>
>
公開日
最終更新日
トロイの木馬は、ランサムウェア攻撃、認証情報の窃取、取引先へのなりすましメールの起点になりやすいマルウェアの一種です。特に企業では、1台のPC感染がVPN、Microsoft 365、メールアカウントの不正利用に広がります。
本記事は、50名未満の兼任情シス、50〜300名規模の情報システム部門、300名超のセキュリティ担当者を主な対象に、トロイの木馬とは何か、trojan とは何を意味するのか、感染時の兆候、2026年時点で優先すべき対策を実務目線で解説します。
この記事でわかること
トロイの木馬の仕組みと、ウイルス・ランサムウェアとの違い
2026年に企業が警戒すべき感染経路（ファイルレス・ClickFix・インフォスティーラーなど）
MFAを導入してもセッションCookieが盗まれる仕組みとその対策
企業規模別（50名未満／50〜300名／300名超）の具体的な対策ロードマップ
感染が疑われたときの初動対応手順と復旧時の注意点
トロイの木馬とは
本記事のポイント
現在のトロイの木馬は、単独で暴れるウイルスではなく、ランサムウェアや不正ログインの初期侵入ツールとして使われる。
2026年の企業防御では、情報窃取型トロイ、ファイルレス攻撃、ClickFixの3つを優先して対策する必要がある。
多要素認証を入れていても、セッションCookieを盗まれると正規ユーザーとして突破される。
50名未満は端末とアカウントの棚卸し、50〜300名はEDRとログ監視、300名超はゼロトラスト運用まで進めるべき段階である。
トロイの木馬は、正規のファイルやアプリケーションを装ってシステムに侵入し、企業の重要情報を窃取するマルウェアの総称です。
トロイの木馬の意味と由来
「トロイの木馬」は英語のtrojan horseを訳した言葉で、正規のものを装って内部に侵入するという意味を持ちます。語源は、古代ギリシャのトロイア戦争で、兵士を隠した木馬を敵陣に運び込ませた逸話にあります。
サイバー攻撃でも構造は同じです。請求書、業務アプリ、ブラウザ拡張機能、動画コーデックなど無害に見えるものをユーザーに実行させ、内部から情報窃取や遠隔操作を始めます。
ウイルスとの違い
狭義のウイルスは、他のファイルへ自己複製して感染を広げるプログラムです。トロイの木馬は自己複製よりも偽装と侵入後の操作に重点があり、バックドア作成、パスワード窃取、ランサムウェア展開の足場作りに使われます。
そのため、トロイとは「怪しい実行ファイル」だけを指す言葉ではありません。近年はスクリプト、ブラウザ拡張機能、スマホアプリ、クラウド認証情報まで攻撃対象に含みます。
現在の主役は情報窃取型トロイとMFA突破
企業が最も警戒すべきトロイの木馬のセキュリティリスクは、端末破壊ではなく、認証情報とセッションCookieを盗まれて正規ユーザーになりすまされる被害です。
ランサムウェアのドアノブとして使われる
攻撃者は、最初からランサムウェアを投下するとは限りません。まず情報窃取型トロイやRATを感染させ、VPN、メール、クラウドストレージ、管理画面の認証情報を集めます。その後、社内ネットワークを横展開し、最後にランサムウェアを実行します。
この流れでは、トロイの木馬は社内への「ドアノブ」を回す役割です。マルウェア対策は端末単体ではなく、アカウント、ログ、権限、バックアップと一体で構築してください。
インフォスティーラーがMFAをすり抜ける仕組み
RedLine、Lumma Stealer、Vidarなどのインフォスティーラーは、ブラウザに保存されたID・パスワードだけでなく、ログイン状態を維持するセッションCookieも盗みます（参考：CISA Cybersecurity Advisories、Group-IB Infostealer解説）。Cookieを盗まれると、攻撃者は多要素認証を再実行せずに、すでに認証済みの利用者としてクラウドサービスへアクセスできる場合があります。
従業員が偽アプリや偽PDFを開く。
トロイの木馬がブラウザの保存情報とCookieを抜き取る。
攻撃者が別端末でCookieを再利用する。
