでは不十分な局面が生まれています。
OSとソフトウェアを最新状態に保つ
EmotetはWindowsの既知の脆弱性を利用して感染拡大することがあります。OSのWindows Update、Officeのアップデートを定期的に適用することは、感染経路を塞ぐ有効な手段です。「後でやろう」と先送りにしたアップデートが、感染の隙間を作ります。
組織内で古いWindowsバージョン（Windows 7など）が現役で稼働しているケースは、セキュリティアップデートが提供されない「サポート切れ」状態になっており、特にリスクが高い状態です。棚卸しを行い、段階的な移行計画を立てることを推奨します。
多要素認証（MFA）の導入
メールアカウントのパスワードが窃取された場合でも、多要素認証が有効であれば不正ログインを防ぐことができます。メールアカウントを起点とした被害拡大の防止に直結する施策です。ただし、フィッシング耐性のある認証方式（FIDO2・物理セキュリティキーなど）を選択することで、より堅牢な保護が実現します。
メールセキュリティの強化
添付ファイルのサンドボックス検査（実際に仮想環境でファイルを実行して挙動を確認する技術）を持つメールセキュリティソリューションは、通常のシグネチャ検知を回避するEmotetに対して有効です。また、SPF・DKIM・DMARCなどのメール認証設定を適切に行うことで、自組織のドメインが踏み台に使われるリスクを減らせます。
DMARCの設定は特に注目すべき対策です。送信側ドメインに対してDMARC（Domain-based Message Authentication, Reporting and Conformance）を適切に設定することで、自組織のドメインを偽った攻撃メールが送受信されることを防ぐ仕組みが機能します。設定が不完全な組織が多い現状では、競合他社や取引先との差別化要素にもなりえます。
社内教育とリテラシー向上
技術的対策だけでは防ぎきれない部分を補うのが、社員へのセキュリティ教育です。「知っている送信者からのメールでも、添付ファイルやURLを安易に開かない」「不審なメールはIT担当者に相談する」といった行動指針を組織全体で共有することが重要です。
教育効果を高めるうえで有効なのが、標的型攻撃メール訓練（疑似フィッシング訓練）です。実際に模擬の攻撃メールを社員に送り、開封率や添付ファイルの実行率を測定することで、組織の弱点を定量的に把握できます。「知識として知っている」と「実際の場面で正しく判断できる」の間には大きなギャップがあり、訓練によってこのギャップを縮めることが目的です。
感染が疑われた場合の初動対応
万が一感染が疑われる場合には、速やかに以下の手順を実施してください。
①感染端末のネットワークからの切断
まず感染端末をネットワーク（有線・無線両方）から物理的に切り離します。社内への感染拡大とC2サーバーとの通信を遮断するためです。切断は「感染を疑った瞬間」に行うことが鉄則です。「調査してからにしよう」とつないだままにしておくのは被害拡大を招きます。
ネットワーク切断の際、Wi-Fiだけ切断してLANケーブルが刺さったままというミスが現場では起きやすいため注意が必要です。有線・無線の両方を確実に切断し、必要であれば物理的にケーブルを抜くことを徹底してください。
②EmoCheck（エモチェック）による確認
JPCERT/CCが公開している「EmoCheck」は、端末がEmotetに感染しているかどうかを確認できる無料ツールです（GitHubで最新版が公開されています）。ただし、EmoCheckで「検知なし」と表示されても完全な安全保証にはなりません。Emotetのバリアントによっては検知できない場合があるため、陰性結果を過信しないことが重要です。
③メールアカウントのパスワード変更
感染端末で使用していたメールアカウントのパスワードは、別の端末から速やかに変更します。同時に、その端末に保存されていた他のサービスのパスワードも変更対象と考えてください。「感染端末のブラウザに保存されたすべてのパスワード」が漏洩している前提で対応することが安全側に倒れた対処です。
④ログの保全と社内周知
感染端末のログを保全（削除・上書きされないよう保護）したうえで、取引先や関係者へのEmotetメール送信が発生した可能性を確認し、必要に応じて注意喚起を行います。ログは後の原因調査や被害範囲の特定に不可欠であり、削除・上書きされると復元が困難になります。
⑤感染端末の初期化
Emotetは削除が難しく、セキュリティソフトで除去したとしても完全に排除できていない可能性があります。重要な端末については、OSのクリーンインストールを選択することが推奨されます。「除去ツールを実行して問題なし」と判断して業務に戻った直後に再発するケースが報告されており、初期化が最も確実な対処法です。
Emotetとランサムウェアの違いを整理する
「Emotetはランサムウェアなのでは？」と混同されることがありますが、両者は明確に異なります。
