情報システム担当者が押さえるべきマルウェア感染経路3選｜侵入防止と初動対応を整理

メール、RDP・VPNなどの遠隔接続、USBなどの外部媒体。

企業へのマルウェア侵入経路は、この3つを中心に整理できます。

ただし、感染経路を塞ぐだけでは十分ではありません。侵入後の横展開を防ぐためには、端末隔離、アカウント制御、ログ保全、社内連絡まで含めた初動設計が必要です。

本記事では、IPA・CISA・NISTの公開情報をもとに、情報システム部門が実務で確認すべき感染経路と対策を整理します。

マルウェア対策で重要なのは、製品を増やすことではありません。

「どこから侵入するのか」

「侵入後、どの経路で広がるのか」

「感染を疑った時、誰が何を止めるのか」

この3点を明確にすることが重要です。

どの経路にも共通するのは、人の操作と例外運用が攻撃の足場になりやすい点です。技術設定だけでなく、承認ルールや緊急時の手順まで整備しましょう。

1.メール添付・リンク：最も身近な侵入口

メールは古典的な攻撃手段ですが、現在も重要な感染経路です。

IPAは、Emotetの攻撃で正規メールへの返信を装う手口や、悪意のあるWord・Excelファイルが使われるケースを紹介しています。 ipa.go.jp

CISAも、フィッシングをメールだけでなく、SMS、SNSのダイレクトメッセージ、電話などを用いたソーシャルエンジニアリングとして説明しています。 cisa.gov

生成AIの普及により、文面や日本語の不自然さだけで見抜くことは難しくなっています。

• 添付ファイルやURLの検査が有効になっているか
• マクロ付きファイルや実行形式ファイルを制御しているか
• URLのクリック後に再評価・再検査が行われるか
• 不審メールの報告先が明確か
• 誤って開いた場合の連絡手順が周知されているか
• Teamsやチャット、SMS経由の誘導も監視対象になっているか

利用者に求めるべき行動は、「すべて見抜く」ことではありません。

違和感があれば開き続けず、すぐに報告する。

この行動を定着させるため、報告ボタンや専用窓口を用意しましょう。報告先が分からない組織では、利用者が判断に迷っている間に被害が広がる可能性があります。

2.RDP・VPN・遠隔保守ツール：侵入後の横展開にも悪用される

遠隔接続は業務に不可欠な一方、設定や運用に不備があると、侵入経路と横展開経路の両方になります。

CISAは2024年10月、悪意のあるRDPファイルを添付した大規模なスピアフィッシングについて警告しました。 cisa.gov

また、2025年6月には、未更新のSimpleHelp RMMがランサムウェア攻撃者に悪用された事例も公表されています。 cisa.gov

重要なのは、RDPや遠隔保守ツールを一律に禁止することではありません。

公開範囲、認証、接続元、監視方法を適切に制御することです。

• インターネットから直接接続できるRDPが残っていないか
• VPNや保守ポータルが不要に公開されていないか
• MFAが必須化されているか
• 共用アカウントや不要な管理者権限が残っていないか
• 接続元IP制限や踏み台サーバーを利用しているか
• 遠隔保守ツールの資産とバージョンを把握しているか
• 夜間・休日の不審な接続を検知できるか

一時的に開放した接続口や、委託先のアカウントは、定期的な棚卸しの対象にしましょう。

3.USBなどの外部媒体：防御の外側から侵入する例外経路

クラウド化やテレワークが進んでも、USBメモリや外付けディスクのリスクは残ります。

CISAは、リムーバブルメディアがファイアウォールや侵入検知システムを迂回し、マルウェアの侵入や横展開に使われる可能性を指摘しています。 cisa.gov

NISTも、OT環境におけるUSBなどのポータブル記憶媒体について、物理的・技術的なアクセス制御や利用前後のスキャン、Autorun無効化などを推奨しています。 nvlpubs.nist.gov

全面禁止が難しい場合は、次のように管理します。

1. 原則禁止とし、必要な場合のみ申請制にする
2. 許可済み媒体を台帳で管理する
3. 接続時に自動スキャンを実施する
4. Autorunを無効化する
5. 私物媒体と業務媒体を分離する
6. 制御系・オフライン端末向けに専用手順を用意する
7. 利用履歴を定期的に確認する