Microsoft 365、SaaS、VPNなどに正規セッションとして入る。
メール転送設定の追加、ファイル持ち出し、取引先への不審メール送信が起きる。
セッションハイジャック対策の実務手順
多要素認証（MFA）の導入だけでは、Cookie窃取によるセッションハイジャックを防ぎきれません。条件付きアクセスによる社外からの接続制限や端末の準拠状況チェック、セッション有効期限の短縮などを組み合わせた多層防御を構築してください。
管理者アカウントは、準拠済み端末と社内承認済みIPからのアクセスに限定する。
国外IP、匿名VPN、普段と異なる地域からのログインを自動ブロックする。
ブラウザへのパスワード保存を禁止し、企業向けパスワード管理ツールへ移行する。
退職者、共有アカウント、長期間未使用アカウントを月1回棚卸しする。
重要SaaSはセッション有効期限を短くし、再認証条件を厳しくする。
▲ トロイの木馬（インフォスティーラー）がランサムウェア感染を引き起こすまでの4ステップ
2026年に警戒すべき感染経路と種類
2026年のトロイの木馬対策は、添付ファイルを開かない教育だけでは不十分であり、正規ツール悪用、偽検証画面、スマホ、開発環境を同時に監視する必要があります。
ファイルレス攻撃とスクリプト主導型攻撃
ファイルレス攻撃は、ディスク上に実行ファイルを残さず、PowerShell、wscript、mshtaなどWindows標準機能を悪用してメモリ上で処理を進めます。CrowdStrikeなどの2025〜2026年のレポート（CrowdStrike Global Threat Report等）では、企業向け攻撃の多くにファイルレス技術が含まれると指摘されています（具体的な割合は各レポートの最新版をご確認ください）。
この攻撃は、従来の定義ファイル型アンチウイルスでは見落とされやすい手口です。PowerShellの実行制御、スクリプトログの保存、EDRによる振る舞い検知をセットで導入します。
ポリモーフィック型の一般化
ポリモーフィック型は、検出を逃れるためにコードやシグネチャを動的に変えるマルウェアです。Webrootの過去のThreat Reportなどのセキュリティ統計では、検出されるマルウェアの多くが何らかの多形化技術を持つと報告されています（数年前の集計データのため、具体的な割合や最新の動向はWebroot公式レポートや各社の最新レポートをあわせてご確認ください）。
既知のファイル名やハッシュ値に依存する従来のアンチウイルス製品だけでは、多形化するマルウェアを防ぎきれません。プロセスの不自然な親子関係や大量の暗号化処理、認証情報保管領域へのアクセスを振る舞いから検知し、即座にプロセスを停止できるEDR製品の導入が必要です。
ClickFixは従業員にコマンドを実行させる罠
ClickFixは、偽の検証画面を表示し「人間であることを確認するため、次のコマンドをコピーして実行してください」と誘導する手口です（参考：Proofpoint ClickFix解説）。検索広告、偽のソフトウェア配布ページ、業務ツールを装ったサイトで使われます。
従業員教育では従来の「不審な添付ファイルを開かない」に加え、「Webサイトの指示に従ってPowerShellやターミナルに文字列を貼り付けない」というルールを明文化してください。これをヘルプデスクのFAQにも反映させることで、現場からの怪しい事象の相談を早期に検知しやすくなります。
スマホを狙うバンキングトロイとQRコード
スマートフォンでは、宅配通知、金融機関、決済アプリを装うバンキングトロイが使われます。Kasperskyが解説するMoqHaoの自動実行手口（Kaspersky Securelist）のように、SMSや偽サイトから不正アプリへ誘導する攻撃は継続しています。
業務用スマホでは、MDMで提供元不明アプリのインストールを禁止し、QRコードから開いたURLをセキュアブラウザで検査する設計が有効です。
開発環境を狙うサプライチェーン型トロイ
