>
>
公開日
最終更新日
ワームとは、他のファイルに寄生せず、単独で自己増殖してネットワークやリムーバブルメディアを通じて拡散するマルウェアです。コンピュータウイルスとの決定的な違いは、増殖に宿主ファイルを必要としない点にあります。
現在は、脆弱性を突く従来型だけでなく、盗んだ認証情報、PowerShell、クラウドのIAMロール、APIトークンを悪用して正規通信に見せかける手法も増えています。警察庁が2026年3月に公表した令和7年分の調査では、判明したランサムウェア侵入経路の66.3％がVPN機器、20.7％がリモートデスクトップでした。両者で約87％を占めるため、入口対策だけでなく、侵入後の横展開を止める設計が欠かせません。
本記事では、ワームの意味、ウイルスとの違い、感染経路、実際の事例、初動対応、企業が実行できるワーム対策を順に整理します。
ワームとは？意味とウイルスとの違い
ワームは宿主を必要とせず、単独で自己複製し、自動的に感染範囲を広げる点がコンピュータウイルスとの決定的な違いです。
本記事のポイント
ワームは単独で動作し、脆弱性などを利用して自動拡散します。盗んだ認証情報を使う移動は、攻撃者が操作する横展開であり、常にワームの自動伝播とは限りません。
ウイルスは宿主ファイルを必要としますが、感染経路はワームと重なる場合があります。
EDRによる検知だけではなく、通信制御による横展開の封じ込めを組み合わせます。
感染が疑われる場合は、CSIRTや外部専門家の指揮下で隔離と証拠保全を進めます。
ワームの定義とWormの意味
英語のWormは「虫」を意味し、ネットワーク内をはい回るように感染先を探す動作から名称が付いています。
ワームは、実行ファイルや文書などの宿主に寄生しなくても、独立したプログラムとして動作します。侵入後は同じ脆弱性を持つ端末を探索し、自己複製したコードを転送して実行させます。条件がそろえば人の操作を待たずに拡散するため、感染台数と通信量が短時間で増えやすい点が特徴です。
ただし、最初の侵入まで常に自動とは限りません。フィッシングメールで利用者に不正ファイルを開かせた後、ワーム機能が社内で自動拡散する攻撃もあります。USBワームはネットワークではなくリムーバブルメディアを介して複製されるため、「ネットワークに接続しただけで感染するもの」に定義を限定すると実態を捉えられません。
ウイルス・トロイの木馬との比較
ワーム、ウイルス、トロイの木馬は、自己複製の有無と宿主の要否で区別すると理解しやすくなります。
比較項目 | ワーム | コンピュータウイルス | トロイの木馬 |
|---|---|---|---|
自己複製 | 単独で自己複製します | 宿主に寄生して複製します | 通常は自己複製しません |
宿主ファイル | 不要です | 必要です | 不要ですが、正規ソフトに偽装します |
典型的な拡散 | 脆弱性探索、共有フォルダー、USBなど | 感染ファイルの実行、共有、ダウンロード | 偽アプリや不正添付ファイルの実行 |
利用者の操作 | 拡散段階では不要な場合があります | 感染ファイルの実行を伴うことが多いです | 初回実行を利用者に促すことが多いです |
主な対策 | パッチ、通信制御、認証保護、EDR | EPP、メール対策、実行制御、教育 | アプリ制御、メール対策、EDR、最小権限 |
この表は典型的な性質を整理したもので、感染経路を排他的に分けるものではありません。ウイルスが共有フォルダーを通じて広がる場合もあれば、ワームがフィッシングを最初の侵入口にする場合もあります。また、実際の攻撃では、トロイの木馬で侵入し、認証情報を盗み、攻撃者がRDPやSSHで横展開した後にランサムウェアを実行する複合構成が使われます。この横展開は自己複製・自動伝播を伴わない場合があります。
ファイルレス型と正規権限悪用の特徴
現在のワーム対策では、不審な実行ファイルだけでなく、正規ツールと正規アカウントによる横移動も監視対象に含めます。
ファイルレス型は、ディスク上に新しい実行ファイルを残さず、メモリ、PowerShell、Windows Management Instrumentationなどを利用します。攻撃者がActive Directoryの認証情報や端末内のパスワードキャッシュを取得すると、RDP、SSH、SMBなどへ正規ユーザーとして接続できます。この手法はLiving off the Landと呼ばれ、単純なファイルのパターン照合だけでは見逃す可能性があります。
一方、ファイルレスであれば検知できないわけではありません。EDRでプロセスの親子関係やコマンドラインを記録し、NDRで端末間通信を分析し、認証ログで短時間の大量ログインや普段使わない管理経路を検出すれば、複数の痕跡を関連付けられます。