項目 Emotet ランサムウェア 主な目的 感染拡大・情報窃取・踏み台化 データ暗号化・身代金要求 感染後の目に見える変化 ほぼなし（ステルス型） ファイルが開けなくなる 単独での完結 しない（他マルウェアを呼び込む） する 検知難易度 高い（シグネチャ回避） 比較的検知しやすい 攻撃の主な動機 情報窃取・インフラ提供 金銭的要求
Emotetは「感染に気づかせないこと」に長けたマルウェアであり、ランサムウェアは「感染に気づかせること（気づかせなければ身代金を要求できない）」が目的です。この非対称性が、Emotetを特に危険たらしめている要因です。
感染してから数週間、気づかないまま活動が続くというのは、ランサムウェア単体では起こりにくい事態です。Emotetが静かに広げた支配領域の上にランサムウェアが展開されるという二段階攻撃の構図を理解することが、対策の優先順位を考えるうえで役立ちます。
「感染してから動く」では遅すぎる理由
Emotetの被害が深刻になる最大の理由は、感染から発覚までのタイムラグです。
感染端末がネットワーク内で活動を続けながら、他の端末に感染を広げ、メールを収集し、C2サーバーと通信を続ける期間が、数日から数週間に及ぶことがあります。この「静かな拡大期間」の間に被害の種がまかれ、発覚したときには対処の難易度が格段に上がっています。
特に中小企業においては、IT専任担当者がいない、ログが適切に保管されていないといった運用上の課題が重なり、感染の全容把握に時間がかかるケースが多く見られます。事後対応のコストは、事前対策のコストを大幅に上回ることが少なくありません。
インシデント対応の現場でよく見られるのが、「感染源の端末を特定しようとしたが、ログが残っていなかった」という事態です。Windowsのイベントログはデフォルト設定では保存期間が短く、感染から発覚まで時間が経過した場合に重要な痕跡が上書きされてしまいます。平時から適切なログ設定を行っておくことが、有事の調査コストを大きく左右します。
Emotet対策の相談先と信頼できる情報源
Emotetに関する最新情報や対応支援については、以下の公的機関が信頼性の高い情報を提供しています。
IPA（情報処理推進機構） Emotet（エモテット）関連情報では、感染確認ツールや対応手順書、注意喚起レポートなど、実践的な資料が公開されています。新たな攻撃手法が確認された際の速報もここで発信されるため、定期的な確認をおすすめします。
JPCERT/CC（一般社団法人JPCERTコーディネーションセンター） サイバーインシデントの相談窓口として機能しており、EmoCheckの提供元でもあります。インシデント対応支援や技術的な調査支援も行っており、被害が発生した組織向けの実務的な相談窓口として活用できます。
警察庁 サイバー犯罪に関する相談・通報窓口を設けています。Emotetによる被害が発生した場合は、都道府県警察のサイバー犯罪相談窓口への通報も検討してください。被害届の提出は、犯罪の追跡・撲滅につながるとともに、組織としての対応姿勢を示す意味でも重要です。
まとめ
Emotetは、メールという日常業務に欠かせない通信手段を悪用する点で、他のマルウェアとは異なる難しさを持ちます。技術的な防御と人的対策の両面を整えていないと、どちらかの穴から感染を許してしまいます。
この記事で押さえてきたポイントを振り返ります。
Emotetは「トロイの木馬型マルウェア」であり、メールの添付ファイルを入口に侵入し、感染端末をプラットフォームとして情報窃取・感染拡大・他マルウェアの配布を行います。感染後の目に見える変化がほとんどなく、発覚が遅れやすいのが最大の特徴です。
攻撃メールは、実在する取引先からの返信を偽装するスレッドハイジャック手法を使うため、内容の自然さだけで安全を判断することは危険です。パスワード付きZIPやOneNoteファイルの悪用など、防御策の変化に合わせて手口も進化し続けています。
感染が疑われた場合は、「即座のネットワーク切断 → EmoCheckによる確認 → パスワード変更 → ログ保全 → 端末初期化」という順序で対応することが基本です。除去ツールだけで済ませようとするのではなく、初期化を前提とした対応が安全側に倒れた判断です。
事前対策としては、Officeのマクロ設定確認、OSのアップデート徹底、多要素認証の導入、メールセキュリティの強化、そして社内教育の実施が柱になります。いずれも「完璧な防御」ではなく、「攻撃コストを上げる」積み重ねであることを理解したうえで、組織の実態に合わせた優先順位で進めることが現実的なアプローチです。
Emotetは今後も変化し続けます。特定の攻撃パターンを覚えるよりも、「不審なファイルは開かない」「OSとソフトは常に最新に」「感染が疑われたらすぐネットワークを切る」という基本行動を組織全体に根付かせることが、長期的な耐性につながります。
