Emotet（エモテット）は、取引先を装った返信メールとWordのマクロを使って感染を広げ、認証情報の窃取や別のマルウェアへの二次感染を引き起こしたマルウェアです。国内でも2019年以降、取引先になりすましたメールによる被害が繰り返し確認されてきました。
JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）は2023年4月以降Emotetの活動を確認していないと公表しています。ただしEmotetは過去にテイクダウン（停止）と再開を繰り返してきた経緯があり、同じ手口（マクロ付きファイル・なりすましメール・認証情報の窃取・社内への感染拡大）を使う攻撃は今も続いています。
「自社は何を入れておけば防げるのか」という問いには、今のうちに答えを持っておく価値があります。
この記事では、Emotetのような脅威に備えるための製品を「メールセキュリティ」「EDR・次世代アンチウイルス」などの種類（層）ごとに整理し、それぞれがEmotetのどの段階を止めるのか、実在する代表的な製品は何かを解説します。
対策の中心となるEDR・次世代アンチウイルスについては、対応段階・費用の目安まで比較し、導入の優先順位もあわせて示します。自社に入れる製品の当たりを付ける材料としてご活用ください。
目次
【結論】Emotet対策製品を「種類×止められる段階」で一覧
Emotet対策の製品は1種類ではなく、Emotetが「メールで届く→ファイルが実行される→社内へ広がる」という流れのどこを止めるかで役割が分かれます。まず全体像を、種類（層）ごとに「主に対応する段階」と「代表的な製品の例」で整理します。
| 対策の種類 | メールセキュリティ | EDR・次世代アンチウイルス | サンドボックス・ネットワーク検知 | 標的型メール訓練 | 感染確認ツール |
|---|---|---|---|---|---|
| 主に対応する段階 | 侵入前（入口） | 実行・拡大（端末） | 侵入前〜拡大 | 侵入前（人） | 確認（防御ではない） |
| 止められること／役割 | なりすましメールや不正な添付ファイル・URLを、受信の段階で検知・無害化する | 端末上でのマクロ実行や不審なふるまいを検知・遮断し、感染後の横展開・認証情報窃取に対応する | 未知の検体を隔離環境で解析し、パターンで検知できない不正ファイルや不審な通信を見つける | 疑似的な攻撃メールで従業員の開封・実行を減らし、入口での被害確率を下げる | 感染の有無を確認する。防御・駆除の機能はない |
| 代表的な製品の例 | FortiMail、Trend Micro Email Security、m-FILTER など | CrowdStrike Falcon、SentinelOne、Microsoft Defender、ESET PROTECT など（下の比較表で詳述） | Deep Discovery Inspector、FortiSandbox など | セキュリオ、Selphish など | EmoCheck（JPCERT/CC。※現在は提供終了） |
※各層の役割の整理です。実際の製品の対応範囲は製品ごとに異なります。
このうち、端末側でマルウェアの実行や感染後の広がりを止める「EDR・次世代アンチウイルス」は、Emotetのように別のマルウェアを呼び込むタイプの脅威に対して中心的な役割を担います。複数の領域を横断して監視するXDR（Extended Detection and Response、拡張検知・対応）型の製品には、エンドポイントに加えてメール層も統合してカバーするものもあります。
具体的な製品の費用・対応段階の比較は後半の比較表で解説します。
Emotetとは｜なりすまし返信メールとマクロで感染を広げるマルウェア
ここからは、対策製品を選ぶ前提として、Emotetがどのように感染し何を引き起こすのかを整理します。IPA（独立行政法人情報処理推進機構）は、Emotetを次のように説明しています。
Emotetとは、メールアカウントやメールデータなどの情報窃取に加え、更に他のウイルスへの二次感染のために悪用されるウイルスです。このウイルスは、不正なメール（攻撃メール）に添付される不正なファイルなどから、感染の拡大が試みられます。
出典：Emotet（エモテット）関連情報｜独立行政法人情報処理推進機構（IPA）
感染のきっかけの多くは、メールに添付されたWord形式のファイルを開き、「コンテンツの有効化」を実行することです。やっかいなのは、この攻撃メールが取引先からの正規の返信を装う点です。JPCERT/CCは、感染経路を次のように説明しています。
