>
>
公開日
最終更新日
トロイの木馬は、請求書、業務ソフト、ブラウザ拡張機能、偽の警告画面などを装い、利用者自身に実行させるマルウェアです。英語のTrojan horseは「トロイの木馬」を意味し、IT分野ではトロジャンと略して呼ばれる場合もあります。
企業では、感染端末の停止だけで終わらず、ブラウザに保存された認証情報やセッション情報が盗まれ、メール、VPN、クラウドストレージ、不正送金などへ被害が連鎖します。特に、Web画面の指示でコマンドを貼り付けさせるClickFixや、正規の遠隔操作ソフトを悪用する手口は、添付ファイル対策だけでは防げません。
この記事は、兼任情シス、セキュリティ担当者、SaaS管理者を対象に、用語の意味から対策の優先順位、感染が疑われる際の証拠保全までを扱います。自社の保有端末・アカウント・公開サービスを把握できていない場合は、製品選定より先に棚卸しから始めます。
トロイの木馬とは
トロイの木馬とは、正常なファイルや便利なツールに偽装して侵入し、利用者に気付かれないまま悪意ある処理を行うマルウェアです。
本記事のポイント
Trojan horseは「トロイの木馬」を意味し、トロジャンはその略称として使われます。
トロイの木馬は自己複製よりも、偽装、認証情報窃取、遠隔操作、追加マルウェアの導入を目的とします。
企業対策は、ウイルス対策ソフトだけでなく、ID管理、端末管理、ログ監視、復元可能なバックアップを組み合わせます。
感染が疑われた端末は、削除や初期化より先にネットワークから隔離し、証拠を保全します。
英語Trojanの意味と語源
Trojanは「トロイの」、trojan horseは「トロイの木馬」という意味です。語源はトロイア戦争の逸話で、ギリシア軍が兵士を隠した木馬を敵方の城内へ運び込ませた話に由来します。外見は無害でも内部に危険を隠している点が、コンピューター上のトロイの木馬と重なります。
IT用語としてのトロイの木馬は、ゲーム、PDF、更新プログラム、便利なユーティリティ、求人資料などを装うことがあります。多くは利用者が自ら開いたり、管理者権限を許可したりすることで攻撃者が端末内で情報窃取や遠隔操作を始めますが、脆弱性悪用やサプライチェーン侵害を通じて利用者操作を介さずに展開されるケースもあります。「なんとかの木馬」という比喩は、見かけと実態が異なる仕掛け一般を指す表現としても使われますが、情シスではマルウェアの名称として区別して扱います。
読み方とIT用語での定義
日本語での読み方は「トロイのもくば」です。英語のTrojanは一般に「トロウジャン」に近く発音され、国内のセキュリティ製品や調査資料では「トロイの木馬」「トロジャン」の両方が使われます。本記事では、初出以降は「トロイの木馬」に統一します。
経済産業省のコンピュータウイルス対策基準では、コンピュータウイルスを、自己伝染機能、潜伏機能、発病機能のうち一つ以上を持つプログラムとして定義しています。この法令・基準上の定義はトロイの木馬を包含する広い概念です。一方、実務上の分類では「正規ソフトに見せかける」「多くは利用者の操作を起点にする」という侵入方法を強調してトロイの木馬と呼び分けています。法令定義と実務分類は目的が異なるため、本記事では以降、実務上の分類に従って説明します。
ウイルスやワームとの構造的違い
狭義のコンピューターウイルスは、別のファイルに自らのコードを複製して感染を広げる性質を持ちます。ワームは、ネットワークを通じて自律的に拡散する性質を持つマルウェアです。一方でトロイの木馬は、単体のプログラムやスクリプトとして存在し、自己複製を必須条件としません。
分類 | 主な特徴 | 企業で起きやすい影響 |
|---|---|---|
トロイの木馬 | 正規ファイルやサービスに偽装し、利用者に実行させます。 | 認証情報窃取、遠隔操作、追加マルウェア導入が起きます。 |
コンピューターウイルス | ファイルなどへ自己複製して感染を広げます。 | 端末や共有フォルダで感染範囲が拡大します。 |
ワーム | ネットワーク経由で自律的に拡散します。 | 脆弱な端末やサーバーが短時間で侵害されます。 |
ランサムウェア | データ暗号化や窃取を行い、金銭を要求します。 | 業務停止、情報漏えい、取引先対応が発生します。 |
