まずはEmotet対策ではなく、「マルウェア対策」として考えましょう。Emotetもそうですが、ほとんどの攻撃は「メール」および「Web」を通じてやってきます。もっと簡単にいえば、従業員がマルウェア感染を狙うメールを開かなければ、社内での感染は行われない……はずです。まずはこの原則を、メールを使う全社員が知る必要があるでしょう。セキュリティ担当者だけでなく、全ての社員が知ることが、マルウェア対策の第一歩です。

　特にEmotetは、そのメール本文に特徴があります。情報処理推進機構が公開している「「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて」にそのサンプルが掲載されていますが、その特徴とは「過去に送信したメールの内容がそのまま利用されている」ことです。つまり、自然な日本語であり、その見た目だけで判別することはまず不可能です。これまで迷惑メールといえば、不自然な日本語、おかしなフォントが目印で、よく注意してみていれば簡単に判別できました。Emotetではそれができないよう、攻撃者が進化したともいえるでしょう。

図2　Emotetにおけるメール本文の特徴（引用元：IPA）

　さらに、そのタイトルも狡猾（こうかつ）です。「請求書の件です」「会議への招待」さらには「賞与支給」といった、思わず開かねばならないと思うようなタイトルを付けてきます。これを開くな、というのはかなり難しいかもしれません。しかし、それをメール利用者が知っていたとしたら、きっと誰かは「おかしいかも？」と思えるかもしれません。

　そこで、無料でできる対策をもう一つ紹介します。まずはこういったメールに対し、ちょっとでもおかしいと思ったら報告するルートを作っておきます。そして利用者の皆さんは、もう一つだけ覚えておいてください。それは「Officeファイルのマクロを実行しない」ということです。

　Emotetを始めとするマルウェアは、不正なファイルを添付したメールを送ってきます。メールを開くだけならセーフですし、添付ファイルをダウンロードするだけでも多くの場合はセーフです。アウトとなるのは「添付ファイルを実行／開く」こと。より厳密に言えば、多くの場合はWordやExcelといったOfficeファイルの「マクロが実行されること」こそが、攻撃者の狙いであり、組織にとってはアウトです。ならば、そのマクロを実行させなければよいのです。

図3　マクロを含むOffice文書を開くと、「コンテンツの有効化」というボタンが出てくることがある。これを押させることが攻撃者の狙いだ

　.docxや.xlsxなどのファイルを開くと、上記のように「コンテンツの有効化」というボタンが出ることがあります。これはインターネットからダウンロードしたファイルにマクロが含まれる場合、それを本当に実行していいかを問うボタンです。多くの場合、攻撃者が有効化ボタンを押させるための指示を、本文に巧妙に記載しているでしょう。しかしこれこそが、利用者をだますためのものです。普段の仕事でマクロを利用した文書を全く利用していないのであれば、ここで利用者が被害を“無料で”防ぐことができるのです。

　万が一、これを有効化してしまった場合、まずはネットワークを遮断（ネットワークケーブルを抜く、無線LANをオフにする）し、適切な社内窓口に連絡してください。そして、組織の周りの方に声を掛け、メール添付ファイルに気を付けるよう指示するようにしてください。