🛡️ 2025年最新版・メールセキュリティ入門

メール添付ファイルの危険な種類と攻撃手法まるわかりガイド

exe だけじゃない。マクロ・LNK・ISO・OneNote、そして「拡張子を逆さに見せる」偽装まで。
攻撃者が「開かせる」ための手口を、仕組みから丸ごと解説します。

🏷️ マルウェア 🏷️ フィッシング 🏷️ 標的型メール 🏷️ RLO・ホモグラフ 🏷️ 初心者OK

📋 この記事でわかること

なぜ「添付ファイル」が狙われるのか
危険な添付ファイル14種・危険度つき一覧
よく使われる攻撃手法10＋1選
ファイル名を偽装する5大テクニック（RLO・ホモグラフ）
今日からできる見分け方・防御チェックリスト
まとめ＆体験して学べる関連コンテンツ

📨 なぜ「添付ファイル」が狙われるのか

攻撃の入口は、今も昔もメールが最多。その理由を最初に押さえます。

🚪

マルウェア感染の入口、その多くが「メール」

ランサムウェアや情報窃取型マルウェア（インフォスティーラー）の被害の多くは、1通のメールに付いた1つのファイルを開いてしまったことから始まります。攻撃者にとってメール添付は、ファイアウォールの内側にいる「人」に直接ファイルを届けられる、非常に効率のよい配送手段なのです。

ここで大事なのは、「拡張子（ファイルの種類）」と「攻撃手法」をセットで理解することです。「.exe は危ない」と丸暗記しても、攻撃者は次々と別の形式に乗り換えます。実際、Microsoftが2022年に「インターネットから来たOffice文書のマクロを既定でブロック」した直後から、攻撃者はマクロ付き文書を捨て、ISO・LNK・OneNote・SVGといった“意外な形式”へ一斉に移行しました。この「イタチごっこ」の全体像を、これから順番に見ていきます。

💡

この記事のゴール

「どんな拡張子が危ないか」だけでなく、「その形式がどう悪用されるのか（手口）」と「どう見た目をごまかすのか（偽装）」まで理解し、あやしいメールを自分で見抜ける状態を目指します。

🗺️ 攻撃の全体像（メール1通からマルウェア感染まで）

※ 最近は「④外部からDL」を挟まず、添付ファイル自体に本体を丸ごと隠す手口（HTMLスマグリング等）も増えています。

🗂️ 危険な添付ファイル14種・危険度つき一覧

「拡張子 × 何をされるか × 危険度」を一枚の表で俯瞰します。

🎯

まずは「危ない拡張子」の地図を持とう

拡張子はファイルの種類を表す末尾の文字列（.pdf や .exe など）です。下の表で、それぞれがどんな攻撃に使われるかとざっくりの危険度を掴んでください。★が多いほど「開いた瞬間に致命傷になりやすい」形式です。

種類	主な拡張子	何をされるか（攻撃手法）	危険度
実行ファイル	.exe .msi .scr .com .bat .cmd	開いた瞬間にマルウェアが起動	★★★★★
ショートカット	.lnk	裏で cmd / PowerShell を起動	★★★★★
スクリプト	.js .vbs .ps1 .wsf .hta	スクリプトを実行し本体をDL	★★★★★
ディスクイメージ	.iso .img .vhd	マウントし警告回避、中身を実行	★★★★★
Office（マクロ）	.docm .xlsm .pptm	VBAマクロで感染	★★★★☆
OneNote	.one	埋め込んだ実行ファイルを起動	★★★★☆
CHMヘルプ	.chm	悪意あるスクリプトを実行	★★★★☆
SVG画像	.svg	画像内のJSで偽ログイン表示（2025急増）	★★★★☆
HTML	.html .htm	偽ログイン表示・HTMLスマグリング	★★★★☆
DLL	.dll	DLLサイドローディングで実行	★★★★☆
レジストリ	.reg	設定を書き換え永続化	★★★☆☆
圧縮ファイル	.zip .rar .7z	中身を隠して検査を回避（中身次第）	★★★☆☆
PDF	.pdf	偽サイト誘導・脆弱性悪用	★★★☆☆
通常Office	.docx .xlsx	通常は安全だが内容に注意	★★☆☆☆