GitHub、npm、ブラウザ拡張機能、CI/CD環境を狙う攻撃では、開発者端末からSSH鍵、APIトークン、クラウド認証情報が盗まれます。CISAは公式サイバーセキュリティアドバイザリおよびアラートページで、脆弱性やサプライチェーン関連の注意喚起を継続的に公開しています。
GlassWormなど特定のキャンペーン名を見かけた場合も、名称だけで判断してはいけません。公式アラート、ベンダーレポート、IoC、影響範囲を確認し、自社の拡張機能、パッケージ、トークン利用状況と照合します。
国内事例と統計で見る被害影響
国内の公表事例は、トロイの木馬が1台の端末被害にとどまらず、認証情報流出、不正ログイン、取引先への二次被害へ広がることを示しています。
国内外の統計データ
警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」では、2024年のランサムウェア被害報告件数は222件と高水準で推移しました。Verizon「Data Breach Investigations Report 2025」では、ランサムウェアが侵害事案の44%に関与したと報告されています。AcronisのAcronis Cyberthreats Report H2 2025も、日本を含む各国でランサムウェアと情報窃取型攻撃の増加を取り上げています。
国内で公表されるインシデントは氷山の一角です。トレンドマイクロのリサーチ情報では、2025年1〜11月に国内で公表されたセキュリティインシデントが501件、1日あたり約1.5件のペースに達したとされています（詳細はトレンドマイクロ公式リサーチページの該当レポートをご確認ください）。公式統計やIPAの情報セキュリティ情報を定期確認する運用が必要です。
公式発表ベースで見る企業事例
以下は、公式発表や公表情報を基に、情シス部門が学ぶべき観点を整理したものです。トロイの木馬感染が明示されていない事例は、認証情報窃取や初期侵入のリスク事例として扱います。
企業・事例 | 公表時期 | 主な入口・原因 | 影響 | 情シス上の教訓 |
|---|---|---|---|---|
株式会社PR TIMES | 2025年5月7日公表 | 公式発表に基づく（詳細は公式発表を参照） | 最大約90万件の個人情報および未公開情報が漏洩した可能性（公式発表より） | 公式発表の内容を確認し、自社の認証情報管理・アクセス権限の棚卸しに活かす。 |
株式会社ゼットン | 2025年内に公表 | マルウェア感染による被害（詳細は株式会社ゼットン公式サイトの公表情報を参照） | 不正ログイン、踏み台メール送信（公式発表に基づく） | 多拠点環境では、すべての拠点端末を本社端末と同じ基準で管理する。 |
株式会社シード・プランニング | 2026年3月公表とされる | 委託先・業務環境へのランサムウェア攻撃 | 詳細は株式会社シード・プランニング公式サイトの公表情報を参照 | 委託先管理とバックアップ分離の重要性を示す事例。被害規模等の詳細は公式発表を確認のこと。 |
Teams通話を悪用したRAT誘導 | 2026年に複数報告 | フィッシングメール後、管理者を装う外部アカウントが通話で遠隔操作ツール導入を誘導 | RAT感染、端末遠隔操作、認証情報窃取 | メール訓練だけでなく、TeamsやZoomでの本人確認手順を教育に入れる。 |
やってはいけない失敗パターンと対策手順
トロイの木馬対策で失敗する企業は、古い前提を信じたまま、端末、認証、バックアップ、制度対応を別々に扱っています。
誤解と現実の比較
よくある誤解 | 2026年の現実 | 企業が取るべき対策 |
|---|---|---|
アンチウイルスを入れているから安心 | ファイルレス攻撃やポリモーフィック型は定義ファイルだけでは検知しにくい。 | EDRを導入し、PowerShell実行、認証情報アクセス、異常な暗号化処理を監視する。 |
MFAを入れたからアカウントは破られない | インフォスティーラーはCookieを盗み、MFA後のセッションを悪用する。 | 条件付きアクセス、準拠端末制限、短いセッション期限、重要操作時の再認証を設定する。 |