実際の組織間のメールのやりとりの内容を転用することで、感染元から送信先への返信を装うものがあります。そのため、取引先の担当者から送られているようにみえるメールでも、実際はEmotet が窃取した情報を元に攻撃者側から送られている「なりすましメール」である可能性があるため、注意が必要です。
出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC
過去のやりとりを引用して返信を装うため、受信者は業務メールと見分けにくく、開封・実行してしまいやすいのが特徴です。この「人が見破りにくい」性質が、後述する製品による対策が必要になる理由でもあります。
出典・参考資料（2件）
Emotetに感染するとどうなる（認証情報の窃取・社内への横展開・スパム踏み台化）
Emotetに感染すると、単に1台がウイルスに感染するだけでは終わりません。JPCERT/CCは、感染時に発生しうる影響として次を挙げています。
・端末やブラウザに保存されたパスワード等の認証情報が窃取される
出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC
・窃取されたパスワードを悪用され SMB によりネットワーク内に感染が広がる
・メールアカウントとパスワードが窃取される
・メール本文とアドレス帳の情報が窃取される
・窃取されたメールアカウントや本文などが悪用され、Emotet の感染を広げるメールが送信される
このように被害は、認証情報の窃取・社内の他端末への感染拡大（横展開）・自社を踏み台にした感染メールの拡散という形で広がります。窃取された情報から、自社が加害者側になり、取引先へなりすましメールを送ってしまう点が特に深刻です。
JPCERT/CCの対応FAQでは、漏えいする情報として過去に送受信したメールの件名・本文・添付ファイル、Webブラウザに保存された認証情報のほか、Google Chromeに保存していた場合はクレジットカード情報が盗まれる恐れも挙げられています。さらに、ランサムウェアなど別のマルウェアへ二次感染する可能性も指摘されています。
出典・参考資料（1件）
- 出典：マルウエアEmotetへの対応FAQ｜JPCERT/CC（リンク）
Emotet感染の3段階（侵入前・実行・拡大）と各段階を止める防御層
Emotetの動きを「侵入前・実行・拡大」の3つの段階で整理すると、どの製品がどの段階を担うのかが見えてきます。以下は公的機関が示す攻撃の流れをもとにした整理です。
- 侵入前（メール受信）：なりすましメールが届く段階。メールセキュリティで不正な添付・URLを入口で止め、標的型メール訓練で従業員の開封・実行を減らす。
- 実行（マクロ・ファイル起動）：添付ファイルを開き「コンテンツの有効化」でマクロが動く段階。端末側のEDR・次世代アンチウイルスで、不審なふるまいやマルウェアの実行を検知・遮断する。
- 拡大（横展開・窃取）：認証情報を盗み、社内の他端末へ感染を広げる段階。EDRで侵入後の不審な挙動を検知・隔離し、被害の拡大を抑える。
1つの層だけで完全に防ぐのは難しく、入口（メール）と端末（EDR）を組み合わせて段階ごとに止めるのが基本的な考え方です。次の章で、各層の代表的な製品を見ていきます。
層別に見るEmotet対策製品（メール・EDR・ネットワーク・訓練・感染確認）
ここからは、Emotet対策に使える製品を層ごとに解説します。特定の1社に偏らず、複数のベンダーの選択肢を並べて整理します。
メールセキュリティ（侵入前｜入口でなりすましメール・不正ファイルを止める）
Emotetの主な感染経路はメールのため、入口で不正な添付ファイルやURLを止めるメールセキュリティは対策の起点になります。JPCERT/CCも予防策の一つとして「メールセキュリティ製品の導入によるマルウエア付きメールの検知」を挙げています。
メールゲートウェイ型の製品は、なりすましの検知、添付ファイルのウイルスチェック、不正URLの無害化などを受信の段階で行います。添付ファイルを安全な形式に変換して渡す「無害化（サニタイズ）」に対応する製品もあります。代表的な製品は冒頭の一覧表を参照してください。
出典・参考資料（1件）
- 出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC（リンク）
メール層の製品をより広く見比べたい場合は、フィルタリング・サンドボックス・無害化といった方式ごとに標的型攻撃メール対策サービスを比較した記事も参考になります。Emotetのようななりすましメールを入口で止める製品を絞り込む際の材料になります。
EDR・次世代アンチウイルス（実行・拡大｜端末でマクロ実行と横展開を止める）