実際の攻撃では、これらの分類が単独で現れるとは限りません。トロイの木馬が侵入口となり、情報窃取、横展開、ランサムウェア実行へ進む多段階の侵害が典型です。そのため、ファイル名だけで種類を断定するより、端末上で何を実行し、どのIDで、どのクラウドサービスにアクセスしたかを追跡します。
▶ 関連記事: スマホのマルウェアとは？感染ルートと被害を防ぐセキュリティ対策
情報窃取型トロイとMFA突破の条件
情報窃取型トロイは、パスワードだけでなくログイン済みセッションを狙うため、MFAを設定していても端末とセッションの統制が弱ければ不正利用につながります。
ランサムウェア侵害の起点
攻撃者は、最初からランサムウェアを実行するとは限りません。まずインフォスティーラーや遠隔操作型トロイを侵入させ、ブラウザの保存情報、VPN接続情報、メールアカウント、クラウドのトークン、ネットワーク構成を集めます。その後、権限の高いアカウントを探し、共有フォルダやサーバーへ横展開してから暗号化やデータ窃取を行います。
警察庁が集計した2024年のランサムウェア被害報告は222件でした。また、IPAが2025年2月に公表した調査では、不正アクセス被害を受けた企業が挙げた攻撃手口は「脆弱性を突かれた」が48.0％、「ID・パスワードをだまし取られた」が36.8％でした。端末のマルウェア検知と、外部公開機器の脆弱性対策、ID保護を分離せずに管理する必要があります。
Cookie窃取とセッション再利用
ブラウザのCookieには、ログイン状態を維持するための情報が含まれる場合があります。情報窃取型トロイがCookie、保存済みパスワード、拡張機能のデータを抜き取ると、攻撃者が別端末からセッションを再利用する可能性があります。メールの自動転送設定変更、クラウドファイルの持ち出し、取引先へのなりすまし送信は、この段階で起きやすい事象です。
ただし、Cookieを盗まれたことが直ちにMFA突破を意味するわけではありません。端末準拠性を確認する条件付きアクセス、トークン保護、接続元IPや端末状態の評価、継続的アクセス評価、短いサインイン頻度、重要操作時の再認証が有効なら、盗用セッションが拒否または失効することがあります。反対に、端末状態を問わず長時間有効なセッションを許可している環境では、Cookie窃取の影響が大きくなります。
セッション保護の設定判断
管理者アカウントがクラウド管理画面にアクセスする場合は、準拠済み端末、フィッシング耐性のある認証方式、接続元制限を組み合わせます。利用者アカウントでは、業務影響を抑えるため、まずメール、ファイル共有、会計、勤怠など重要度の高いSaaSから再認証条件を見直します。
管理者、経理、営業など、侵害時の影響が大きいアカウントを分類します。
各SaaSで監査ログを取得できるか、端末準拠性を評価できるかを確認します。
取得できる場合は、海外・匿名経由・未管理端末からのアクセスを段階的に制限します。
取得できない場合は、管理者アカウントを別IDに分離し、ログイン通知と短いパスワード変更周期ではなく、強い認証方式と権限最小化を優先します。
ブラウザへのパスワード保存を一律に許すと、退職・異動・端末譲渡時の管理も難しくなります。企業向けパスワード管理ツールに集約できる場合は、共有範囲、アクセス記録、退職時の失効を管理しやすくなります。
▶ 関連記事: EDRとは？導入メリットや選び方をわかりやすく解説
▲ 情報窃取型トロイの木馬がMFAを突破し社内へ横展開する仕組み
感染経路と2025年以降の警戒ポイント
トロイの木馬対策では、メール添付だけでなく、偽Web画面、正規ツール悪用、スクリプト、モバイルアプリ、開発環境を侵入口として扱います。
ClickFixと偽の操作指示
ClickFixは、偽のCAPTCHA、エラー解消画面、本人確認画面などを表示し、利用者にクリップボードの内容を貼り付けて実行させる手口です。「WindowsキーとRを押す」「PowerShellへ貼り付ける」「ターミナルで確認する」といった操作を誘導し、利用者自身の権限で不正なスクリプトを走らせます。
この手口では、添付ファイルを開かないという教育だけでは足りません。社内ルールに「Webサイト、チャット、電話相手の指示で、PowerShell、ターミナル、コマンドプロンプトへ文字列を貼り付けない」を追加します。業務上どうしても実行が必要な場合は、依頼元、実行目的、コマンド内容をヘルプデスクまたは管理者が確認できる運用にします。
