【マルウェア】　
もっと知りたい！ Pickup IT用語 第69回

「マルウェア（Malware）」とは、英語の「Malicious（マリシャス：悪意のある）」と「Software（ソフトウェア）」を組み合わせた造語です。利用者や組織に害を与える目的で作られたソフトウェアやプログラム全般を指す「総称」で、特定のプログラム名ではありません。

「パソコンがウイルスに感染した」とよく話題になりますが、ウイルスもマルウェアの一種です。マルウェアにはほかにワームやトロイの木馬、ランサムウェアなどが含まれます。医療に例えるなら、「病原体」全般にあたるのがマルウェアです。インフルエンザウイルスと結核菌とで感染経路も対処法も違うように、マルウェアも種類ごとに狙いと手口、対応策が異なります。

だからこそ、情報を静かに盗み出すタイプ、遠隔操作の裏口を作るタイプなど、被害の形が見えにくい脅威も含めたマルウェアへの備えが必要なのです。

マルウェアには数多くの種類があります。ニュースにもよく登場する代表的なものを押さえておきましょう。

＜ウイルス、ワーム＞
ウイルスは他のファイルに寄生して増殖し、ワームは単体で自己増殖します。ネットワークにつながっているだけで感染が広がるのがワームの怖さです。

＜トロイの木馬＞
正規のソフトや便利なツールを装って侵入し、内部で不正な動作を行います。利用者自身が「安全だと思って招き入れてしまう」点が厄介です。

＜ランサムウェア＞
データを暗号化したり端末をロックしたりして、復旧と引き換えに金銭を要求します。

＜スパイウェア、キーロガー＞
利用者に気付かれないよう潜伏し、入力したパスワードや閲覧履歴、機密情報を外部へ送信するタイプ。そのうち、キーボード操作を記録するものがキーロガーです。派手な症状が出ないため、発見が遅れがちです。

＜アドウェア＞
不要な広告を強制的に表示させたり、広告の成果を不正に横取りしたりして収益を得ます。

＜バックドア、RAT＞
攻撃者が後からいつでも侵入できる「裏口」を作ります。RAT（Remote Access Trojan＝遠隔操作型トロイの木馬）に感染すると、端末を外部から自由に操作されてしまいます。

今も主流のマルウェア感染経路は、「Eメール」です。取引先や公的機関を装ったフィッシングメールで添付ファイルを開かせたり、不正なURLをクリックさせたりする手口は、生成AIの悪用で文面が自然になったことで、見抜くのが一段と難しくなっています。

さらに最近、より深刻な問題として浮上したのが「正規の入手経路そのものが乗っ取られる」ケースです。

日本でも広く使われるテキストエディター「EmEditor」の事例では、公式サイトの「今すぐダウンロード」ボタンのリンク先が第三者に改ざんされ、2025年12月下旬から2026年年始にかけて、正規ではないインストーラーが配布されていた可能性があると開発元が公表しました。厄介なことに、問題のインストーラーではEmEditor自体のインストールは正常に完了するため、利用者が異常に気付きにくい構造になっていました。

同じような手口は海外でも起きています。2026年4月には、パソコンのハードウェア情報を表示する定番ソフト「CPU-Z」「HWMonitor」の公式サイトが不正アクセスを受け、ダウンロードリンクが遠隔操作型マルウェアに差し替えられました。ソフト自体は無傷でしたが「配布経路だけ」が乗っ取られた形です。

身近なツールが後から牙をむくこともあります。2026年3月、画像をJPG／PNG／WebPとして保存する人気のChrome拡張機能「Save Image as Type」が、マルウェア検出によりGoogleに削除・無効化されました。この拡張機能にはGoogleが優良と認める「Featured」バッジが付き、100万人を超える利用者がいました。業務用のパソコンにインストールしていた企業も少なくないはずです。

