マルウェアとは？新人情シス担当者向けに基本の種類と対策をわかりやすく解説

「マルウェアに感染した」「ウイルス対策ソフトを導入しよう」 情報システム担当者として、このような言葉を日常的に見聞きする機会は多いでしょう。しかし、これらの言葉の意味を正しく、そして自信を持って説明できますか？

この記事は、新たに情報システム部門に配属された方や、セキュリティの基礎を改めて学びたいと考えている担当者の方に向けて、マルウェアの基本から具体的な対策までを体系的に、そして何よりもわかりやすく解説します。

よく混同されがちな「マルウェア」と「コンピュータウイルス」。この2つの違いを理解することが、セキュリティ対策の第一歩です。

一言でいうと、マルウェアは悪意のあるソフトウェアやプログラム全体の総称であり、ウイルスはマルウェアの一種です。

• マルウェア（Malware）: 悪意のある（Malicious）とソフトウェア（Software）を組み合わせた造語。利用者に不利益をもたらすプログラム全般を指す、大きなカテゴリです。
• ウイルス（Virus）: マルウェアの一種で、特定のファイルに寄生し、自己増殖する機能を持つもの。人間が感染するウイルスが細胞に取り付いて増殖するように、プログラムの一部を書き換えて自身のコピーを他のファイルに埋め込み、感染を広げていきます。

つまり、マルウェアという大きな枠組みの中に、ウイルスや後述するワーム、トロイの木馬といった様々な種類が存在する、とイメージしてください。すべてのウイルスはマルウェアですが、すべてのマルウェアがウイルスというわけではありません。

サイバー攻撃の手口が年々巧妙化・悪質化する現代において、企業のITインフラを守る情報システム担当者の役割は、かつてないほど重要になっています。特にマルウェアは、企業の活動を根幹から揺るがしかねない深刻な脅威です。

• 事業継続への直接的な脅威: ランサムウェアに感染すれば、業務システムが停止し、事業の継続が困難になります。
• 金銭的な大損失: 身代金の要求だけでなく、システムの復旧費用やビジネス機会の損失など、被害額は甚大です。
• 信頼の失墜: 個人情報や機密情報が漏洩すれば、顧客や取引先からの信頼を失い、企業の存続そのものが危ぶまれます。

マルウェアの脅威は、もはや他人事ではありません。情シス担当者として、その仕組みを正しく理解し、適切な対策を講じることは、会社と従業員、そして顧客を守るための最重要ミッションなのです。

この記事を最後まで読めば、あなたは以下の知識を身につけることができます。

• マルウェアの基本的な種類とその手口
• マルウェアがどのように社内ネットワークに侵入してくるのか（主な感染経路）
• 明日からすぐに実践できる、新人情シスでも安心の具体的な対策
• 万が一の事態に備えるための初動対応と、継続的な情報収集術

専門用語はできるだけ避け、具体例を交えながら解説していきます。一歩ずつ、着実に知識を深めていきましょう。

マルウェアと一括りに言っても、その性質や攻撃方法は様々です。ここでは、情シス担当者として必ず押さえておくべき代表的なマルウェアの種類とその手口を見ていきましょう。

前述の通り、ウイルスはプログラムファイルや文書ファイルに寄生（添付）し、そのファイルが開かれることで活動を開始します。そして、他のファイルに次々と自分自身をコピーし、感染を拡大させていくのが特徴です。ファイルからファイルへと感染が広がる様子から、「ウイルス」と名付けられました。

• 手口: WordやExcelのマクロ機能などを悪用してファイルに潜み、ユーザーがファイルを開くのを待ち構える。
• 目的: ファイルの破壊、システムの誤作動など。

ワーム（Worm）は「虫」を意味する言葉で、ウイルスのように他のファイルに寄生することなく、単独で存在し、自己増殖できるマルウェアです。ネットワークの脆弱性などを利用し、まるで虫が這うようにコンピュータからコンピュータへと自律的に感染を広げていきます。感染力と拡散スピードが非常に速いのが特徴です。