PowerShellとWindows標準ツールの悪用
PowerShell、wscript、mshta、rundll32などの正規機能は、管理作業にも攻撃にも使われます。このような正規ツール悪用はLOLBASと呼ばれます。単純にPowerShellを全面禁止すると、端末管理、ソフトウェア展開、業務自動化まで止まるため、利用実態を把握せずに遮断する方法は失敗しやすい対策です。
最初は、PowerShellのスクリプトブロックログとプロセス作成ログを収集し、誰が、どの端末で、どの時間帯に使っているかを記録します。利用部門と用途が明確になった後、一般利用者のスクリプト実行を制限し、管理用スクリプトは署名、承認済み保管場所、管理者権限の分離を適用します。業務上の互換性を確認できる端末群ではConstrained Language Modeを限定適用し、問題がなければ対象を広げます。
遠隔操作ソフトとサポート詐欺
偽のセキュリティ警告は、電話やチャットへ誘導し、遠隔操作ソフトの導入を促します。IPAは2024年11月の注意喚起で、AnyDesk、LogMeIn Rescue、TeamViewer、UltraViewerなどの既製遠隔操作ソフトが偽警告で悪用される例を挙げています。正規製品であることは安全な利用を保証しません。
遠隔支援を行う企業では、許可済み製品、接続を開始できる担当部署、利用時のチケット番号、ログ保存先を定めます。未許可製品の起動を検知できるなら、まず管理者端末と経理端末から監視対象にし、検知件数と業務影響を見て対象を拡大します。
モバイル端末とQRコード
スマートフォンでは、宅配通知、決済、金融機関、本人確認を装うSMSから偽サイトや不正アプリへ誘導する攻撃があります。PC向けEDRを全端末に導入するという考え方だけでは、モバイルの管理要件を満たせません。モバイルではMDMでOS更新、画面ロック、提供元不明アプリの制限を行い、業務データを個人領域から分離するMAMを組み合わせます。
業務用端末で不正アプリ、危険なネットワーク、フィッシングURLの検知が必要な場合は、Mobile Threat Defenseの導入可否を検討します。BYODでは端末全体を管理できない場合があるため、会社データを扱うアプリと条件付きアクセスを管理対象に限定し、個人領域への過度な監視を避けます。
開発環境と認証情報
開発端末には、SSH鍵、APIトークン、クラウド認証情報、ソースコード、CI/CDの接続情報が保存されやすく、情報窃取型トロイの価値が高い対象です。ソースコード管理サービスの個人アクセストークンを長期有効のままにすると、端末感染後に利用範囲を止めにくくなります。
開発環境で監査ログを取得できる場合は、トークン作成、権限変更、外部共有、CI/CD設定変更を通知対象にします。短期トークンやワークロードIDへ移行できる環境では、固定シークレットを減らします。移行が難しい場合でも、リポジトリ内の秘密情報検出と、漏えい時の失効手順を先に文書化します。
▶ 関連記事: アンチウイルスとは？意味・機能からEDR・IPSとの違いまで解説
国内統計と企業事例から見る被害規模
国内の被害統計は、トロイの木馬を含む侵害が端末1台の問題ではなく、復旧費用、業務停止、取引先対応に波及することを示しています。
ランサムウェアと不正アクセスの被害額
警察庁は、2024年のランサムウェア被害報告件数を222件と集計しています。ランサムウェアはトロイの木馬そのものではありませんが、トロイの木馬による認証情報窃取や遠隔操作が、その後の侵害に使われることがあります。端末の感染有無だけでなく、同じ利用者がアクセスしたSaaS、VPN、共有フォルダを追う必要があります。
IPAが2025年2月14日に公表したプレスリリース「企業のサイバーインシデント被害実態調査」（調査対象：国内民間企業）では、過去3期内にサイバーインシデントを経験した企業の平均被害額は73万円、復旧に要した平均期間は5.8日でした（出典：https://www.ipa.go.jp/pressrelease/2024/press20250214.html）。これは回答企業全体の平均であり、大規模なランサムウェア被害の損害額を表すものではありません。一方、JNSAの「インシデント損害額調査レポート」では、ランサムウェア感染被害の平均損害額は2,386万円、内部対応工数の平均は27.7人月でした。なお同調査ではランサムウェア以外のマルウェア（エモテット等）の平均損害額は1,030万円と別計上されており、両者を合算した数値ではありません。