⚠️

「危険度が低い＝安全」ではない

.zip や .pdf は「入れ物」や「誘導」の役割で、本当の攻撃はその中身やリンク先にあります。危険度は「開いた瞬間の破壊力」の目安であって、油断してよいという意味ではありません。

この表を眺めると、危険な形式は大きく3タイプに分かれることがわかります。①それ自体がプログラム（exe・スクリプト・LNK）、②中に別のファイルを隠す入れ物（ISO・zip・OneNote）、③人を偽サイトへ誘導する見せかけ（PDF・HTML・SVG）です。次の章では、この3タイプが実際にどう使われるのか、代表的な手口を1つずつ見ていきます。

🧨 よく使われる攻撃手法 10＋1選

同じ「メール添付」でも、感染のさせ方は形式ごとに違います。代表的な手口を解説。

① マクロ感染

Office文書のマクロ悪用

悪用例：Emotet / QakBot / Dridex

Word・Excelを開かせ、「コンテンツの有効化」を押させるのが狙い。押した瞬間にVBAマクロが動き、外部からマルウェア本体をダウンロードします。「文書が保護されています。編集を有効化してください」という偽の指示画像が典型。

.docm.xlsm古典だが健在

② HTMLスマグリング

ブラウザ内でマルウェアを“密輸”

回避対象：メールゲートウェイ

添付の invoice.html を開くと、中のJavaScriptがあなたのブラウザ内でZIPやEXEを生成。ファイルはネットワークを「悪性ファイル」として通らないため、境界での検査をすり抜けやすいのが特徴です。

.html検知回避

③ パスワード付きZIP

あえて鍵をかけて検査を妨害

別メールで「パスワードは1234」

請求書.zip にパスワードを付け、解錠キーを別送。こうするとメールサーバやセキュリティ製品が中身を開いて検査できず、マルウェアが素通りします。日本のビジネス慣習（PPAP）に紛れやすいのも悪用理由。

.zip.rar検査妨害

④ LNK（ショートカット）

PDFの顔をした起動ボタン

見た目：PDF ／実体：起動命令

請求書.pdf.lnk はPDFアイコンでも、正体はショートカット。ダブルクリックすると裏で cmd.exe や powershell.exe が起動し、感染チェーンが始まります。マクロブロック後の主役級の手口です。

.lnk主流

⑤ ISOファイル

マウントすると中身が現れる

回避対象：MOTW（警告マーク）

請求書.iso をダブルクリックするとドライブとしてマウントされ、中の請求書.pdf.exe などが姿を現します。かつては「ネットから来た印（MOTW）」が中身に付かず警告が出にくいため多用されました（Microsoftが2022年に対策済み）。

.iso.img

⑥ OneNote攻撃

ノートに実行ファイルを埋め込む

2023年に急拡大した手口

請求書.one を開くと「ここをダブルクリック」風のボタン画像。その裏に隠れた実行ファイルやスクリプトが、クリック→cmd→PowerShell→感染と連鎖します。マクロが封じられた攻撃者の“次の一手”でした。

.one埋め込み

⑦ PDF誘導型

本体より「リンク」で釣る

偽Microsoft365 / 偽Adobe ログイン

最近のPDF攻撃は、PDF自体で感染させるより中に偽ログインページへのリンクを埋める誘導型が主流。「共有ファイルを表示するにはサインイン」で認証情報（ID・パスワード）を盗みます。

.pdfフィッシング

⑧ JavaScript / VBS

スクリプトを直接実行

起動元：Windows Script Host

invoice.js をダブルクリックすると、Windowsの標準機能でスクリプトが走り、PowerShell経由でマルウェアをDL。.vbs も同様にWindowsでOSレベルの操作ができてしまいます。