• 手口: ネットワークの脆弱性を突き、メールやファイル共有などを介して自身のコピーを大量に送りつけ、感染を爆発的に広げる。
• 目的: ネットワークに負荷をかけてダウンさせる、特定のWebサイトへDDoS攻撃の踏み台にするなど。

ギリシャ神話に登場する「トロイの木馬」が名前の由来です。一見すると便利なツールや面白そうなゲーム、正規のソフトウェアといった無害なプログラムを装ってユーザーにダウンロードさせ、コンピュータ内部に侵入します。ウイルスやワームと違い、自己増殖はしませんが、侵入後に攻撃者が遠隔操作するための「バックドア」を設置します。

• 手口: フリーソフトやアプリに偽装し、ユーザー自身の手でインストールさせる。
• 目的: データの窃取、削除、外部からの遠隔操作、他のマルウェアのダウンロードなど。

ランサム（Ransom）は「身代金」を意味します。その名の通り、感染したコンピュータ内のファイルやシステム全体を暗号化して使用不能にし、その復旧と引き換えに金銭（身代金）を要求する、極めて悪質なマルウェアです。近年、企業にとって最も警戒すべき脅威の一つと言えるでしょう。

• 手口: メールやWebサイト経由で侵入し、データを暗号化。「データを人質」に身代金を要求する。近年はデータを公開すると脅す「二重恐喝」も増えている。
• 目的: 金銭の要求。

「うちは大企業じゃないから大丈夫」という考えは、もはや通用しません。サプライチェーン（供給網）の脆弱性を狙い、セキュリティ対策が手薄になりがちな中小企業を足がかりに、取引先の大企業へ攻撃を仕掛けるケースが急増しています。

独立行政法人情報処理推進機構（IPA）が発表した報告書でも、ランサムウェアの脅威は深刻度を増していることが示されています。

組織向けの脅威では、「ランサムウェアによる被害」が2023年に引き続き1位となった。国内において、2023年も引き続き、規模や業種を問わず、多くの企業や組織で被害が発生した。

出典: IPA「情報セキュリティ10大脅威 2024」

この報告が示すように、ランサムウェアは企業規模を問わず、全ての組織にとって喫緊の課題です。自社が狙われる可能性を常に意識し、対策を講じる必要があります。

スパイ（Spy）の名の通り、ユーザーが気づかないうちにコンピュータにインストールされ、内部の情報を収集して外部の攻撃者に送信するマルウェアです。個人情報やクレジットカード情報、Webサイトの閲覧履歴、ID・パスワードなどが主な標的となります。

• 手口: フリーソフトのインストール時に同時にインストールされたり、Webサイトを閲覧しただけで侵入したりする。
• 目的: 個人情報や機密情報の窃取、マーケティング目的での情報収集など。

アド（Ad）は「広告」を意味します。感染すると、ユーザーの意図に関わらず、デスクトップ上にポップアップ広告を強制的に表示させます。直接的な被害は少ないものの、何度も表示される広告によって業務効率が著しく低下する点が問題です。

• 手口: 主にフリーソフトのインストール時に、利用規約などをよく読まずに同意することで同時にインストールされることが多い。
• 目的: 広告収入の獲得。

上記以外にも、注意すべきマルウェアは存在します。

• ボット: 感染したコンピュータを、攻撃者が外部から遠隔操作できるようにするマルウェア。多数のボットに感染したPC群（ボットネット）は、DDoS攻撃などに悪用される。
• キーロガー: キーボードの入力履歴を記録し、外部に送信するマルウェア。IDやパスワード、クレジットカード番号などを盗む目的で使われる。

マルウェア対策を効果的に行うには、まず敵がどこから侵入してくるのか、その「感染経路」を知ることが不可欠です。ここでは、代表的な感染経路をワースト5形式で紹介します。

最も古典的かつ、依然として主流の感染経路です。業務連絡や取引先、公的機関などを装った巧妙なメールを送りつけ、悪意のある添付ファイル（請求書や見積書に偽装したWord、Excel、PDFなど）を開かせたり、本文中のURLをクリックさせて不正なサイトへ誘導したりします。