▲ ワームとコンピュータウイルスの決定的な違いと特徴
ワームの主な感染経路と拡散の仕組み
企業のワーム感染は、VPN・RDPなどの外部公開機器、メール、共有サービス、USB、クラウド認証情報のいずれかを起点として、内部探索と権限昇格を経て拡大します。ただし、侵入後の移動にはワームの自動伝播だけでなく、攻撃者が認証情報を利用して操作する横展開も含まれます。
VPN・RDP・外部公開機器からの侵入経路
インターネットに公開された機器は、既知の脆弱性と弱い認証設定を機械的に探索する攻撃の標的になります。
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等」では、被害企業への調査で判明したランサムウェア侵入経路のうち、VPN機器が約62％、リモートデスクトップが約22％を占めました。両者を合わせると約84％となります。この値は令和7年上半期分として回答が得られた事例の集計であり、国内全被害の母集団推計ではありませんが、境界機器の脆弱性管理を優先する判断材料になります。警察庁はサイバーセキュリティ関連統計・報告書で資料を公開しています。
攻撃者は侵入後、接続可能なIPアドレス、共有フォルダー、ドメインコントローラー、バックアップサーバーを探索します。VPNを通過した端末を一律に信頼する構成では、外部の1台が内部ネットワーク全体への入口になります。外部公開RDPを停止できるなら停止を優先し、業務上残す場合は接続元制限、MFA、踏み台、操作ログを組み合わせます。
メール・Web・共有サービスからの侵入経路
メールやWebから侵入する攻撃では、利用者の操作後にワーム機能が起動し、アドレス帳や社内共有を使って自動拡散する場合があります。
不正な添付ファイル、偽のログインページ、改ざんされたWebサイト、チャットに投稿されたURLが起点になります。感染端末がメールアカウントや連絡先を取得すると、実在する取引先や社員になりすまして次の受信者へ送信できます。送信元が知人に見えるため、単純な注意喚起だけでは止められません。
メール認証、URL検査、添付ファイルの隔離実行、マクロ制御に加え、クラウドメールの異常ログインと大量送信を検出します。社外からのログイン直後に転送ルールが追加された場合や、通常と異なる地域から短時間に多数のメールが送られた場合は、アカウント侵害を疑う判断材料になります。
USB・共有フォルダー・OT環境からの侵入経路
インターネットから隔離した環境でも、USBや保守端末を介したワームの侵入経路は残ります。
製造設備や研究環境では、装置への更新ファイル搬入、ログ回収、ベンダー保守にUSBを使う場合があります。自動実行が無効でも、利用者が不正なショートカットや実行ファイルを開けば感染します。感染した保守PCが複数工場を巡回すると、拠点間の媒介になります。
OT環境では、IT部門が一律に通信を遮断すると安全制御や生産設備へ影響する場合があります。持ち込み媒体を専用端末で検査し、機器ごとの許可通信を文書化したうえで、異常時は製造、設備、CSIRTが共同で隔離範囲を決めます。安全側へ停止できる装置なら隔離を進め、安全機能への影響を評価できない装置なら監視強化と上位ネットワークの遮断を先行します。
クラウドとCI/CDからの侵入経路
クラウド環境では、端末のIPアドレスだけでなく、IAMロール、APIトークン、サービスアカウントをたどる横展開や、自動処理を悪用した伝播が起こり得ます。
侵害された開発端末やCI/CDパイプラインからAWS、Google Cloud、Azureの資格情報が盗まれると、攻撃者はAPIを使ってストレージ、仮想マシン、シークレット管理サービスを列挙できます。複数クラウドで同じ秘密情報を使い回していれば、1つの環境から別の環境へ移動される可能性があります。端末へマルウェアファイルを配置しないまま、正規APIだけで処理される場合もありますが、これは常に自己複製するワームを意味しません。
npmやPyPIなどのパッケージを介したサプライチェーン攻撃では、依存関係の更新をきっかけに開発者端末やビルド環境で不正コードが動きます。対策は、依存関係の固定、ロックファイルの審査、署名やハッシュの検証、CI用トークンの短期化、クラウドごとの権限分離です。CIから本番へ常時管理者権限で接続できる場合は権限を分け、ビルドに必要な操作だけを許可します。
▲ 境界機器からの侵入と社内ネットワーク内でのワーム横展開の仕組み
ワームと内部横展開の動向
脅威を判断する際は、実際に観測された高速な横展開、研究段階のAIワーム、ソフトウェア供給網での自己伝播リスクを分けて捉えます。
約30分まで短縮したブレークアウトタイム