「禁止」か「黙認」かの二択ではなく、例外を可視化して管理することが重要です。

感染を疑ったら、調査より先に封じ込める

感染の可能性がある場合、最初から原因究明を優先すると、攻撃者が社内で活動する時間を与えてしまいます。

まずは、被害拡大を止める判断を優先しましょう。

1. 対象端末をネットワークから隔離する
2. 対象アカウントや認証情報を停止・変更する
3. 管理者権限や共有フォルダへのアクセスを制限する
4. EDR、認証、メール、VPN、プロキシなどのログを保全する
5. 同一メールや接続元による横展開を確認する
6. 経営層、法務、広報、委託先への連絡系統を起動する

NISTは、インシデント対応の能力を整備し、検知・対応・復旧を効率化するためのガイダンスを提供しています。現在はSP 800-61 Rev.3がRev.2を後継しています。 nist.gov

初動手順は、マルウェアの種類ごとに細かく分けすぎないこともポイントです。最初の数十分は、隔離・認証制御・ログ保全・連絡を共通手順として実行できる状態にしておきましょう。

対策は「製品」ではなく「経路」で管理する

対策を製品単位で管理すると、次のような空白が生まれます。

• 製品は導入したが、運用担当者が決まっていない
• ログは取得しているが、監視されていない
• 例外設定が増え、誰も把握していない
• 感染時に端末を隔離する権限がない

そこで、次の3層で整理します。

• メール防御
• MFA
• パッチ適用
• アプリケーション実行制御
• USB制御

• EDRアラート
• 認証ログ
• VPNログ
• メールログ
• 端末接続履歴

• 端末隔離
• アカウント停止
• 遠隔接続遮断
• 社内通知
• 外部通報・公表判断

各感染経路について、この3層がつながっているかを確認してください。

情シス向け月次チェックリスト

• 添付ファイル・URLの検査ルールは適切か
• マクロ付き文書やパスワード付き圧縮ファイルの例外が増えていないか
• 不審メールの報告から隔離までの手順を確認したか

• 一時的に公開したRDPや保守ポータルを閉鎖したか
• 委託先アカウントを棚卸ししたか
• MFA未対応の接続方式が残っていないか
• 遠隔保守ツールを最新状態に保っているか

• USB利用申請と実際の接続ログに差異がないか
• 持ち込み媒体の検査が省略されていないか
• オフライン端末向けの手順が最新か

• 端末隔離を誰が指示・実行するか明確か
• 夜間・休日の連絡先が更新されているか
• 経営層・法務・広報への連絡条件が定義されているか

小規模な情シスが優先すべき4項目

人員や予算が限られる場合は、次の順で着手しましょう。

1. 外部公開されたRDP・VPN・保守接続の棚卸し
2. メール添付ファイルとURLの防御強化
3. USBなど外部媒体の例外運用の整理
4. 感染時の隔離・連絡フローの演習

全社員研修だけを先に強化しても、公開RDPや未更新の保守ツールが残っていれば、被害を抑えきれません。

まずは、侵入口を減らす、侵入後に広がりにくくする、初動で迷わないという順番で整備することをおすすめします。

セキュリティ診断で、自社の感染経路を可視化しませんか？

自社では対策できているつもりでも、次のような設定や運用が残っているケースがあります。

• 外部公開された遠隔接続
• MFA未対応のアカウント
• 長期間更新されていない保守ツール
• 管理されていないUSB利用
• 不審メールの報告後に誰も初動できない体制

InfiniCore株式会社では、貴社の環境に合わせて、感染経路・公開設定・認証・端末運用・初動体制を確認するセキュリティ診断を実施しています。

「何から確認すべきか分からない」

「対策の優先順位を整理したい」

「経営層に改善計画を説明したい」

このような課題をお持ちの方は、まずは診断で現状を可視化してください。

自社の感染経路と優先対策を確認する

FAQ

一般的な企業IT環境では、まずメールと遠隔接続を確認しましょう。攻撃に利用されやすく、被害が大きくなりやすいためです。USBなどの外部媒体も、例外経路として棚卸しが必要です。

十分ではありません。教育に加えて、メール防御、実行制御、MFA、パッチ適用、媒体制御を組み合わせる必要があります。

最初の段階では、マルウェア全般に共通化する方が実用的です。端末隔離、認証制御、ログ保全、横展開確認を共通手順とし、詳細な分岐は状況が判明してから追加します。

まとめ

企業の主なマルウェア感染経路は、次の3つです。

• メール添付・リンク
• RDP・VPNなどの遠隔接続
• USBなどの外部媒体

対策は製品単位ではなく、感染経路ごとに「予防・検知・対応」をセットで設計しましょう。

まずは、外部公開された遠隔接続の棚卸し、メール防御の見直し、USBルールの明文化、初動連絡フローの整備から始めるのがおすすめです。