.js.vbs

⑨ DLLサイドローディング

正規EXEに“偽の部品”を読ませる

正規ソフトの信頼を悪用

ZIPの中に正規の Acrobat.exe と悪意ある Acrobat.dll を同梱。正規EXEを起動させると、同じフォルダの偽DLLが読み込まれて実行されます。署名された正規プログラムに紛れるため検知が難しい手口です。

.dll高度

⑩ SVGスマグリング

「ただの画像」に見えるJS爆弾

2025年に爆発的に増加中

SVGは画像でありながらJavaScriptを埋め込めるXMLファイル。開くとブラウザ内で偽ログイン画面をまるごと生成します。2025年1〜3月には悪性添付の6.6%（前四半期比+245％）を占め、3月4日には1日で29.5%に達した日も。Strela Stealer等の配布に悪用されています。

.svg最新トレンド

⑪ パスワード付きOffice

文書に鍵をかけて検査を回避

③のOffice版

パスワード保護をかけたOffice文書は暗号化され、ゲートウェイが中身のマクロを検査できません。「この文書はパスワード保護されています」と本文にパスワードを書く形で、③と同じく検査妨害を狙います。

.docx検査妨害

🚨

2025年に急増中の「合わせ技」チェーン

最近は単発ではなく多段構成が主流です。たとえばメール → ZIP → HTML → JavaScript → PowerShell → 情報窃取型マルウェア、あるいはメール → PDF → 偽Microsoft365ログイン → 認証情報窃取。各段でわざと検査をすり抜ける形式を選んでいるのが特徴です。

🎭 ファイル名を偽装する5大テクニック

「拡張子を見れば安全」は半分ウソ。攻撃者は“見た目そのもの”をだましてきます。

🔍

「逆から読ませる」「そっくりな別文字」って本当にある？

あります。実行ファイルやマクロといった「中身」の攻撃だけでなく、ファイル名の“見た目”をごまかす手口も現役です。特に有名なのが、文字の並びを逆転させるRLOと、そっくりな別の文字を使うホモグラフ攻撃（キリル文字・ギリシャ文字）。順に仕組みを見ていきましょう。

偽装手法	やっていること	例
① RLO （右から左へ上書き）	表示順を逆転させる不可視のUnicode制御文字（U+202E）を仕込む	実体は …fdp.exe が「exe.pdf」風に見える
② ホモグラフ攻撃	見た目がそっくりな別の文字（キリル・ギリシャ）に置換	microsоft（o がキリル文字）
③ 二重拡張子	本当の拡張子の前に、それらしい拡張子を付ける	請求書.pdf.exe
④ アイコン偽装	実行ファイルにPDF/Wordのアイコン画像を設定	invoice.exe（PDFの絵）
⑤ LNK偽装	文書に見せかけ、別プログラムを起動させる	請求書.pdf.lnk

① RLO（Right-to-Left Override）＝拡張子を逆さに見せる

RLOは、もともとアラビア語やヘブライ語など「右から左へ書く言語」を表示するための正規のUnicode制御文字（コードポイントは U+202E）です。これ自体は画面に表示されない“見えない文字”で、これより後ろの文字の並びを右から左へ反転させて表示します。攻撃者はこの仕様を逆手にとります。

🔄 RLOで「exe」が「pdf」に化ける仕組み

※「f d p . e x e」を逆順にすると「e x e . p d f」＝末尾が .pdf に見える。実体は .exe のまま。

たとえば実際のファイル名が請求書[U+202E]fdp.exe のように作られていると、Windowsの画面上では 「請求書exe.pdf」 のように表示されることがあります。つまり実体は .exe（プログラム）なのに、見た目は .pdf（文書）。ユーザーは「PDFか」と油断して開いてしまう、というわけです。