攻撃対応では、初期侵入の検知だけでなく、別端末へ移動する前に封じ込められる体制が判断基準になります。
CrowdStrikeの「2026 Global Threat Report」は、同社が観測したeCrime侵入について、初期侵入後に攻撃者が別のシステムへ移るまでの平均ブレークアウトタイムを約30分と報告しています。これはワームだけを対象にした伝播時間でも、すべてのサイバー攻撃の平均値でもありません。CrowdStrikeの顧客環境で観測した対話型侵入を中心とする指標として読む必要があります。調査の対象と定義はCrowdStrike Global Threat Reportで確認できます。
平均30分という数値から導ける実務上の判断は、「アラートを翌営業日に見る運用では間に合わない事例がある」という点です。24時間監視が難しい50名未満の企業では、重大アラートを外部SOCへ転送し、夜間の遮断判断者を決めます。300名超の企業では、ID、EDR、ネットワーク、クラウド監査ログを同じ時刻軸で検索できる状態を作ります。
研究段階にあるAIワーム
AIワームは既に広く端末へ感染している従来型マルウェアではなく、生成AIシステム内で敵対的プロンプトを自己伝播させる研究上の概念を含みます。
研究チームが2024年に公表した「Morris II」は、検索拡張生成を利用する生成AIメールアシスタントを対象に、自己複製する敵対的プロンプトが別のメッセージへ埋め込まれる可能性を実証しました。論文はComPromptMized: Unleashing Zero-click Worms that Target GenAI-Powered Applicationsとして公開されています。
この攻撃が成立するには、AIエージェントが信頼できない文書やメールを自動で読み込み、外部ツールを呼び出せること、メッセージを自動送信できること、出力内容が次のAIシステムへ渡ることなど複数の条件が必要です。通常のチャット画面に文章を入力しただけで、OSへ従来型ワームが感染するという意味ではありません。
AIエージェントにメール送信やデータ更新を許可する企業では、取得データを命令として扱わない設計、ツール実行前の承認、送信先制限、秘密情報のマスキング、監査ログを組み合わせます。監査ログと操作取消し手段を用意できるなら限定環境で検証し、用意できないなら外部送信権限を与えない構成を選びます。
開発環境とクラウドを狙う自己伝播型攻撃
開発環境では、パッケージ更新と認証情報の連鎖が従来のLAN内ワームに代わる拡散経路になります。
2025年には、セキュリティ事業者がShai-Huludなどの名称で、npmパッケージや開発者アカウントを介して認証情報を窃取し、関連パッケージやリポジトリへ影響を広げる攻撃を報告しました。個々の事案をすべて同じワームと断定するのではなく、自己複製、別アカウントへの自動展開、資格情報の窃取という機能をアドバイザリごとに確認する必要があります。
情シス部門では、端末台帳だけでなく、組織が公開・利用するパッケージ、GitHub Actionsなどの自動処理、クラウドサービスアカウントを資産台帳へ含めます。秘密情報を検出した場合は、漏えいした1個だけでなく、その資格情報が生成・更新できた下位トークンまで失効対象にします。
国内被害から読み取れる内部横展開リスク
国内企業のランサムウェア被害は、ワームの使用が公式確認されていなくても、内部横展開が事業停止と情報漏えいを拡大させることを示しています。
KADOKAWAは2024年のサイバー攻撃について、ランサムウェアを含む攻撃によってニコニコ関連サービスや社内業務へ影響が生じたと公式に発表しました。一方、同社の公開情報だけから、自己複製するワームが使われたとは断定できません。コタ株式会社もランサムウェア攻撃によるシステム障害と決算開示への影響を公表していますが、マルウェアの自己増殖機能までは公式発表で確認されていません。
両事例から企業が利用できる教訓は、特定のマルウェア名ではなく、認証基盤、業務システム、バックアップへ被害が連鎖すると、サービス提供、物流、会計、情報開示が同時に止まる点です。被害事例を社内説明へ使う場合は、「ワーム被害」と断定せず、「ランサムウェアによる内部横展開を伴う可能性がある攻撃」と、確認済みの事実を分けます。
横展開対策に関係する制度変更
2026年以降は、自社の防御だけでなく、重要インフラや取引先を含む報告・評価体制への対応が経営課題になります。
サイバー対処能力強化法は2025年5月に成立し、2026年10月以降の段階的な施行に向けて制度整備が進んでいます。対象となる基幹インフラ事業者や関係事業者では、攻撃兆候や被害の報告、重要システムに関する手続きが実務へ影響します。内閣官房は制度検討資料をサイバー安全保障分野での対応能力向上に向けた取組で公開しています。対象業種に該当するなら報告窓口とログ保存範囲を先に定め、該当しない企業でも重要インフラとの契約があるなら取引先の連絡期限に合わせます。