一見、普通の企業サイトやニュースサイトに見えても、そのサイトが攻撃者によって改ざんされている場合があります。このようなサイトを閲覧しただけで、ユーザーが何も操作しなくても、OSやブラウザの脆弱性を突いて強制的にマルウェアをダウンロード・実行させてしまう攻撃を「ドライブバイダウンロード」と呼びます。

OS（Windows, macOSなど）や、PCにインストールされている各種ソフトウェア（Adobe Reader, Javaなど）には、「脆弱性（ぜいじゃくせい）」と呼ばれるセキュリティ上の弱点が見つかることがあります。この脆弱性を放置していると、攻撃者はそこを狙ってマルウェアを送り込み、システムに侵入します。

業務でUSBメモリや外付けHDDを使用する機会は多いですが、これらもマルウェアの感染経路となり得ます。マルウェアに感染したPCで使用したUSBメモリを、社内の別のPCに接続することで、ウイルスが拡散するように感染が広がってしまうケースです。特に、私物のUSBメモリの使用は大きなリスクを伴います。

インターネット上には便利なフリーソフトやスマートフォンアプリが数多く存在しますが、その中にはマルウェア（特にトロイの木馬やアドウェア、スパイウェア）が仕込まれているものが紛れています。安易にダウンロード・インストールすると、気づかないうちに情報を盗まれたり、迷惑な広告に悩まされたりする原因となります。

マルウェアの脅威について学んできましたが、ここからは具体的な対策について解説します。専門的で難しそうに感じるかもしれませんが、基本を押さえれば大丈夫です。まずは「技術的対策」と「人的対策」の2つの側面からアプローチしましょう。

これらは情シス担当者が主導して実施すべき、システム面での基本的な防御策です。

最も基本的な対策です。社内のすべてのPCやサーバーに信頼できるアンチウイルスソフト（エンドポイントセキュリティソフト）を導入しましょう。そして最も重要なのは、マルウェアを検知するための「定義ファイル（パターンファイル）」を常に最新の状態に保つことです。自動更新設定は必須です。

前述の通り、OSやソフトウェアの脆弱性はマルウェアの格好の侵入経路です。MicrosoftやAdobeなどのベンダーから提供されるセキュリティ更新プログラム（パッチ）を、できるだけ迅速に、かつ全社的に適用する運用体制を構築しましょう。

ファイアウォールは、社内ネットワークと外部インターネットの間に立ち、不正な通信をブロックする「防火壁」の役割を果たします。設定を見直し、不要な通信ポートが開放されていないか確認しましょう。さらに、ファイアウォールだけでなく、アンチウイルス、不正侵入検知・防御（IDS/IPS）など、複数のセキュリティ機能を一台に集約したUTM（統合脅威管理）の導入も非常に効果的です。

万が一ランサムウェアに感染してデータが暗号化されても、バックアップがあれば事業を復旧できます。重要なデータは定期的にバックアップを取得し、ネットワークから切り離された場所（オフライン）やクラウド上など、複数の場所に保管（3-2-1ルール）しましょう。また、いざという時に本当に復旧できるか、定期的な復旧テストも忘れずに行いましょう。

推測されやすいパスワードの使用を禁止し、定期的な変更を義務付けるなど、パスワードポリシーを徹底させましょう。さらに、ID/パスワードに加えて、SMS認証や認証アプリなどを組み合わせる**多要素認証（MFA）**を導入することで、不正ログインのリスクを大幅に低減できます。

どれだけ強固なシステムを導入しても、それを使う「人」の意識が低ければ、セキュリティは簡単に破られてしまいます。

「怪しいメールは開かない」「安易にフリーソフトをダウンロードしない」といった基本的なルールを、全従業員に周知徹底させるための定期的なセキュリティ教育が不可欠です。実際に不審なメールを模したものを送付する「標的型攻撃メール訓練」などを実施し、従業員の意識向上を図ることも有効です。