入口をすり抜けたメールを開いてしまっても、端末側で実行を止められれば感染は防げます。従来のパターンマッチ型アンチウイルスは、Emotetのように次々と亜種が作られるマルウェアや、既知のパターンに一致しない新しい検体を取りこぼすことがあります。実際にJPCERT/CCは、2022年の感染再拡大時に、ファイルサイズを500MB超に大きくしてアンチウイルス製品の検知回避が図られた例を報告しています。
そこで役立つのが、ファイルの特徴やプロセスのふるまいから未知の脅威を判定する次世代アンチウイルス（NGAV）です。あわせて、感染後の不審な挙動を検知して対応するEDR（Endpoint Detection and Response、エンドポイントでの検知・対応）が中心的な役割を担います。この層はEmotet対策の要であり、後半で主要製品を個別に紹介します。
出典・参考資料（1件）
- 出典：マルウェアEmotetの感染再拡大に関する注意喚起（JPCERT-AT-2022-0006）｜JPCERT/CC（リンク）
Emotet単体で終わらせない｜経由して入る二次マルウェア・横展開まで止める価値
Emotet対策でEDR・次世代アンチウイルスが重視されるのは、Emotetが「入口」であって「終点」ではないためです。JPCERT/CCは、Emotetに感染した端末が別のマルウェアをダウンロードし、結果的にランサムウェア感染につながるケースがあると説明しています。
また、Emotet に感染した端末が、Trickbot などの別のマルウエアをダウンロードし、結果としてランサムウエアに感染してデータが暗号化されるなどの被害に繋がるケースに関する情報も公開されています。
出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC
入口を1回すり抜けただけで、二次感染や社内への横展開まで一気に進む可能性があります。侵入後の不審な挙動を検知して端末を隔離できるEDRは、こうした「感染後の広がり」を止める手段として位置づけられます。各製品がどこまで検知・対応できるかは製品ごとに異なるため、次の比較で確認してください。
Emotet経由の二次感染で特に警戒されるランサムウェアについては、入口・端末・ネットワーク・復旧の4層に分けて対策ツールを比較した記事で詳しく解説しています。暗号化被害まで見据えて備えを検討したい場合の参考になります。
ランサムウェア対策ツール34選を比較｜入口・端末・ネットワーク・復旧の4層で選ぶ
取引先からセキュリティ対策の状況を報告するよう求められたり、同業他社の被害報道を目にしたりして、ランサムウェア対策の見直しを迫られていませんか。しかし調べ始めると、端末の監視、社内通信の監視、バックアップ、認証の強化と、別々の製品カテゴリが…
サンドボックス・ネットワーク検知（未知検体の解析／横移動の検知）
サンドボックスは、疑わしいファイルを隔離された仮想環境で実行し、その挙動から不正かどうかを判定する仕組みです。パターンに一致しない未知の検体でも、実際の動きから検知できる点が特徴で、メールやネットワークの経路に組み込んで使われます。
ネットワーク検知（NDRなど）は、社内ネットワークの通信を監視し、Emotetの横展開や外部への不審な通信を見つける役割を担います。サンドボックス製品・ネットワーク検知製品は、端末側のEDRを補完する層として組み合わせられます。代表的な製品は冒頭の一覧表を参照してください。
標的型メール訓練（従業員の開封・実行を減らす）
Emotetは人が添付ファイルを開いてマクロを有効化することで感染が成立します。標的型メール訓練は、疑似的な攻撃メールを従業員に送り、開封・実行の傾向を把握しながら注意力を高めるサービスです。製品による防御と組み合わせ、入口での被害確率を下げる「人の対策」として位置づけられます。代表的なサービスは冒頭の一覧表を参照してください。
感染確認ツール EmoCheck（感染の有無を確認・防御ではない）
EmoCheckは、JPCERT/CCが提供していた、端末のEmotet感染の有無を確認するツールです。感染しているかを調べるための確認ツールであり、防御や駆除を行う製品ではない点に注意が必要です。
ただし、JPCERT/CCは2023年4月以降Emotetの活動を確認しておらず、これに伴いEmoCheckの提供は終了しています。現時点で感染の有無を確認したい場合は、アンチウイルスによる全端末のフルスキャンや、EDRによる調査が現実的な手段です。EmoCheckは、過去の感染確認や今後の再流行に備えた知識として押さえておきましょう。
出典・参考資料（1件）
- 出典：マルウエアEmotetへの対応FAQ｜JPCERT/CC（リンク）