経済産業省は、サプライチェーン強化に向けたセキュリティ対策評価制度について、2026年度末ごろの運用開始を目標に検討しています。制度内容は検討段階を含むため、評価基準や対象時期は確定資料での確認が必要です。経済産業省はセキュリティ対策評価制度に関する検討資料を公開しています。取引先から評価取得を求められる可能性がある企業では、資産管理、脆弱性管理、横展開防止、復旧訓練の証跡を保存しておくと、制度確定後の差分対応へ移れます。
金融庁は2024年10月に「金融分野におけるサイバーセキュリティに関するガイドライン」を公表し、同ガイドラインの公表資料と本文を掲載しています。金融庁はガイドラインの公表資料を掲載しています。金融機関がネットワーク分離やアクセス制御の設計を検討する場合は、同ガイドラインの適用対象、監督指針、自社のリスク評価結果を照合し、該当する管理態勢が確認できれば規程・設計へ反映し、対象外なら自社の重要資産と接続経路に基づいて優先順位を定めます。
企業が陥りやすいワーム対策の失敗パターン
ワーム対策が失敗する主因は、EDR、VPN、オンラインバックアップのいずれか1つで被害を防げると考え、侵入後の通信制御と復旧検証を省くことです。
EDRだけに依存する検知偏重
EDRは有効な検知・調査手段ですが、導入しただけでは正規アカウントによる横展開や未管理端末からの感染を止められません。
攻撃者は管理者権限を取得すると、セキュリティ製品の停止を試みるほか、RDP、PowerShell、SSHなど通常業務にも使われる機能で移動します。EDRが動作していても、監視担当者がアラートを確認しなければ封じ込めは遅れます。また、古いサーバー、ネットワーク機器、委託先端末など、EDRを導入できない資産も残ります。
EDRのカバー率を台帳と照合し、未導入資産をネットワーク側で分離します。重大アラートを30分以内に確認できるなら社内運用を継続し、夜間・休日に確認できないなら外部SOCへの転送または自動隔離ルールを設定します。自動隔離は業務停止の影響を評価し、ドメインコントローラーやOT機器へ一律適用しない設計にします。
VPN内部を信頼する境界防御への依存
VPNは通信経路を保護しますが、接続端末や利用者が安全であることまでは保証しません。
警察庁の2026年3月公表データでは、判明した侵入経路の約87％をVPN機器とRDPが占めました。脆弱なVPN機器、漏えいしたパスワード、MFA未設定のアカウントが突破されると、攻撃者は正規のVPN利用者に見えます。接続後に広いIP範囲へ到達できる構成では、1個の認証情報が全社への通行証になります。
VPNを残す企業でも、利用者、端末状態、接続先アプリを毎回評価するZTNAの考え方を取り入れます。端末証明書とMFAを利用できるなら両方を必須にし、どちらかを実装できないレガシー環境は専用セグメントと踏み台経由に限定します。管理画面をインターネットへ直接公開せず、接続元と管理者を絞ります。
オンラインバックアップへの過信
本番環境から常時書き換えられるバックアップは、ワームやランサムウェアの横展開先になるため、取得済みという事実だけでは復旧可能性を判断できません。
警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等」には、バックアップ取得率・復旧率・費用規模の詳細な集計は掲載されていません。バックアップ装置ごと暗号化された事例、必要な世代が残っていなかった事例、復旧手順を事前に試していなかった事例は、各セキュリティ機関の公表事例で確認できます。バックアップ装置まで暗号化された事例、必要な世代が残っていない事例、復旧手順を試していなかった事例が、取得率と復元率の差を生みます。
本番管理者が削除できないイミュータブルバックアップ、ネットワークから切り離すオフラインコピー、異なる認証基盤で管理する複製を組み合わせます。四半期ごとの復元試験で、業務が許容する復旧時間内にデータとアプリを戻せるなら構成を維持し、戻せないなら保存世代、回線、復旧順序へ投資を振り向けます。
VLAN分割だけで完了とする設計
VLANは大きな境界を作れますが、同一セグメント内の端末間通信や許可済み経路を悪用する横展開までは止められません。
マイクロセグメンテーションは、サーバーやワークロード単位で許可通信を定義し、不要な東西通信を制限します。ただし、導入直後から全面遮断すると、文書化されていないバッチ処理や保守通信が止まる可能性があります。最初に通信を可視化し、業務所有者と例外を整理してから、監視モード、限定遮断、全体展開の順で進めます。