Macやスマホ中心だから安全 | macOS向け情報窃取マルウェアやスマホ向けバンキングトロイが増えている。 | Windows、Mac、スマホをMDMとEDRで一元管理し、例外端末を作らない。 |
バックアップがあるから復旧できる | 社内ネットワークに常時接続されたバックアップは、ランサムウェアに暗号化される。 | 3-2-1バックアップ、オフライン保管、イミュータブルバックアップ、復元テストを実施する。 |
制度名や星の数を聞いたので急いで取得すればよい | サプライチェーン評価は重要だが、未確認の制度条件を既成事実として扱うと予算と優先順位を誤る。 | 経済産業省のサイバーセキュリティ経営ガイドライン・SCS評価制度に関する公式情報など一次情報で、開始時期、対象、要求水準を確認する。 |
制度対応で見落としやすい点
経済産業省は、サプライチェーン全体のサイバーセキュリティ強化を継続的に求めています。取引先からチェックシート、委託先管理、脆弱性対応、インシデント報告体制の説明を求められる場面は増えています。
やってはいけないのは、公式資料で確認していない制度名、開始日、星の取得条件を社内に断定して伝えることです。制度対応は、資産管理、アクセス権限、ログ取得、バックアップ、教育の実態を整えてから申告する順番が正しいです。
▲ 従来のセキュリティ対策（誤解）と2026年に求められる現実的な対策の対比
規模別ロードマップとセルフチェック
企業規模によって優先順位は異なりますが、最初に行うべき作業は端末、アカウント、外部公開サービスの棚卸しです。
規模別の現実的な進め方
対象規模 | 最初の30日 | 次の90日 | 運用の目標 |
|---|---|---|---|
50名未満 | 全PC、スマホ、SaaS、VPNアカウントを台帳化する。 | MFA必須化、管理者権限削減、バックアップ復元テストを実施する。 | 兼任情シスでも月1回の棚卸しを回せる状態にする。 |
50〜300名 | EDR候補を選定し、管理者端末とサーバーから導入する。 | ログ監視、条件付きアクセス、退職者アカウント削除の自動化を進める。 | 感染の兆候を当日中に検知し、端末隔離できる状態にする。 |
300名超 | 端末、ID、クラウド、ネットワークログを統合する。 | SOC、XDR、ゼロトラスト、委託先評価を運用に組み込む。 | 侵入を前提に、横展開と情報持ち出しを止める状態にする。 |
自社のセキュリティ対策状況セルフチェックリスト
全端末の所有者、OS、最終利用日、EDR導入有無を一覧化している。
VPN、Microsoft 365、Google Workspace、会計システムにMFAを必須化している。
共有アカウントを原則禁止し、残す場合は責任者と利用期限を記録している。
PowerShellやスクリプト実行のログを保存し、異常時に確認できる。
ブラウザ保存パスワードを禁止し、パスワード管理ツールへ移行している。
バックアップは本番ネットワークから分離し、四半期に1回以上復元テストをしている。
ClickFix対策として、Web画面の指示でコマンドを実行しない教育を実施している。
IPAのSECURITY ACTIONなど、中小企業向け施策の活用可否を確認している。
感染が疑われるときの初動対応
トロイの木馬感染が疑われる場合は、削除作業より先にネットワーク隔離、証拠保全、認証情報の失効を行います。
最初の1時間で行うこと
LANケーブルを抜く、Wi-Fiを切る、端末をネットワークから隔離する。
電源をむやみに切らず、画面、時刻、表示メッセージ、実行した操作を記録する。
同じ端末でパスワード変更をしない。別の安全な端末から重要アカウントを停止・変更する。
管理者、CSIRT、委託先ベンダーに連絡し、勝手な駆除や初期化を止める。
24時間以内に確認すること
感染端末で使っていたVPN、メール、SaaS、ブラウザ保存パスワード、APIキーを洗い出します。ログイン履歴、メール転送設定、外部共有リンク、管理者権限の変更履歴を確認し、影響範囲を確定します。
一般的なパソコン感染時の対処に加え、企業環境ではクラウドやVPNアカウントが侵害されていないかの確認が急務です。ウイルス対策ソフト等の駆除ツールを実行して証拠を消去してしまう前に、専門業者によるフォレンジック調査を実施してください。