ここまで見てきた各層の対策を、メール無害化・EDR・訓練といった対策方法ごとに整理し、どれをどう選ぶかまで踏み込んで比較した記事もあります。方法単位でさらに詳しく見比べて自社の優先順位を決めたい場合は、あわせてご覧ください。
Emotet対策ツールを対策方法別に比較｜メール無害化・EDR・訓練の選び方を解説
取引先を装ったなりすましメールや、過去のやり取りへの返信を装う手口で感染を広げるEmotet（エモテット）は、これまでたびたび大きな被害を出してきました。社内の一台の感染から被害が連鎖することに不安を感じていませんか。従来のアンチウイルスだ…
Emotet対策製品を比較｜製品名・種類・対応段階・費用感で見比べる
ここからは、Emotet対策の要となるEDR・次世代アンチウイルスの主要製品を、対応する感染段階・特徴・費用の目安で比較します。まず一覧で見比べ、続けて各製品を個別に紹介します。
| サービス名 | CrowdStrike Falcon | Microsoft Defender XDR | SentinelOne | Trend Vision One | Cybereason | ESET PROTECT | LANSCOPE サイバープロテクション | Check Point Harmony Endpoint |
|---|---|---|---|---|---|---|---|---|
| 種類 | 次世代AV＋EDR （統合EPP） | XDR （EDRが中核） | 次世代AV＋EDR／XDR | XDR （統合プラットフォーム） | EDR＋XDR （MDRあり） | EPP＋EDR/XDR （ESET Inspect） | AIアンチウイルス＋EDR （マネージド提供） | EPP＋EDR＋XDR （統合） |
| 対応する感染段階 | 実行・拡大（端末） | 侵入前〜実行・拡大 （メール層も統合） | 実行・拡大（端末） | 侵入前〜実行・拡大 （メール・NW層も横断） | 実行・拡大（端末） | 実行・拡大（端末） | 実行・拡大（端末） | 実行・拡大（端末） |
| 特徴 | 単一の軽量エージェント。機械学習＋IOAで未知の脅威をふるまい検知。上位プランで24時間365日の脅威ハンティングまで拡張 | ID・端末・メールを横断して相関検知するXDR。Microsoft 365 E5利用企業は追加ライセンス不要。自動デバイス隔離で横展開を抑制 | エージェント側AIで脅威を自律検知・隔離。Storylineで攻撃を自動再構成。上位パッケージで暗号化ファイルのロールバックに対応 | メール・端末・ネットワークの各層を単一コンソールで一元管理するXDR。ライセンスはクレジット制（TrendAI Flex）に一本化 | 一連の攻撃を「MalOp」として1インシデントに集約。日本語での24時間365日SOC対応。従業員1,000名未満向けパッケージも用意 | EPP〜EDR/XDR〜MDRを一体で提供。国内はキヤノンMJが日本語サポート。検査対象サイズが既定で無制限のため巨大ファイル偽装にも対応 | 国内ベンダーMOTEXがAIアンチウイルス＋EDRを運用支援込みで提供。検知エンジンはAurora Protect／Deep Instinctから選択できる | 1エージェント・1コンソールにEPP/EDR/XDRを統合。ThreatCloud AIで検知し、ランサム対策のファイル復元・脅威エミュレーション／無害化を搭載 |
| 料金の目安 | グローバル公式でFalcon Go 年額59.99米ドル/台〜、フルEDRのEnterprise 年額184.99米ドル/台（国内価格は要問い合わせ） | Microsoft 365 E5に含む（月額8,995円/ユーザー、年払い・Teams込み）ほか、Defender製品の組み合わせで提供 | 要問い合わせ （公式非開示。エンドポイント単位の年額ライセンス） | 要問い合わせ （クレジット制ライセンス） | 要問い合わせ （個別見積もり） | EPP最小構成のEntryが年額5,950円/ライセンス〜（税抜、6〜10ライセンス）。EDR＋24時間監視のMDR Liteなど上位構成あり | Aurora Protect単体 月額500円/台〜、EDR（Aurora Focus）セット 月額700円/台〜（税抜） | 要問い合わせ （パッケージ4段階のサブスク制） |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※料金は各社公式情報にもとづく目安です。最新の価格・提供条件は各社にご確認ください。