ITRが2025年6月に公表した調査では、国内マイクロセグメンテーション市場は2023年度の39.6億円から2024年度の51億円へ28.8％増加し、2028年度には75.8億円へ拡大すると予測しています。市場の拡大は製品を導入すれば安全になることを意味しません。通信フローの所有者、変更手順、例外の有効期限まで運用へ組み込める企業ほど効果を測定しやすくなります。
ワーム感染で生じる影響と安全な初動対応
ワーム感染では、端末の隔離、認証情報の保護、証拠保全、事業継続を並行し、独断ではなくCSIRTまたは外部専門家が対応順序を決めます。
事業停止と情報漏えいの連鎖
自己拡散するマルウェアは、1台の障害を認証基盤、ファイル共有、会計、製造、バックアップの停止へ広げます。
感染端末が増えると、スキャンや自己複製による通信量だけでネットワークが遅延する場合があります。ランサムウェア機能を伴えば、データ暗号化に加えて、窃取した情報を公開すると脅す二重恐喝へ発展します。顧客情報や取引先の接続情報が流出すると、自社復旧後もパスワード変更、個別通知、契約対応が続きます。
トレンドマイクロが2026年1月に発表した2025年の国内集計では、公表されたサイバーインシデントは559件で、1日当たり約1.5件です。この件数は公表事案の集計であり、非公表の被害を含みません。件数だけで自社の確率を算出するのではなく、停止した場合の売上、代替業務、法令上の報告期限を事前に試算します。
感染疑いから24時間までの初動
感染疑い時は、被害拡大を止めながら、原因究明に必要なログとメモリ情報を失わない順序で対応します。
時間の目安 | 実施内容 | 判断基準 |
|---|---|---|
0～15分 | CSIRT、責任者、SOCへ連絡し、端末名、利用者、検知時刻、症状を記録します | 同種アラートが複数端末にあれば全社インシデントへ引き上げます |
15～60分 | 影響端末を安全に隔離し、EDR、認証、VPN、DNS、プロキシのログを保全します | 遠隔隔離が成功すれば状態を維持し、失敗すればネットワーク担当者が物理経路を遮断します |
1～4時間 | 侵害アカウントを特定し、セッション無効化、資格情報変更、到達範囲の調査を進めます | 管理者権限が使われていれば、同じ管理経路を持つ全資産を調査対象にします |
4～24時間 | 経営、法務、広報、個人情報保護担当と報告・公表の要否を判定します | 個人データ、取引先、重要サービスへの影響があれば所管窓口と契約先への連絡を開始します |
端末を隔離しないまま調査を続けると拡散が進みます。一方で、証拠を確保せずに初期化すると侵入経路と漏えい範囲を特定できません。JPCERT/CCはインシデント対応依頼と初動情報を公開しています。社内対応者がいない企業では、保険会社、保守会社、フォレンジック事業者の連絡先を平時に登録します。
隔離と証拠保全の判断
一般的な感染疑いでは隔離を基本とし、停止による人命・設備への影響がある場合だけ、専門チームが代替手段を選びます。
「隔離するとマルウェアが破壊動作を始める可能性がある」という例外的なシナリオを理由に、すべての端末を接続したままにする対応は適切ではありません。デッドマンスイッチなどの機能が個別の脅威分析で確認されている場合は、CSIRTが通信監視、上位セグメントの遮断、スナップショット取得などの代替策を選びます。
通常のPCやサーバーならEDRのネットワーク隔離を使い、電源は証拠保全担当者の指示なしに切らない運用とします。医療機器、工場設備、ドメインコントローラーなど即時停止の影響が大きい資産では、複製系への切り替えや接続先の限定を先に実施します。
復旧と再発防止の判断
復旧はバックアップを戻す作業ではなく、侵入経路を閉じ、クリーンな認証情報と端末へ切り替える作業です。
侵入経路が残ったまま復元すると、同じ脆弱性や漏えい済みアカウントから再侵入されます。外部公開機器の修正、侵害アカウントの失効、管理者用端末の再構築、バックドアの有無の調査を終えてから業務システムを接続します。CISAの既知の悪用が確認された脆弱性カタログに自社製品が掲載されていれば、通常の月次更新を待たず緊急対応へ切り替えます。
復旧後は、検知から隔離までの時間、感染台数、影響アカウント数、復元所要時間を記録します。この4指標を次回訓練の基準値にすれば、製品導入の有無ではなく、封じ込め能力が改善したかを測定できます。
▲ ワーム感染が疑われる場合の安全な初動対応手順
横展開を防いだ国内企業の導入事例
国内企業の事例では、ネットワーク構成を全面変更せず、通信可視化とホスト単位の制御を段階導入する方法が採用されています。