さらに、購入した時点ですでに感染している事例もあります。2026年2月、セキュリティ企業のカスペルスキーは、複数メーカーのAndroidタブレットの一部でファームウェア（機器を制御する基本ソフト）に「Keenadu」というバックドア型マルウェアが埋め込まれていると公表しました。製造段階で仕込まれていたとみられ、利用者側では防ぎようがありません。マルウェアはパソコンだけの問題ではなく、スマートフォンやタブレットも対象となることを示す事例といえます。

自分の端末がマルウェアに感染していないか、どう確認すればよいのでしょうか。

兆候としては、動作が急に重くなる、見覚えのないアプリが増えているといった変化が挙げられます。ただし「異常が見当たらないこと」は安全の根拠にはなりません。スパイウェアやバックドアは、気付かれないことを目的に作られているためです。

マルウェアチェックの基本は、対策ソフトによるフルスキャンです。Windowsであれば標準搭載のMicrosoft Defenderでもスキャンを実行できます。企業で導入済みの対策ソフトがあればそちらを使いましょう。いずれもマルウェアの定義ファイルを最新にしてから実行します。

一方で気を付けたいのが、ブラウザーなどに突然表示される「マルウェアが検出されました」という警告画面です。警告音とともに電話番号を表示するものの大半は偽の警告で、「サポート詐欺」と呼ばれる手口です。表示された番号には絶対に電話せず、指示されたソフトもインストールしないでください。マルウェア検出は、必ず自分が起動した対策ソフトの画面で確認しましょう。

企業の端末で感染が疑われる場合、最も重要なのは初動です。まずLANケーブルを抜く、Wi-Fiを切るなどしてネットワークから切り離し、速やかに情報システム部門へ報告してください。自己判断でのマルウェア削除や初期化は、被害範囲を調べるための痕跡まで消してしまい、かえって調査を妨げることになります。

情報処理推進機構（IPA）の「情報セキュリティ10大脅威2026」によれば、組織向け脅威のうち「ランサム攻撃による被害」と「サプライチェーンや委託先を狙った攻撃」が4年連続で1位・2位を占めました。前述したように、脅威は必ずしも怪しい見た目でやってくるとは限りません。

経済産業省が創設を進める「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、企業のセキュリティ水準を共通基準で可視化し、5段階で評価する仕組みです。2026年度末ごろの運用開始を目指しており、取引の条件として評価水準が問われる場面が増えていきそうです。セキュリティ投資は「守りのコスト」から「取引を継続するための条件」へと、位置付けが変わりつつあるのです。

対策として、OSやソフトウェア、ネットワーク機器のファームウェアを最新に保ち、脆弱性を放置しないことや、業務用端末に導入するツールなどを管理し、デジタル署名を確認してから使う運用を取り入れることは大前提です。プラスして検討したいのが、「入られた後」に気付ける仕組みを持つことです。

従来のアンチマルウェア（マルウェア対策ソフト）が「入れさせない」門番だとすれば、EDR（Endpoint Detection and Response：端末での検知と対応）は、侵入後の不審な挙動を検知し、被害の拡大を止める役割を担います。侵入を100％防ぐことができない以上、両者の併用が現実的な解となります。

また、バックアップは「取ってあるかどうか」ではなく「決めた時間内に戻せるか」で評価する必要があります。

そこで、ネットワークから切り離したバックアップの保管に加え、近年は一度書き込んだデータを一定期間変更・削除できなくする「イミュータブル（変更不可）バックアップ」の採用が進んでいます。さらに復旧手順を事前に用意して訓練しておくこと、業務ごとに「何時間以内に復旧させるか」という目標復旧時間（RTO）を定めることも重要です。

これらに加えて、アクセス権限の最小化と従業員教育も欠かせません。偽警告への対処法まで共有しておくことが、実際の被害を減らします。

マルウェア対策とは、もはや「ウイルス対策ソフトを入れること」ではありません。公式サイトも、人気ツールも、新品の端末も、100％の安全は保証してくれません。その前提に立ち、更新を怠らず、侵入された後に気付ける仕組みを持ち、そして決めた時間内に事業を復旧できる状態にする。この備えこそが、企業の信頼を守る最も確実なセキュリティ対策といえるでしょう。