調査・公表主体 | 確認できる数値 | 情シスの判断への使い方 |
|---|---|---|
警察庁 | 2024年のランサムウェア被害報告は222件です。 | ランサムウェアを例外的な事故ではなく、事業継続リスクとして扱います。 |
IPA | 平均被害額73万円、平均復旧期間5.8日です（2025年2月公表・国内民間企業対象）。一次資料：IPA プレスリリース（2025年2月14日） | 小規模な事故でも復旧対応の工数と停止日数を予算に含めます。 |
JNSA | マルウェア・ランサムウェア被害の平均損害額は2,386万円、内部対応工数は27.7人月です。 | 外部調査、顧客対応、再発防止まで含む対応計画を作ります。 |
IIJ | 2025年調査では、過去1年間にインシデントを経験した企業は20％超でした。 | 未経験を前提にせず、初動連絡網と復旧訓練を準備します。 |
IIJの「セキュリティ実態調査 2025」では、前年よりセキュリティ予算が増えた企業は40％弱で、過去1年間にインシデントを経験した企業は20％超でした。予算を増やせない企業では、全製品を同時に入れ替えるより、管理者アカウント、外部公開資産、バックアップ、検知ログの順に対象を絞る方が実行しやすくなります。
国内企業の導入事例
レオパレス21は、Microsoft 365のメールセキュリティ対策を3社4製品で運用していましたが、2021年頃からZIPファイルを受信できない取引先が増加したことなどを受け、2023年3月にCloud Mail SECURITYSUITEを導入したと公表しています。この事例はトロイの木馬対策だけを目的としたものではありませんが、メールが侵入口になり得る環境では、複数製品を使っている事実だけで安全性を判断できないことを示します。
このケースで情シスが参照できる実務上の観点は、製品数ではなく、添付ファイル検査、URL検査、誤送信対策、運用窓口、ログ確認の責任分界です。メール対策を見直す際は、既存の3社4製品のように機能が重複していないかを洗い出します。監査ログを一元取得できるなら検知ルールを統合し、取得できないなら重要メール経路から保護設定を標準化します。
市場拡大と人材不足
IDC Japanは、国内エンドポイントセキュリティ市場が前年比10.1％増の1,734億3,100万円となり、EDRが前年比22.8％成長して市場を牽引したと報告しています。EDRの導入が増えている背景には、従来型のウイルス対策だけでは、侵入後の振る舞いを十分に把握しにくい事情があります。
一方で、IPAの「情報セキュリティ白書2025」が紹介した調査では、不足しているセキュリティ人材として、セキュリティ担当者やCSIRT担当者を挙げた回答が70.1％で最多でした。24時間監視や高度な調査を内製できない場合は、端末数、監視時間、緊急連絡の範囲を明確にしたうえで、MDRやSOCサービスを比較します。ツールを導入しても、検知通知を誰が受け、何分以内に隔離判断をするかが未定なら、侵害の拡大を止めにくくなります。
失敗パターンと対策の優先順位
トロイの木馬対策で失敗しやすいのは、製品導入を先行させ、資産、ID、権限、ログ、復元手順の関係を整えないケースです。
よくある誤解と現実
よくある誤解 | 実務上の問題 | 優先する対応 |
|---|---|---|
ウイルス対策ソフトがあるため十分です。 | 未知のスクリプト、正規ツール悪用、認証情報窃取の確認が不足します。 | 端末のプロセス、通信、認証情報アクセスを記録できる範囲からEDRを適用します。 |
MFAがあるため不正ログインは起きません。 | 盗用セッション、端末乗っ取り、MFA疲労攻撃への統制が残ります。 | 管理者から端末準拠性、再認証、ログイン通知、権限分離を設定します。 |
PowerShellは禁止すれば解決します。 | 業務自動化や端末管理が止まり、例外運用が増えます。 | ログ取得、用途棚卸し、署名、限定実行の順に制御を強めます。 |