1. CrowdStrike Falcon（CrowdStrike, Inc.）
クラウドを基盤に、次世代アンチウイルス（Falcon Prevent）とEDR（Falcon Insight）を単一の軽量エージェントで提供するエンドポイント保護プラットフォームです。機械学習とIOA（Indicator of Attack、攻撃の兆候となる一連のふるまい）を組み合わせ、既知・未知のマルウェアやファイルレス攻撃を実行前に阻止する設計です。
シグネチャの更新に依存せず、持続化や横展開といった一連のふるまいを検知対象にできるため、Emotetのように多段階で動く攻撃への備えとして検討されます。Enterprise以上のプランでフルEDR（Falcon Insight）や24時間365日の脅威ハンティングが利用でき、必要に応じてマネージド検知・対応（Falcon Complete）まで拡張できます。
料金は公式でNGAV中心のFalcon Goが1デバイスあたり年額59.99米ドル、フルEDRを含むFalcon Enterpriseが年額184.99米ドルと公表されています（国内価格は要問い合わせ）。
出典・参考資料（1件）
- 出典：CrowdStrike 製品の料金｜CrowdStrike, Inc.（リンク）
2. Microsoft Defender XDR（日本マイクロソフト株式会社）
ID・エンドポイント・メール・アプリなど複数の領域を横断して脅威を検知・対応するXDRプラットフォームです。エンドポイントのEDRはDefender for Endpoint（Plan 2でEDRを含む）が担います。これにメールのDefender for Office 365などを組み合わせることで、Emotetの入口（メール）から端末までを同一ベンダーで相関的に監視できます。
Microsoft 365 E5をすでに利用している企業は、ライセンスを追加せずにXDRを有効化できる点が特徴です。高確度の検知時に侵害端末を自動でネットワークから隔離し、横展開を抑える仕組みも備えます。メール添付ファイルの隔離実行検査（Safe Attachments）はDefender for Office 365のプラン1から利用できます。
料金はユーザー単位のサブスクリプションで、Microsoft 365 E5が1ユーザーあたり月額8,995円（年払い、Teams込み、公式料金ページ）などとなっています。
出典・参考資料（1件）
- 出典：Microsoft Defender の価格｜日本マイクロソフト（リンク）
3. SentinelOne（SentinelOne, Inc.）
「Singularity Platform」として、次世代アンチウイルス・EDR・XDRを単一エージェントで提供します。エージェント側のAIが脅威を自律的に検知し、不正なプロセスやファイルをリアルタイムで隔離・停止する点が中核機能です。
攻撃の流れを自動で再構成する「Storyline」技術により、個々のログを手動でたどらずに攻撃の全体像を把握できます。ランサムウェア被害時には、暗号化されたファイルをOSの再構築なしで攻撃前の状態へ自動復旧（ロールバック）できる点も特徴で、Emotet経由の二次被害からの復旧を速める手段になります。
料金は公式では非開示で、エンドポイント単位の年額ライセンスとなり、詳細は要問い合わせです。
4. Trend Vision One（トレンドマイクロ株式会社）
トレンドマイクロが提供する統合サイバーセキュリティプラットフォームで、中核機能はXDRです。エンドポイント・サーバー・クラウド・メール・ネットワークの各層で収集したデータを相関分析し、攻撃の全体像を可視化します。
メール層（Trend Micro Email Security）からエンドポイント層（Apex One）、ネットワーク層（Deep Discovery Inspector）までを同一コンソールで一元管理できるため、Emotetの入口から拡大までを層をまたいで追跡しやすい構成です。
ライセンスはクレジットを必要な機能へ割り当てる「TrendAI Flex」に一本化されており、料金体系は要問い合わせです。
5. Cybereason（サイバーリーズン合同会社）
エンドポイントでの検知・対応（EDR）を核に、XDR、24時間365日体制のマネージド検知・対応（MDR）まで提供するプラットフォームです。単発のアラートではなく、攻撃の始まりから被害に至る一連の活動を「MalOp（悪意ある操作）」として1つのインシデントに集約し、対応者が全体像を把握しやすくする考え方が特徴です。
