【Emotet活動再開】年末年始は不審なメールにご用心

2022年11月から活動を再開したEmotet（エモテット）。正規のメールを装う攻撃手法は従来と大きく変わらないものの、年の瀬や新年の挨拶などで多くのメールをやり取りする年末年始はいつも以上に注意が必要です。さらに、心の隙に付け入る術を熟知している攻撃者にとって、気が緩みやすいこの時期は格好の攻撃タイミング。あらためて、Emotetをはじめとしたサイバー攻撃に対する年末年始の対応を確認しましょう。

鳴りを潜めていたEmotetが11月から活動再開

　2022年7月以降一時的に活動を休止していたマルウェア「Emotet」ですが、11月より再び活動が観測されるようになりました。１日当たり十万件以上の攻撃メールが配信されていると言われていますが、これまでのEmotetの活動傾向では、再開して数か月後に活動のピークを迎えることが多く、年末年始に向けて活動が活発化する可能性が指摘されています。

　Emotetの代表的な攻撃手法として、過去のメールのやり取りなどを装って不正なマクロを含む文書ファイルを送り付けたり、URLリンクからダウンロードさせる手口がよく知られていますが、11月からの攻撃においては類似の手口が確認されました。

　従来と異なるのは、Excelファイルを開いた際に「マクロを有効化できない場合の対策方法」のメッセージが表示される点です。この指示に従ってExcelファイルをTemplatesフォルダに移動して開いてしまうと、マクロを無効化する設定にしていたとしても、警告なしにマクロが実行される可能性があります。これはTemplatesフォルダが「信頼できる場所」として設定されているためで、ここで実行されたファイルは安全性の高いファイルとみなされることが理由です。ただしこの手順を実行するためには管理者権限が必要となるため、一般ユーザが管理者権限を利用できないように設定することで、被害はある程度防ぐことができると考えられます。　

^{引用：独立行政法人情報処理推進機構（IPA）／ Excelファイル内に書かれている新たな偽の指示}

　一方で注意が必要なのは、ショートカットファイル（LNKファイル）を悪用するタイプの攻撃が4月以降増加している点です。この手口では、パスワード付きZIPファイル内もしくはメールに添付されたショートカットファイルをダブルクリックすると、悪意あるスクリプト（PowerShellやVBScript）が実行され、Emotetに感染してしまいます。

　この手口が悪質とされるのは、ショートカットファイルの拡張子「.lnk」が、Windowsの標準設定では表示されない点です。このため、アイコンが文書ファイルに偽装されていたり、ファイル名の末尾の文字列が「.doc」になっている場合は、ショートカットファイルだと気付くことが非常に困難になります。業務に支障がないのであれば、ショートカットファイルやそれを含むZIPファイルが添付されたメールを、サーバ側でブロックすることをお勧めします。

_{^{引用：独立行政法人情報処理機構（IPA）／ ショートカットファイルが格納されたパスワード付きZIPファイルからEmotet感染までの流れ}}

　マクロを悪用した手口が広く周知され対策が進んだこともあり、今後は新たな攻撃手法の出現が想定されます。特にメールでのやり取りが多い年末年始は、あらためてEmotetへの注意が必要です。　

年末年始の油断したタイミングを攻撃者は狙う

　年末年始のような長期休暇は、攻撃者にとって付け入る“隙”が多い絶好の機会といわれています。攻撃者はどのような隙を狙ってくるのか、年末年始ならではのセキュリティリスクをご紹介します。