バックアップがあるため復旧できます。 | 常時接続のバックアップも暗号化・削除される可能性があります。 | 本番環境と権限を分け、復元テストで実際の復旧時間を測定します。 |
Macとスマホは対象外です。 | 端末管理の空白が認証情報窃取や業務データ持ち出しにつながります。 | PCはEDR、モバイルはMDM・MAM・必要に応じてMTDで統制します。 |
保有資産による優先順位
優先順位は従業員数だけでは決まりません。顧客情報、決済情報、設計データ、医療情報、管理者権限を扱うか、インターネット公開VPNやリモートデスクトップがあるか、委託先接続があるかで、侵害時の影響が変わります。IPAの調査で脆弱性悪用が48.0％と最多だったことを踏まえると、外部公開資産が把握できていない企業は、まず公開中のVPN、ルーター、リモートアクセス、SaaS管理者画面を棚卸しします。
公開資産の更新状況を把握できる場合は、重大な脆弱性の修正期限を決め、管理者アカウントと同じ優先度で運用します。把握できない場合は、外部公開を必要最小限に減らし、利用部門への聞き取りとDNS・契約台帳から一覧を作ります。製品の比較は、その一覧を作った後で行う方が、必要なログ、対応OS、隔離機能、運用時間を具体化できます。
セキュリティ製品選定の比較軸
EDR、MDR、メールセキュリティ、MDMを比較する際は、製品名の知名度ではなく、保護対象と運用責任を揃えます。価格は端末数、契約年数、監視時間、初期設定支援で変わるため、月額だけを比較すると必要な対応範囲が抜け落ちます。
比較軸 | 確認する内容 | 判断の分岐 |
|---|---|---|
保護対象 | Windows、macOS、サーバー、モバイルのどこまで対象かを確認します。 | モバイル中心ならPC向けEDRだけでなくMDM・MAMを含めます。 |
検知と隔離 | 端末隔離、プロセス停止、証跡保持の可否を確認します。 | 自社で夜間対応できないなら監視時間と緊急連絡を契約条件に含めます。 |
ログ連携 | ID、メール、VPN、クラウド監査ログと結び付けられるかを確認します。 | 連携できるなら侵害範囲の調査を短縮し、できないなら優先サービスを絞ります。 |
費用 | 初期費用、端末単価、最低契約数、運用支援を分けて確認します。 | 端末単価が低くても監視や初動支援が含まれない場合は、社内工数を加えて比較します。 |
一般的な相場として、EDRは1端末当たり月額1,000〜2,000円程度と紹介されることがあります。ただし、ログ保管期間、24時間監視、インシデント対応支援を含むかで費用は変動します。50端末なら端末ライセンスだけで月額5万〜10万円程度という試算になりますが、これは導入判断の概算であり、実際の見積もりでは対象OS、サーバー、初期構築、監視範囲を分けて算定します。
情シス向けの対策ロードマップ
トロイの木馬対策は、資産棚卸し、ID保護、端末検知、復旧訓練の順に基盤を作ると、限られた人員でも運用を継続しやすくなります。
最初の30日間の基盤整備
最初の30日間では、新しい製品を急いで増やすより、端末、アカウント、外部公開サービス、バックアップの所在を一覧化します。台帳には、所有者、OS、利用目的、管理者権限、最終利用日、EDRやMDMの適用有無、退職・異動時の廃止手順を記録します。未管理端末が一覧に出てくること自体が、対策の優先順位を決める材料になります。
次に、メール、VPN、クラウドストレージ、会計、勤怠、ソースコード管理など、業務停止または情報漏えいの影響が大きいサービスを並べます。管理者アカウント、共有アカウント、退職者アカウントを洗い出し、MFA未設定のものから設定します。共有IDを残す必要がある場合は、責任者、利用者、利用期限、保管する認証情報を台帳化し、個人のブラウザ保存に依存しない形へ変えます。
90日間の検知と制御
次の90日間では、端末ログとクラウド監査ログを使い、侵害の兆候を追える状態にします。PCではEDRを、モバイルではMDMとMAMを中心に適用し、未管理端末が重要SaaSへ接続する条件を制限します。すべての端末に同じエージェントを入れることが目的ではなく、端末種別に合った管理と検知を行うことが目的です。