以下は各ベンダーが公表した導入事例を、業種・規模、導入時期、課題、施策、成果の同じ軸で整理したものです。第三者による効果検証ではなく、導入期間や成果は各社の資産構成、要員、既存ルールに左右されます。事例の公開日、対象範囲、成果指標の定義は、各ベンダーの原典で確認できる記載に限って扱います。
パナソニック インフォメーションシステムズの事例
アカマイは、パナソニック インフォメーションシステムズがグループのゼロトラスト施策におけるサーバー間の横展開対策として、ソフトウェア型のマイクロセグメンテーションを導入したと公表しています。原典はAkamaiのPanasonic Digital Customer Storyです。
業種・規模：パナソニックグループのIT基盤を担う情報サービス企業で、大規模なサーバー環境が対象です。
導入時期：ベンダー公表事例は2025年6月のインタビューに基づくものです。具体的な導入年月は公表資料に記載されていません。
課題：境界を突破された後にサーバー間で攻撃が横展開するリスクがあり、既存ネットワークの大幅な構成変更を避けながら通信を細かく制御する必要がありました。
施策：Akamai Guardicore Segmentationを導入し、エージェントを用いてサーバー間通信を可視化し、ワークロード単位の制御方針を設定しました。
成果：Akamaiの公表事例では、ハードウェア変更を伴う方式で数か月を見込んでいた導入リードタイムを約1週間に短縮しました。1週間で全通信の最適化が完了したという意味ではなく、導入開始までの技術的なリードタイムに関する成果です。
この事例から得られる判断材料は、ネットワーク機器の更改を待たずに可視化を始められる点です。一方、エージェントを導入できないレガシーOSやネットワーク機器は別方式で制御するため、対象外資産の洗い出しが先行作業になります。
東亞合成の事例
東亞合成は、スマートファクトリー化とDXで複雑になった社内通信を可視化し、境界防御を通過した攻撃の横移動を抑える構成へ移行しました。
業種・規模：「アロンアルフア」などを展開する大手化学メーカーで、工場・拠点・業務システムを含む大規模環境です。
導入時期：2025年に公表された導入事例です。
課題：UTMなどの境界防御は整備していましたが、工場や拠点をまたぐ通信の全体像が見えにくく、侵入後のホスト間移動を制限するルールを設計しにくい状態でした。
施策：LACの支援を受けてAkamai Guardicore Segmentationを採用し、既存ネットワーク構成を大きく変えずに通信依存関係を可視化しました。
成果：ブラックボックス化していた通信をリアルタイムで把握し、ホスト単位で隔離・制御できる基盤を構築しました。不要通信の自動判定を製品だけに任せるのではなく、可視化結果を基に許可ルールを整備する運用です。
製造業で適用する場合、ITサーバーと工場設備を同じルールで遮断しません。設備ベンダーの保守通信、安全制御、時刻同期などを先に分類し、停止影響を評価できた範囲から遮断へ移します。
コジマの事例
Illumioは、ペット専門店や動物病院を展開する株式会社コジマが、「侵入を完全には防げない」という前提で、横展開の封じ込めを進めたと公表しています。対象範囲や成果の記載はIllumioのコジマ導入事例に基づきます。
業種・規模：ペット専門店、動物病院、本部など全国約70拠点を運営する多拠点企業です。
導入時期：導入プロジェクトは2025年8月に開始し、約3か月半後の同年11月に本番稼働しました。事例としてIllumioから公表されたのは2026年4月です。
課題：UTM、SASE、EDRなどを導入していましたが、1拠点の感染がVPN経由で他店舗や本部へ広がるリスクが残っていました。
施策：Illumio Segmentationを導入し、サーバー間通信を可視化したうえで、業務に不要な通信をホスト単位で制限しました。
成果：全約70拠点で約3か月半のうちに本稼働し、感染端末が発生した場合に他システムへ拡散しにくい封じ込め体制を構築しました。実際の攻撃を完全に防いだ保証ではなく、到達可能な経路を減らした成果として評価します。
多拠点企業では、店舗ごとにネットワーク機器を更改する方式より、中央から通信方針を配布できる方式の方が短期間で展開しやすい場合があります。ただし、POS、医療機器、監視カメラなどエージェントを入れられない機器が多いなら、拠点VLANやゲートウェイ制御を併用します。
導入事例を自社へ適用する際の評価軸
事例の製品名ではなく、対象資産、通信可視化期間、例外件数、遮断後の障害件数を同じ軸で比較します。
評価軸 | 導入前に把握する値 | 導入後に測る値 |
|---|---|---|
適用範囲 | 全資産数、エージェント対応数 | 制御対象率、未管理資産数 |