次世代アンチウイルスとふるまいの痕跡（IOB）分析による多層防御で暗号化前の遮断を狙い、感染後はワンクリックで複数端末を隔離して被害拡大を抑えます。日本・ボストン・テルアビブの3拠点による日本語での24時間365日SOC対応や、従業員1,000名未満向けのパッケージも用意されています。料金は要問い合わせです。
6. ESET PROTECT（キヤノンマーケティングジャパン株式会社）
アンチウイルス・EPPを中核に、EDR/XDRモジュール「ESET Inspect」やクラウドサンドボックス、マネージド監視までを一体で提供する製品群です。国内ではキヤノンマーケティングジャパンが総販売代理店として、日本語でのサポート・保守を担います。
Emotetへの対応として、キヤノンMJの公式FAQでは、ESET Endpoint Securityなどのエンドポイント保護製品がEmotetを検出すると案内されています。検査対象ファイルのサイズが既定で無制限のため、ファイルサイズを大きくして検知回避を図る手口にも既定値で対応できるとしています。
料金はESET PROTECT Entry（EPP最小構成）が1ライセンスあたり年額5,950円〜（税抜、6〜10ライセンス）で、導入規模が大きいほど単価が下がる体系です。EDRと24時間監視を含むESET PROTECT MDR Liteなどの上位構成も用意されています。
出典・参考資料（2件）
7. LANSCOPE サイバープロテクション（エムオーテックス株式会社）
国内ベンダーのエムオーテックス（MOTEX）が、AIアンチウイルスとEDRを日本語でのサポート・運用支援込みで提供するサービスです。検知エンジンはAurora Protect（旧CylancePROTECT）とDeep Instinctの2系統から選べ、用途や予算に応じて使い分けられます。
パターンファイルの更新に依存せず、機械学習・深層学習でファイルの特徴から判定する方式のため、亜種展開の速いマルウェアへの実行前検知が期待できる設計です。公式サイトでは、2019年に当時最新のEmotetを、それ以前にリリースされたAIエンジンで検知できた事例が紹介されています（Emotet固有の検知率の数値は公表されていません）。
料金はAurora Protect単体が月額500円/台（税抜）から、EDR（Aurora Focus）とのセットが月額700円/台からで、EDR運用を委託できるマネージド提供にも対応します。
出典・参考資料（1件）
- 出典：LANSCOPE サイバープロテクション Aurora Protect の料金｜エムオーテックス（リンク）
8. Check Point Harmony Endpoint（チェック・ポイント・ソフトウェア・テクノロジーズ株式会社）
EPP・EDR・XDRの機能を1つのエージェントと管理コンソールに統合したエンドポイントセキュリティ製品です。
ランサムウェア対策（Anti-Ransomware）、ふるまい検知（Behavioral Guard）、添付ファイルを安全化する脅威エミュレーション・脅威抽出（Threat Emulation／Extraction）などを備え、脅威インテリジェンス基盤「ThreatCloud AI」を用いて検知します。
Check Pointは公式プレスリリースで、2022年のMITRE Engenuity ATT&CK Evaluationsの結果を公表しています。これは、Emotet・Trickbot・Ryukの配布に関与したとされる攻撃グループ「Wizard Spider」とSandwormの手法を模した評価です。
この評価で、全攻撃ステップ全体として100%の検知を達成したと発表されています（Wizard Spider単体のAPT検知率は98%）。
ただしこれはWizard Spiderの手法を模した評価であり、Emotetそのものを対象にした検知率ではない点には留意が必要です。料金はサブスクリプション制で、具体的な単価は要問い合わせです。
出典・参考資料（1件）
- 出典：MITRE Engenuity ATT&CK Evaluations の結果に関する発表｜Check Point Software Technologies（リンク）
また、この記事で対策の要として取り上げたEDRについては、以下の記事でエンドポイントとネットワークのどの層から整備すべきか、製品一覧や選び方まで詳しく解説しています。EDRの導入を本格的に検討する方は、あわせてご覧ください。
Emotet対策は何から入れるべきか｜導入の優先順位
すべての層を一度に導入するのが難しい場合、どこから着手するかが問題になります。JPCERT/CCが示す予防策は、製品の優先順位そのものを定めたものではありませんが、対策を考える判断材料になります。同センターは予防策として次を挙げています。