PowerShellなどのスクリプト利用がある企業では、実行を直ちに止めるのではなく、ログを取得して通常利用を把握します。夜間や休日に突然発生した管理者権限のスクリプト実行、Officeアプリを親プロセスとする不自然なPowerShell起動、認証情報保存領域へのアクセスなどは調査対象にします。ソフォスの調査として紹介されているデータでは、ランサムウェア攻撃の88％が夕方・夜間・週末に開始されたとされるため、営業時間外の通知を誰が受けるかまで決めます。
セルフチェックリスト
次の項目で「未実施」が三つ以上ある場合は、EDRの高度な検知ルールより、資産とIDの基礎統制を先に整えます。
全PC、サーバー、業務スマホの所有者と管理状態を一覧化しています。
管理者アカウントと一般利用者アカウントを分離しています。
VPN、メール、クラウドストレージ、会計システムでMFAを有効化しています。
退職者・休職者・長期未使用アカウントを定期的に無効化しています。
管理者のログイン、権限変更、メール転送設定、外部共有のログを取得しています。
PowerShellなどのスクリプト実行ログを保存しています。
バックアップの削除権限が本番環境の管理者権限と分離されています。
四半期に1回以上、重要データの復元テストを行っています。
Web画面や電話の指示でコマンドを実行しない教育を実施しています。
感染時の連絡先、端末隔離の方法、取引先連絡の判断者を文書化しています。
外部支援を使う判断
セキュリティ担当者の不足は、多くの企業に共通する課題です。IPAの「情報セキュリティ白書2025」が紹介した調査では、セキュリティ担当者・CSIRT担当者の不足を挙げる回答が70.1％でした。夜間休日のアラート確認、端末隔離、フォレンジック調査を社内で担えない場合は、監視サービスの利用範囲を決めます。
監査ログを外部サービスへ連携でき、緊急連絡先を常時確保できるなら、MDRやSOCによる監視を重要端末から始めます。ログ連携や連絡体制を整えられない場合は、まず端末隔離を実行できるEDR、管理者アカウントの保護、インシデント連絡網を優先します。運用できない高度な製品を先に導入すると、アラート放置や例外設定の増加につながります。
感染が疑われるときの初動対応
感染が疑われるときは、端末を隔離して証拠を保全し、安全な端末から認証情報を失効させた後に、影響範囲を調査します。
最初の60分の行動
不審なファイルを開いた、見覚えのない遠隔操作画面が出た、ブラウザに不自然なログイン通知が届いた、Web画面の指示でコマンドを実行した、といった場合は、感染の確定を待ちません。まず有線LANを抜き、Wi-FiとVPNを切断し、端末をネットワークから隔離します。ただし、メモリ上の情報が調査に必要になる場合があるため、電源を直ちに切るかは社内の手順または調査担当者の判断に従います。
端末名、利用者、発生時刻、画面表示、実行した操作を記録します。
ネットワークを切断し、同じ端末でメールやクラウドへ再ログインしません。
安全な別端末から、利用者のメール、VPN、主要SaaSのセッション失効とパスワード変更を行います。
管理者アカウントを使った形跡がある場合は、優先して管理者セッションを失効させます。
情シス、経営責任者、委託先のインシデント窓口へ連絡し、勝手な削除や初期化を止めます。
サポート詐欺と実感染を区別できない場合でも、表示された電話番号へ連絡したり、指示された遠隔操作ソフトを入れたりしてはいけません。IPAが例示したように、既製の遠隔操作ソフトが悪用されることがあります。ブラウザの警告だけであれば、ブラウザを終了し、別端末からアカウントのログイン履歴を確認します。実行ファイルやコマンドを実行した場合は、端末侵害の可能性を前提に隔離します。
証拠保全とログ退避
初動で削除ツールを実行すると、攻撃者の通信先、実行履歴、侵害時刻などの証拠が失われることがあります。画面の写真、EDRの検知詳細、プロセスツリー、ネットワーク接続、メールヘッダー、ブラウザ履歴、クラウド監査ログを、改変しない場所へ退避します。ログの時刻は、端末、ID基盤、SaaS、VPNでタイムゾーンが異なる場合があるため、基準時刻も記録します。
情報窃取型トロイが疑われる場合は、感染端末だけを調べても不十分です。利用者がアクセスしたメール、ファイル共有、VPN、ブラウザ同期、パスワード管理ツール、開発サービスを対象に、異常ログイン、メール転送、OAuth同意、APIトークン作成、外部共有の変更を確認します。調査対象を広げる根拠は、トロイの木馬が端末の破壊より認証情報窃取を目的とする場合があるためです。
