ヤマーとマツの、ねえこれ知ってる？

「Emotet」って何？　感染拡大している理由は？　対策は？　副編集長に語らせた（2/5 ページ）

なぜ再流行してるの？

マツ　はい。いったん収束したはずなのに、なぜ再流行したのか。

キーチ　感染拡大の原因の一つは「メール文面の巧妙化」といわれています。

ヤマー　なりすました本人から送ってきたものっぽい文面ってことですか。

キーチ　かつての、日本向けのEmotetの文面はこんなものでした。

　この文面にdocファイルやxlsファイルが添付されているわけですが、まあ怪しいですよね。

マツ　日本語として不自然なものだから、判別がついた。

ヤマー　そっけない上に文脈もありゃしないですねｗ

キーチ　まあこれでも感染する人たちはいたんですが……。

ヤマー　元からそういう文面を送る人だったんでしょうなｗ

キーチ　そして、今の文面はこちら。

ヤマー　すごい。「それ」っぽい……。「あれ？なにかやらかしたっけな？」って一瞬とまどいますねこれ。

マツ　過不足ない感じが。ビジネスメールの例文として使えそうな。

キーチ　一応時系列でいうと、2月にもピークはあったんですが、そのときよりも進化していて、2月の時点では再流行前の文と3月のものの中間くらいの自然さでしょうか。

ヤマー　でもなんかこういう短文メールもありえるなって感じの内容ですね。

キーチ　まあまああり得るなって内容ですよね。

ヤマー　これで知ってる人からのメールだと、警戒心が少なくなりますよね。しかも、本文も結構流ちょうですし。

マツ　つまり、こうなると、文面や内容で判断することは困難と言わざるを得ない。

ヤマー　JPCERT/CCが公開している対策動画も見たんですが、引き抜いた過去のメールデータから本文を引用することもあるみたいですね。こんなんされたらもう分からんよ......。

キーチ　しかも、攻撃メールの一部では暗号化Zipも使われているので、保存時点ではウイルススキャンができないんですよ。

ヤマー　あ、そうか。暗号化されたファイルはマルウェアチェックの対象外なんでしたっけ。

キーチ　ウイルススキャン側から見れば、暗号化されているファイルの中身をどう知るかって話ですからね。まあ攻撃に使われる暗号化Zipファイルがいくつかのパターンに収束するなら、MD5ハッシュをブラックリスト化してしまう手はあるとは思いますが。

マツ　すると、解凍した段階で判断できるようにしないと。

キーチ　そうですね。仕組み的な防御層としては「受け取らない」と「開かせない」の大きく2つに分けられます。ただ、そういうメールを受け取ってダウンロードまでしてしまった段階でマクロ実行まで秒読みなので、「受け取らない」部分での対策がまず必要かと。

ヤマーとマツの、ねえこれ知ってる？

経歴だけは長いベテラン記者・編集者の松尾（マツ）と、幾つものテック系編集部を渡り歩いてきた山川（ヤマー）が、ネット用語、テクノロジー用語で知らないことをお互い聞きあったり調べたりしながら成長していくコーナー。交代で執筆します。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  Emotet、3月はすでに300件超えの被害相談　“先月比7倍”で大幅拡大中　IPAが注意喚起

• 

  Emotetが再流行　感染していないか「EmoCheck」で確認しよう

• 

  ソフトバンクが“PPAP”廃止　「Emotet」などのマルウェアを警戒

• 

  Emotet感染爆発で謝罪企業相次ぐ　沖縄県、気象協会、いすゞなど【訂正あり】

• 

  NTT西がEmotet感染　受託業務で使用したPCから従業員・取引先メールアドレス流出