・組織内への注意喚起の実施
出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC
・Word マクロの自動実行の無効化
・メールセキュリティ製品の導入によるマルウエア付きメールの検知
・メールの監査ログの有効化
・OS に定期的にパッチを適用 (SMBの脆弱性をついた感染拡大に対する対策)
・定期的なオフラインバックアップの取得（標的型ランサムウエア攻撃に対する対策）
この整理からは、まず費用をかけずにできる設定（マクロの自動実行の無効化、OSやソフトの更新、オフラインバックアップ）を実施したうえで、製品としては入口を塞ぐメールセキュリティから着手する考え方が読み取れます。Emotetの主な経路がメールであるためです。
そのうえで、入口をすり抜けた場合に備え、端末側で実行・横展開を止めるEDR・次世代アンチウイルスを組み合わせます。専任の運用担当を置きにくい場合は、監視・対応を外部に委託できるマネージド提供（MDR）を選ぶことで、製品を入れても運用が回らないという事態を避けられます。
入口（メール）と端末（EDR）の2つを軸に、自社の体制と予算に応じて段階的にそろえるのが現実的です。
出典・参考資料（1件）
- 出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC（リンク）
Emotetに感染した場合の対応手順
万一、感染が確認された場合の初動も押さえておきます。JPCERT/CCは、被害拡大を防ぐための初期対応として次を推奨しています。
・感染した端末のネットワークからの隔離
出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC
・感染した端末が利用していたメールアカウントのパスワード変更
そのうえで、必要に応じてセキュリティ専門ベンダーと相談しながら対応を進めます。組織内の全端末をアンチウイルスでフルスキャンし、関連アカウントのパスワード変更、通信ログの監視、調査後の端末初期化を行うことが推奨されています。窃取された情報から取引先へなりすましメールが送られる可能性があるため、関係者への注意喚起もあわせて行います。
感染の有無や影響範囲の調査は手作業では負担が大きく、端末のふるまいを記録・追跡できるEDRを導入していれば、どの端末がいつ何をしたかを追いやすくなります。この点も、EDRが事後対応でも役立つ理由です。
出典・参考資料（1件）
- 出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC（リンク）
まとめ
Emotet対策の製品は、メールで入口を塞ぐメールセキュリティ、端末で実行と拡大を止めるEDR・次世代アンチウイルス、未知検体を解析するサンドボックス・ネットワーク検知、人の対策としての標的型メール訓練、そして感染確認ツールという層で役割が分かれます。Emotetが別のマルウェアを呼び込み社内へ広がる性質を踏まえると、入口（メール）と端末（EDR）の組み合わせが対策の軸になります。
JPCERT/CCは2023年4月以降Emotetの活動を確認していませんが、同種の手口を使う攻撃は続いており、過去に再流行を繰り返してきた経緯もあります。まずは費用をかけずにできる設定を行い、自社の体制と予算に応じて製品を段階的にそろえておくことが、いざというときの備えになります。各製品の詳しい機能や料金は、資料を取り寄せて比較してみてください。
よくある質問（FAQ）
Q. Emotet（エモテット）対策製品とは何ですか？
A. Emotet対策製品とは、なりすましメールやマクロを使って感染を広げるマルウェア「Emotet」の侵入・実行・拡大を、段階ごとに検知・遮断するためのセキュリティ製品の総称です。
具体的には、入口でメールを止めるメールセキュリティ、端末で実行と横展開を止めるEDR・次世代アンチウイルス、未知の検体を解析するサンドボックス・ネットワーク検知、人の対策としての標的型メール訓練などに分かれ、1種類だけで完結するものではありません。
Emotetが別のマルウェアを呼び込み社内へ広がる性質から、入口（メール）と端末（EDR）の組み合わせが対策の軸になります。
Q. Emotet（エモテット）は今も流行していますか？対策製品は今も必要ですか？
A. Emotetは、JPCERT/CCが2023年4月以降その活動を確認していない一方で、同じ手口を使う攻撃は続いており、対策製品を備えておく価値は今もあります。Emotetは過去にテイクダウン（停止）と再開を繰り返してきた経緯があり、なりすまし返信メール・マクロ付きファイル・認証情報の窃取・社内への感染拡大といった手口は、他のマルウェアにも共通します。