「マルウェアに感染したかもしれない」と感じた時に、従業員がすぐに、そして躊躇なく情報システム部門に報告できる体制を整えておくことが重要です。隠蔽は被害を拡大させるだけです。誰に、何を、どのように報告するのか、明確なルールを定めて周知しておきましょう。

万が一、感染が疑われる事態が発生した場合、パニックにならず、以下の手順で冷静に対応することが被害を最小限に食い止める鍵となります。

1. ネットワークからの隔離: まずは感染が疑われるPCのLANケーブルを抜く、Wi-Fiをオフにするなどして、ネットワークから物理的に切り離します。これにより、他のPCへの感染拡大を防ぎます。
2. 上長および情報システム部門への報告: 定められた報告・連絡体制に従い、速やかに関連部署へ報告します。
3. 状況の確認と記録: いつ、どのPCで、どのような操作をした後に、どんな現象（不審な画面表示、PCの動作が重いなど）が発生したのかを、わかる範囲で記録します。
4. アンチウイルスソフトでのスキャン: 隔離した状態で、最新の定義ファイルに更新したアンチウイルスソフトでフルスキャンを実行します。
5. 専門家への相談: 自社での対応が困難な場合は、契約しているセキュリティベンダーや、後述する専門機関へ速やかに相談しましょう。

サイバー攻撃の手口は日々進化しています。情シス担当者として、常に最新の脅威動向をキャッチアップし、対策をアップデートしていく姿勢が求められます。

まずは信頼できる情報源を定期的にチェックする習慣をつけましょう。

• IPA（独立行政法人情報処理推進機構）: 日本のIT政策を担う公的機関。セキュリティに関する注意喚起や対策情報を数多く発信しており、特に「情報セキュリティ10大脅威」は必読です。
• JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）: インシデント対応の専門チーム。脆弱性情報や攻撃の分析レポートなど、技術的で信頼性の高い情報を発信しています。
• 主要セキュリティベンダーのブログ・レポート: トレンドマイクロ社やシマンテック社など、大手セキュリティ企業が発信する最新の脅威動向や分析レポートも非常に参考になります。

自社だけで悩みを抱え込まず、外部の知見を頼ることも重要です。

• セキュリティ・キャンプ: 若手IT人材を対象とした合宿形式の育成プログラムですが、そのコミュニティやイベントは、他の技術者と情報交換をする良い機会となります。
• 各種IT系カンファレンス・セミナー: セキュリティをテーマにしたイベントに参加し、専門家の講演を聞いたり、他社の情シス担当者と交流したりすることで、新たな知見や解決のヒントが得られます。

本記事では、新人情報システム担当者の皆様に向けて、マルウェアの基本から具体的な対策までを網羅的に解説してきました。

• マルウェアとは: 悪意のあるソフトウェアの総称であり、ウイルスはその一種。
• 代表的な種類: ファイルに寄生する「ウイルス」、単独で増殖する「ワーム」、無害を装う「トロイの木馬」、身代金を要求する「ランサムウェア」などがある。
• 主な感染経路: メール、改ざんされたWebサイト、ソフトウェアの脆弱性、USBメモリ、不正アプリなどが挙げられる。
• 基本的な対策: 技術的対策（アンチウイルス、パッチ適用、バックアップ等）と、人的対策（従業員教育、報告体制の構築）の両輪で進めることが重要。

マルウェアの脅威は、決して他人事ではありません。この記事で得た知識をもとに、まずは自社のセキュリティ対策が現状の脅威に対応できているか、見直すことから始めてみてください。

「どこから手をつければいいかわからない」「自社の対策に不安がある」 もしそうお考えでしたら、専門家の知見を活用するのも有効な手段です。

弊社では、お客様の状況に合わせた最適なセキュリティ対策をご提案する無料相談や、より詳細な対策手法をまとめたお役立ち資料のダウンロードをご用意しております。企業の信頼と未来を守るため、ぜひお気軽にお問い合わせください。