通信制御 | 端末・サーバー間の到達可能経路 | 不要経路の削減数、拒否ログ数 |
運用負荷 | 変更申請件数、調査時間 | 例外処理時間、誤遮断件数 |
封じ込め | 訓練時の感染想定範囲 | 隔離までの時間、到達端末数 |
通信を30日以上観測して定常処理と月次処理を把握できるなら限定遮断へ進み、月次バッチや災害対策切り替えを観測できていないなら監視期間を延長します。この基準なら、成功事例をそのまま模倣せず、自社で停止事故を抑えながら展開できます。
ワームの予防と対策チェックリスト
ワーム対策は、外部公開機器の緊急修正、認証保護、端末検知、横展開の遮断、復旧可能なバックアップの順に優先します。
24時間以内に実施する緊急対策
既知悪用脆弱性や外部公開RDPが見つかった場合は、通常の月次運用から切り離して当日中に対応します。
[ ] インターネットから到達できるVPN、ファイアウォール、ルーター、RDPを資産台帳と外部スキャン結果で照合しています。
[ ] CISAの既知悪用脆弱性カタログやベンダーの緊急情報に該当する機器を抽出しています。
[ ] 修正プログラムを適用できる機器は緊急適用し、適用できない機器は接続元制限または公開停止へ切り替えています。
[ ] RDPはインターネットへ直接公開せず、MFA、踏み台、ZTNAのいずれかを経由させています。
[ ] 退職者、委託終了者、長期未使用のVPNアカウントと管理者アカウントを停止しています。
IPAはランサムウェア対策特設ページで、脆弱性対策、バックアップ、感染時の対応情報を公開しています。パッチ適用で業務停止の可能性があるなら、何もせず延期するのではなく、外部公開を止めた検証環境で更新し、成功すれば本番へ適用し、失敗すれば接続元制限を継続します。
1週間以内に実施する認証・端末対策
認証情報を盗まれても横展開しにくい状態を作るため、管理者権限と端末防御の対象範囲を棚卸しします。
[ ] VPN、クラウド管理画面、メール、特権アカウントへMFAを適用しています。
[ ] 一般業務と管理作業でアカウントを分離し、管理者がメールやWeb閲覧に特権アカウントを使わない運用です。
[ ] ローカル管理者パスワードを端末ごとに分け、同一パスワードの使い回しを止めています。
[ ] EDRの導入率を端末台帳と照合し、未導入・停止・長期未接続端末を抽出しています。
[ ] EDRの改ざん防止機能、重大アラート通知、遠隔隔離機能をテストしています。
[ ] PowerShellやスクリプト実行のログを取得し、管理用途以外の実行を制限しています。
MFAを一度に全システムへ適用できない場合は、VPN、クラウド管理者、メール、一般クラウドサービスの順に進めます。レガシー認証しか使えないシステムは、MFA対応の踏み台またはプロキシの内側へ置き、直接ログインを許可しません。
30日以内に実施する横展開対策
ネットワーク内の到達可能範囲を可視化し、バックアップ、認証基盤、管理サーバーへの不要通信から遮断します。
[ ] 利用者PCからドメインコントローラーやバックアップ管理画面へ直接接続できない構成です。
[ ] 部署、拠点、サーバー用途ごとにセグメントを分け、セグメント間は許可した通信だけを通しています。
[ ] 同一VLAN内で端末同士が自由に通信できる範囲を把握しています。
[ ] NDR、ファイアウォール、DNS、認証ログのいずれかで、大量スキャンや短時間の複数端末ログインを検出できます。
[ ] クラウドのIAMロール、APIトークン、CI/CD用サービスアカウントに有効期限と最小権限を設定しています。
[ ] マイクロセグメンテーションは監視モードから始め、業務所有者が確認した通信だけを許可しています。
NISTはSP 800-207 Zero Trust Architectureで、ネットワーク上の場所だけを信頼根拠にせず、主体と資源ごとにアクセスを評価する考え方を整理しています。マイクロセグメンテーションはその実装手段の1つであり、MFA、端末状態、ログ監視の代替ではありません。
四半期ごとに実施するバックアップ・対応訓練
バックアップは取得成否ではなく、決めた時間内に業務を再開できるかを四半期ごとに測定します。
[ ] 本番管理者が削除・変更できないバックアップ世代を保持しています。
[ ] オフラインまたは論理的に分離されたコピーを保持しています。
[ ] バックアップ管理用アカウントを通常のActive Directoryと分けています。
[ ] 無作為に選んだサーバーとデータを復元し、所要時間と欠損を記録しています。
[ ] 夜間・休日を想定し、経営、情シス、法務、広報、外部専門家の連絡訓練を実施しています。