再流行や類似の脅威に備え、平時から入口（メール）と端末（EDR）を固めておくことが有効です。
出典・参考資料（1件）
- 出典：マルウエアEmotetへの対応FAQ｜JPCERT/CC（リンク）
Q. Emotetの感染確認ツール「EmoCheck」は今も使えますか？
A. EmoCheckは、JPCERT/CCが2023年4月以降Emotetの活動を確認していないことに伴い、現在は提供が終了しています。また、EmoCheckはもともと感染の有無を確認するためのツールであり、防御や駆除を行う製品ではありません。
現時点で感染の有無を調べたい場合は、アンチウイルスによる全端末のフルスキャンや、EDRによる調査が現実的な手段になります。EmoCheckは、過去の感染確認や今後の再流行に備えた知識として押さえておくとよいでしょう。
出典・参考資料（1件）
- 出典：マルウエアEmotetへの対応FAQ｜JPCERT/CC（リンク）
Q. Emotet対策は従来のアンチウイルスソフトだけで防げますか？
A. Emotetは、従来のパターンマッチ型アンチウイルスだけでは次々に亜種が作られる検体を取りこぼす可能性があり、それだけで十分とは言えません。実際にJPCERT/CCは、2022年の感染再拡大時に、ファイルサイズを500MB超に大きくしてアンチウイルス製品の検知回避が図られた例を報告しています。
ファイルの特徴やプロセスのふるまいから未知の脅威を判定する次世代アンチウイルス（NGAV）や、感染後の不審な挙動を検知して端末を隔離できるEDRを組み合わせることで、検知の取りこぼしと感染後の被害拡大の両方に備えられます。
出典・参考資料（1件）
- 出典：マルウェアEmotetの感染再拡大に関する注意喚起（JPCERT-AT-2022-0006）｜JPCERT/CC（リンク）
Q. Emotet対策製品は何から導入すべきですか？
A. Emotet対策は、まず費用をかけずにできる設定（Wordマクロの自動実行の無効化・OSの更新・オフラインバックアップ）を行ったうえで、製品としては入口を塞ぐメールセキュリティから着手し、次に端末側のEDR・次世代アンチウイルスを組み合わせるのが基本的な考え方です。Emotetの主な感染経路がメールであるためで、JPCERT/CCの予防策でもメールセキュリティ製品の導入が挙げられています。
入口（メール）と端末（EDR）の2軸を、自社の体制と予算に応じて段階的にそろえるのが現実的です。
出典・参考資料（1件）
- 出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC（リンク）
Q. Emotet対策製品は専任担当がいない中小企業でも導入・運用できますか？
A. Emotet対策製品は、監視・対応を外部に委託できるマネージド提供（MDR）を選べば、専任のセキュリティ担当を置きにくい中小企業でも「製品を入れても運用が回らない」という事態を避けて導入できます。
本記事で紹介した製品の中には、日本語でのサポートや従業員規模に応じたパッケージ、EDRの運用を外部に委託できる構成を用意しているものがあります。比較表で各製品の提供形態を確認し、資料で対応範囲を見比べてみてください。
まずは対応範囲と料金を資料で比較し、自社の体制に合う提供形態を選ぶとよいでしょう。
Q. Emotetに感染したかもしれない場合、まず何をすべきですか？
A. Emotetの感染が疑われる場合は、まず該当する端末をネットワークから隔離し、その端末で使っていたメールアカウントのパスワードを変更することが、JPCERT/CCが推奨する初動です。そのうえで、必要に応じてセキュリティ専門ベンダーと相談しながら、組織内の全端末をアンチウイルスでフルスキャンし、関連アカウントのパスワード変更・通信ログの監視・調査後の端末初期化を行います。
窃取された情報から取引先へなりすましメールが送られる可能性があるため、関係者への注意喚起もあわせて行いましょう。
出典・参考資料（1件）
- 出典：マルウエア Emotet の感染に関する注意喚起（JPCERT-AT-2019-0044）｜JPCERT/CC（リンク）
法人向けサービスを課題別に探すならMCB FinTechカタログ
MCB FinTechカタログでは、決済・金融・バックオフィス領域の法人向けサービスを課題別に探し、気になるサービスの資料をまとめて請求できます。EDR（エンドポイントセキュリティ）のほかの課題も、あわせてご確認ください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