復旧と再発防止の順序
復旧は「端末を使える状態に戻すこと」ではなく、「攻撃者のアクセスを排除して安全に業務を再開すること」です。調査で侵害範囲を確認した後、認証情報、トークン、Cookie、APIキーを失効させ、端末を再構築または安全性を確認した状態へ戻します。その後に、分離されたバックアップから必要なデータを復元します。
バックアップを復元する前には、暗号化や改ざんが発生した時点より前の世代が残っているか、復元先が再侵害されない状態かを確認します。復元テストをしていないバックアップは、実際の復旧時間を見積もれません。IPAの調査で平均復旧期間が5.8日だった点も踏まえ、復旧目標を「翌日までにファイルを戻す」といった希望ではなく、復元テストの実測時間で設定します。
取引先・顧客への連絡判断
メールアカウントの不正利用が確認された場合は、なりすましメールを受け取る可能性がある取引先への連絡を優先します。原因を断定できない段階では、確認済みの事実、影響を受ける可能性のある範囲、相手に依頼する対応を分けて伝えます。推測だけで感染経路や漏えい件数を公表すると、後の訂正対応が大きくなります。
個人情報や契約上の重要情報を扱う企業では、法務、個人情報保護、広報、取引先窓口を初動連絡網に含めます。外部調査会社へ依頼する場合は、調査開始前に端末初期化やログ削除をしないこと、ログ保管期限、連絡窓口、意思決定者を共有します。
▶ 関連記事: パソコンがウイルスに感染したらどうする？原因や症状の確認方法、効果的な対策まで徹底解説
▲ 感染疑い発生から最初の60分で行うべき初動対応の4ステップ
よくある質問
トロイの木馬に関する基本用語と対策の疑問は、侵入方法と認証情報への影響を分けて考えると整理できます。
トロジャンとトロイの木馬の関係
Q：トロジャンとトロイの木馬は同じ意味ですか？
A：一般に同じ種類のマルウェアを指します。トロジャンは英語のTrojanに由来する呼び方で、日本語ではトロイの木馬と表現されます。製品の検知名では「Trojan:Win32」のように表記されることがあります。
英語の読み方と語源
Q：trojan horseは英語でどう発音しますか？
A：英語では「トロウジャン・ホース」に近い発音です。意味はトロイの木馬であり、無害に見えるものが内部へ危険を運ぶという古代ギリシアの逸話が語源です。
感染時の兆候
Q：トロイの木馬に感染したときの兆候は何ですか？
A：端末の動作低下、見覚えのないプロセス、セキュリティ設定の変更、ブラウザやメールの不審なログイン通知、勝手なメール転送設定などが兆候です。ただし、情報窃取型は目立つ症状を出さないため、端末ログとクラウド監査ログを確認します。
MFA導入後の対策範囲
Q：MFAを導入していれば対策は十分ですか？
A：十分ではありません。MFAはパスワード漏えい対策として有効ですが、端末乗っ取りや盗用セッションへの対策には、端末準拠性、再認証、管理者権限の分離、異常ログインの検知を組み合わせます。
Macとスマートフォンの管理
Q：Macやスマートフォンもトロイの木馬の対策対象ですか？
A：対象です。PCではOSに対応したEDRや端末管理を行い、スマートフォンではMDM、MAM、必要に応じてMobile Threat DefenseでOS更新、アプリ、業務データ、危険なURLを統制します。
まとめ
トロイの木馬は、正規のファイルや操作に見せかけて侵入し、認証情報窃取、遠隔操作、ランサムウェア侵害の足掛かりになるマルウェアです。Trojan horseやトロジャンという表記を見かけても、まずは「何を装い、どの端末・ID・サービスに影響したか」で判断します。
明日着手するなら、管理者アカウントと外部公開サービスの棚卸し、主要SaaSのMFA設定、未管理端末の特定、バックアップ復元テストの日程設定から始めます。Web画面の指示でコマンドを実行しないルールも社内へ周知します。感染が疑われた場合は、削除より先に隔離、証拠保全、別端末からの認証情報失効を行い、端末だけでなくクラウドとメールの利用履歴まで調査します。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
