【緊急対談】いまさら聞けないITシリーズ第二回：マルウェアEmotetの脅威

Emotet（エモテット）とはなにか？

Emotetというマルウェアは、2014年頃、当初は金融業界を狙っていたといわれています。誰でも使うMicrosoft Officeファイルのマクロを利用するんですよね、ワードとかエクセルとかですね。Wordファイルとかzipになっているもの以外にも、OneDriveなどのクラウドストレージへのリンクも出てきているような状況です。

何も疑わずにファイルを開くとマクロが動作するパターンは、手口としては古典的ですよね。

英語圏で2019年3月くらいから、いわば「やりとり型」という、メールの返信を装う手口で再び拡散し始めたようです。日本でも、2019年9月以降にそのような詐欺メールが日本語化され、感染する団体が多く確認されました。
日本の大学や企業など結構多くの組織からも注意喚起が出てましたし、JPCERT/CCからも解説(https://www.jpcert.or.jp/at/2019/at190044.html )が出ました。

これらの注意喚起でも明確に書かれていますが、感染すると、ブラウザなどから情報を窃取されたり、ランサムウエアなどで破壊されたりというような被害が観察されています。

こうして年末が近づくにつれ、Emotetという名前を聞いたことがあるという方も多くなったんじゃないですかね。実際、お客様でもIT業界でない方からも問い合わせが増えてきています。

そんなに引っかかりやすいメールなんですか？

当初からのEmotetの特徴のひとつは、手口が巧妙で引っかかりやすいということ。バラマキ型もありますが、メールのやりとりを偽装してスレッドに割り込んでくるような形の場合は、特にひっかかりやすい。
典型的なのは、メールのSubject(掲題)の部分に「Re:」をつけて、シンプルなメールのやりとりにみせかける。「永吉です。資料の差し替えをお送りします」みたいに、実際に存在する役員、社員の名前を本文に使ったメールをばらまかれたり。実はKDLの社員にも詐欺メールに名前を使われたメンバーが数名いますので、リアルです。

侵入ポイントが自社だけに閉じない、つまりやりとりしているいろんな会社のどこでやられているかわからないのはしんどいですね。攻撃の標的にする場合には、事前にがっつり調べてから攻撃していることが分かります。「この組織には、こういう名前の人がいる」と分かって、やり取りにみせかけたメールを送ってくる。

ソーシャルエンジニアリングとの組み合わせで、感染力を高めているんですよね。ウェブなどで公知のことや、どこかの企業で盗まれた情報を活用しているシナリオだと、明確に「こうすれば防げる」というのは言いにくいですよね。今なんてネットで調べれば、どんな会社でどんな部門があって代表の名前はだれそれさん、なんて情報は簡単に集められますから。

そうそう。まあ、真面目に仕事をしている人なら、それなりの役割を持っている人からメールが来たら、開くのは当たり前ですしね。だからこれ、僕だったらめちゃくちゃ嫌です。知っている人に迷惑をかけるかもしれないし、でも自分がやったわけではないし、でもなんかごめんなさい・・・って感じ。

自分の信用を利用されていることが許せないですよね。普通の人間がうっかり信じてしまうような心の隙を利用するマルウェアってところが、人間の嫌な面を見るようでぞわっときます。普通の人同士のやり取りを利用した「人の思い込み」を悪用する本当に凶悪な手口です。メール版の「オレオレ詐欺」みたいな感じですよね。

思い込みってありますよね。電話があって「岡田です、広報に繋いで」って言われたら広報の誰かに繋がるし、「●●さんの電話番号教えて」って言われたら教えちゃうかもでしょ？そういう感じでダイレクトな番号を聞いて、積み上げて調査を進める。人に直通でつながる方法やメールアドレスを調べて、そのデータを売る。

背中までぞくっとしましたよ・・。僕にとって今回の一番のポイントは、攻撃のテクニックとしては既知のものが、ソーシャルエンジニアリングの精度が向上することによって猛威を振るっていることです。
今まではメールの文面が不自然なため、見抜くポイントのようなものがありましたが、こういう内容であれば引っかかってしまうなと想像していたようなメールが飛び交っています。年末とか年度末とか、忙しい時ほど不注意になりがちだし、しかも業務への影響が大きい。本当に注意したいですね。

Emotetのもうひとつの特徴

見逃せないもう一つの特徴は「自己拡散」。Emotetは情報窃取ツールであると同時に、感染経路としての役割が大きい。だから、一意に「Emotetだったらこうなる」と言いにくいんですよね。他の複数ウィルスを呼び込んで拡散するので、呼び込むウィルスというか、ツールによって被害が変わる。情報窃取だったり、ランサムだったり、リモートコントロールだったり。パッと着弾しておきながら、フルスキャンした時にはもういない、とかね。「Emotetの感染経路をたどってローカルネットワークに入り、Active Directory管理者権限を奪取。より多くのPCへの感染力が高い状態でランサムウエアを展開」というのが最悪のシナリオだとの指摘もあります。

でもその最悪のシナリオ、現実に起きてますよね。原因はアップデート不足だった。前回の対談でも話題になった「アップデート」ですよ。根深い・・・。もう本当いい加減にちゃんとやろうよ・・・って思いますね。

ランサムに乗っ取られたらどうなるのか？って話で、その配下にある社員全員のパソコンで仕事が突然できなくなるんです。でね、犯人から「300万円払ったら元に戻してあげるけどどうします？」みたいなやつが。代表や役員あてに来たらどうします？インタビュアーのあなたが社長だったら。

・・・は、払うかも・・・。

って、払うんかいな！

（笑）

ランサムはね、払っても戻らないかもしれないし、うまくいっても「脅しに屈する、払う企業」リストに載っちゃいますから、元に戻ったとしてもリスクが高まる一方ですよね。慎重な判断が必要です。
それにしても、感染の同時多発は、きついですよね。社員1人のパソコンじゃなく、全社員のパソコンがかかってると。どうしようもなくてお金を払って元に戻ったとしても、ところが感染経路が隠れていたりして。超気持ち悪いでしょ。

今後、もっと高度化しそうですよね。アップデートする仕組みがあるから、感染源を特定して駆除できない限りいつでも攻撃を仕掛けられる訳ですし。

そうなんですよね。今、「うちにも攻撃が来たー」「うちの社員の名前使われた―」ってなって、被害の有無をどうやって調べるんだーとか言われますけど、感染だけして、動作していないケースもありそう。だから、「まぁアドレス情報取られたくらいみんなされてるし、適当に対処しとけばえっかー」と放置しないように！僕は本番はこれからなんじゃないかな？って思っています。

・・・それ、もっとこわいです・・・。

対応

さて、皆さんにEmotetが怖い！と思っていただきたいのがこの対談の目的ではありません。事前対応として、いますぐにでも確認していただきたいことを挙げます。

サマリーありがとうございます。KDLでは、セキュリティ事業部のスペシャリストのドラフトを、KDL-SIRTからささっと注意喚起を配信したのはいい流れでした。経営会議でも、ブリーフィングとして永吉社長を含め皆にハンズオンでWordのマクロの無効化をレクチャーしたり、リアルタイムな脅威情報を共有したりと、セキュリティはトップアジェンダになっていますね。

スピード感とか、手触り感のある対策の展開って大事ですね。今後も継続的に、リアルな対応をやっていきましょう。よろしくお願いします。