[ ] 訓練後に隔離までの時間、感染想定台数、復元時間を前回値と比較しています。
復元試験が目標時間内に終われば現行構成を維持し、終わらなければ回線増強、優先システムの絞り込み、バックアップ方式の変更を検討します。すべてのシステムを同時復旧する計画ではなく、認証、ネットワーク、基幹業務、周辺業務の順序を事前に決めます。
従業員規模別の対策優先順位
同じ対策でも、従業員数と専任要員の有無によって内製範囲を変えると運用が継続します。
企業規模 | 最初に実施する対策 | 運用体制 | 横展開対策 |
|---|---|---|---|
50名未満 | 外部公開RDP停止、VPN更新、MFA、クラウドバックアップ | 重大アラートと初動を外部事業者へ委託します | 拠点とサーバーをVLANで分け、管理画面への接続元を限定します |
50～300名 | 資産台帳、EDR全端末展開、管理者権限棚卸し、復元訓練 | 情シス責任者と外部SOCの役割分担を文書化します | 重要サーバーからマイクロセグメンテーションを段階導入します |
300名超 | ID、端末、クラウド、ネットワークのログ統合と常時監視 | CSIRTが法務、広報、事業部門を含む演習を主導します | 全社標準ポリシーと例外期限を設け、複数拠点へ展開します |
50名未満で専任者がいないなら、複雑な製品を多数導入するより、外部公開面の削減、MFA、管理型EDR、復元試験へ予算を集中します。50～300名では、重要サーバーとバックアップから通信制御を始めます。300名を超える環境では、手作業による台帳照合やアラート連携が追いつかないため、資産管理とログ分析の自動化を前提にします。
よくある質問
ワームに関する代表的な疑問について、定義、スマートフォン、EDR、AIワーム、感染時の対応を簡潔に整理します。
Q：ワームとウイルスの違いは何ですか？
A：ワームは宿主ファイルを必要とせず、単独で自己複製して拡散するマルウェアです。コンピュータウイルスは実行ファイルや文書などへ寄生して増殖しますが、メールや共有フォルダーなど一部の感染経路は共通します。
Q：代表的なワーム事例には何がありますか？
A：代表例は、2003年にSQL Serverの脆弱性を突いて拡散したSQL Slammerと、2017年にSMBの脆弱性を悪用したWannaCryです。WannaCryはランサムウェアにワーム型の自己拡散機能を組み合わせた事例で、MicrosoftはWannaCrypt攻撃への公式ガイダンスを公開しています。
Q：スマートフォンやタブレットもワームに感染しますか？
A：感染する可能性があります。不正アプリが連絡先やSMS送信権限を取得し、登録先へ不正URLを送る手法があるため、OS更新、公式ストアの利用、不要な権限の拒否、MDMによるアプリ制御を組み合わせます。
Q：EDRを導入すればワーム被害を完全に防げますか？
A：EDRだけで完全には防げません。EDRは端末上の不審な挙動の検知と調査に有効ですが、未管理端末、正規アカウントの悪用、クラウドAPI経由の横展開に備えて、MFA、通信分離、NDR、バックアップを併用します。
Q：AIワームは既に一般企業へ感染していますか？
A：Morris IIなどは、生成AIアプリケーションで自己伝播する敵対的プロンプトを検証した研究段階の事例です。成立にはAIエージェントが外部データを自動取得し、送信やツール実行の権限を持つなどの条件があり、従来型ワームと同一ではありません。
Q：感染を疑ったら、すぐにLANケーブルを抜くべきですか？
A：一般的なPCは組織の初動手順に従ってネットワーク隔離し、電源は証拠保全担当者の指示なしに切りません。工場設備や認証基盤など停止影響が大きい資産は、CSIRTと設備責任者が上位ネットワークの遮断や代替系への切り替えを選びます。
まとめ
ワームは、宿主ファイルを必要とせず、脆弱性などを利用して端末、サーバー、クラウド環境へ自動伝播し得るマルウェアです。一方、盗んだ認証情報を使ってRDP、SSH、クラウドAPI経由で移動する活動は、攻撃者が操作する横展開であり、常にワームの自己複製機能を伴うわけではありません。ウイルス対策ソフトやVPNだけに依存せず、EDR、MFA、マイクロセグメンテーション、分離バックアップを重ねると、侵入後の被害範囲を狭められます。
最初の一歩は、VPN・RDP・ファイアウォールの外部公開状況と緊急パッチを24時間以内に照合することです。未修正機器があれば公開停止または接続元制限へ切り替え、次に管理者権限とEDR対象端末を棚卸しします。その後、重要サーバーへの到達経路を可視化し、四半期ごとの復元試験で対策の実効性を測定します。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