復旧時にやってはいけないこと
感染端末をネットワークへ戻してからフルスキャンする、同じ端末で全パスワードを変更する、バックアップを上書きする、取引先への説明前に原因を断定する。この4つは被害を広げやすい行動です。
復旧作業は「隔離」「調査」「認証情報失効」「端末初期化」「バックアップ復元」「再発防止設定」のステップを必ず守ってください。この順序を一つでも飛ばすと、攻撃者が残したバックドアや窃取されたCookieを再利用され、二次被害を招きます。
▲ 端末の異常・警告発生時におけるサポート詐欺と実感染の切り分け判断フロー
よくある質問
Q：trojan horseの意味や由来は何ですか？
A：trojan horseは日本語でトロイの木馬を意味します。無害に見える木馬を敵陣に入れた逸話になぞらえ、正規ファイルやアプリを装って侵入するマルウェアを指します。
Q：トロイの木馬に感染したときの兆候は何ですか？
A：PCが急に重くなる、見知らぬプロセスが動く、ブラウザやメールのログイン通知が増える、勝手にメールが送られるなどが兆候です。ただし情報窃取型は目立つ症状を出さないため、ログ監視が必要です。
Q：突然「トロイの木馬に感染しました」と表示されたら本物ですか？
A：ブラウザ上の大音量警告や電話番号表示は、多くがサポート詐欺です。電話をかけず、遠隔操作ソフトを入れず、ブラウザを閉じてから偽警告の対処手順を確認します。
Q：MFAを導入していればトロイの木馬対策は十分ですか？
A：十分ではありません。インフォスティーラーはセッションCookieを盗むため、MFA後のログイン状態を悪用される場合があります。
Q：Macやスマホもトロイの木馬に感染しますか？
A：感染します。macOS向け情報窃取型マルウェアや、Android向けバンキングトロイが確認されているため、業務端末はOSを問わずMDM、EDR、アプリ制御の対象にします。
監修者情報・参考資料について
本記事は、情報システム部門・情報セキュリティ担当者向けに、公的機関やセキュリティベンダーが公開している統計・レポート・公式発表をもとに編集部が作成し、情報セキュリティの実務経験を持つ専門家の監修を受けています。個別の環境における対策の適用可否は、自社のセキュリティ担当者または専門のセキュリティベンダーにご確認ください。
主な参考資料：警察庁「サイバー犯罪統計」、IPA（情報処理推進機構）、CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）、Verizon「DBIR」、Acronis「Cyberthreats Report」、トレンドマイクロ、Kaspersky、CrowdStrike、Webrootの各公開レポート・公式発表
まとめ
トロイの木馬対策は、怪しい添付ファイルを開かない教育だけでは足りません。明日から着手するなら、まずVPNとクラウドサービスのMFA設定、退職者・共有アカウントの有無、ブラウザ保存パスワード、バックアップの分離状況を確認します。中小企業はIPAのSECURITY ACTION宣言も検討し、自社IT基盤の資産棚卸しを起点に、EDR、条件付きアクセス、復元テストへ順に進めるのが現実的です。
今日から始める最優先アクション
✅ VPN・Microsoft 365・Google WorkspaceなどすべてのクラウドサービスにMFAを必須設定する
✅ 退職者・共有アカウント・長期未使用アカウントを棚卸しし、不要なものを無効化する
✅ ブラウザへのパスワード保存を禁止し、企業向けパスワード管理ツールへ移行する
✅ バックアップが本番ネットワークから分離されているか確認し、復元テストを実施する
✅ 全端末（Windows・Mac・スマホ）のEDR導入状況を確認し、未導入端末を特定する
✅ 「Webサイトの指示でPowerShellにコマンドを貼り付けない」旨を社内に周知する
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
