会社のPCで私用アカウント使っただけなのに…とくに新年度は要注意！たった1人の｢マルウェア感染｣で会社が止まる訳

感染のきっかけは意外にも、高度な技術ではなく利用者自身の何げない操作であることが多い。新年度など業務に不慣れな時期は、見知らぬ人からの依頼や指示にも判断がつきにくく、リスクは一段と高まる。

以降では、一般社員におけるマルウェア感染の注意すべき経路や、感染を招きかねない行動、万一の際の初動をあらためて整理している。この機会に一通り確認しておこう。

感染経路としてやはり最も気をつけたいのはメールだ。攻撃者は信頼できる送信元を装い、添付ファイルやリンクのクリックを促す。

生成AIの普及で攻撃メールの日本語は自然さを増し、文面だけでは見分けがつかなくなってきている。差出人の表示名なども簡単に偽装できてしまう。

入社直後や異動直後は各部署の担当者を把握しきれておらず、人事部門やIT部門を名乗る「手続き案内」も鵜呑みにはできない。時期に合わせた攻撃メールは定番中の定番だけに、油断は禁物だ。

近年は、生成AIブームに便乗した手口も増えてきた。偽のAIアプリやツールにマルウェアが仕込まれた事例が2024年頃から繰り返し確認されている。話題のツールを試したいという心理は自然だが、提供元が不明なものや、会社で許可されていないものは決してインストールしてはならない。

利用者の判断につけ込む手口

マルウェアは端末に届いただけでは動かない。多くの場合、何らかの形で「実行」される必要がある。添付ファイルを開く、プログラムを起動する。それが感染の瞬間だ。

この「実行」を利用者自身の手で行わせる手口が世界中で急増している。Webサイトの閲覧中に「私はロボットではありません」といった偽の認証画面やエラー表示を出し、表示された操作手順に従うよう指示してくる。

例えば「『Windows』キーを押しながら『R』を押してください」などのキーボード操作の手順が画面に表示される。操作の意味がわからなくても、指示どおりに押せば、マルウェアに感染してしまう。

キー操作のパターンはさまざまだが、Webサイト側がキーボードの具体的な操作手順を指示してくること自体が危険信号だ。この手口は「ClickFix」と呼ばれ、2024年頃から報告が相次いでいる。

技術的には単純な仕掛けだが、「画面の指示に従う」という行動習慣を逆手に取るため、ITの習熟度に関わらず誰もが引っかかりうる。

マルウェアに限らず、電話を使った誘導も根強い。攻撃者がITヘルプデスクを装い、セキュリティ上の問題があるなどと従業員に告げてツールのインストールを促してくる。

逆に、攻撃者が従業員になりすまして正規のヘルプデスクに電話をかけ、パスワードリセットを依頼するケースも報告されてきた。