🧪

この記事にRLOの“本物”を貼っていない理由

U+202Eは非常に強力で、Webページに直接貼るとその後ろの文章まで逆さまに表示されて崩れてしまいます。そのため本記事ではあえて「U+202E」というコードポイント表記と図解だけで説明しています。仕組みが分かれば、実物を触らなくても十分に見抜けます。

② ホモグラフ攻撃＝そっくりな“別の文字”ですり替える

世界の文字には、見た目はほぼ同じでもコンピュータ上はまったくの別文字というものが数多くあります。代表がキリル文字（ロシア語などで使う文字）やギリシャ文字。たとえばラテン文字の「o」とキリル文字の「о」は、人の目にはほぼ区別できませんが、機械にとっては別物です。これを使ってブランド名やファイル名を“そっくりさん”に置き換えるのがホモグラフ攻撃です。

本物	偽物（そっくりさん）	トリック
microsoft	microsоft	「o」がキリル文字の о（U+043E）
google	gοοgle	「o」がギリシャ文字の ο（U+03BF）
paypal	paypaⅼ	「l」が別のUnicode文字（ⅼ）
apple	аpple	先頭「a」がキリル文字の а（U+0430）

この手口はドメイン名（偽サイトのURL）だけでなく、ファイル名やフォルダ名、差出人の表示名にも使われます。「有名企業からのメールだ」と思っても、社名やドメインのどこか1文字がこっそり別言語の文字に差し替えられている——それがホモグラフ攻撃です。ブラウザの多くはこうしたURLを検知して xn-- で始まる形（Punycode）に変換して表示しますが、ファイル名には同様の保護がありません。

③〜⑤ 二重拡張子・アイコン偽装・LNK偽装

③ 二重拡張子は最も古典的。請求書.pdf.exe のように「それらしい拡張子」を途中に挟みます。Windowsは初期設定で「登録済み拡張子を非表示」にしているため、末尾の .exe が隠れ、「請求書.pdf」にしか見えないのです。④ アイコン偽装と組み合わせ、実行ファイルにAdobeやWordのアイコンを設定すれば、見た目からは本物の文書と区別できません。⑤ LNK偽装は第3章④で見たとおり、PDF風の顔をした起動命令ファイルです。

✅

覚えておきたい「5大偽装」まとめ

RLO（文字の並びを逆転）・ホモグラフ（そっくりな別文字）・二重拡張子（.pdf.exe）・アイコン偽装（実行ファイルに文書アイコン）・LNK偽装（ショートカットを文書に偽装）。いずれも「目で見ただけでは気づきにくい」のが共通点。だからこそ“設定”と“習慣”で守ります（次章）。

🛡️ 今日からできる見分け方・防御チェックリスト

難しい知識がなくても、設定と習慣で被害の大半は防げます。

✓拡張子を「常に表示」に設定するエクスプローラーの「表示」→「ファイル名拡張子」にチェック。二重拡張子（.pdf.exe）やLNKを見破る第一歩。
✓心当たりのない添付は開かない・マクロを有効化しない「編集を有効化」「コンテンツの有効化」を促す文書は特に警戒。押す前に一呼吸。
✓実行系の拡張子は原則ダブルクリックしない.exe / .scr / .js / .vbs / .ps1 / .lnk / .iso / .one が添付で届いたら、まず疑う。
✓差出人アドレスと表示名を分けて確認する表示名は自由に詐称できる。ドメインの1文字（o→キリルо等）まで目を凝らす。
✓「パスワードは別メールで」のZIPを鵜呑みにしない検査回避の常套手段。送信元に電話など“別経路”で確認する。
✓PDF内リンクの「サインイン要求」は踏まない公式サービスは、メール添付PDF経由でパスワード入力を求めない。ブックマークから正規サイトへ。
✓OS・Office・PDF閲覧ソフトを最新に保つ脆弱性悪用型（PDF等）はアップデートで多くが無力化される。
✓迷ったら「開かずに情報システム部門／相談窓口へ」組織なら報告、個人ならまず送信元へ確認。開いてからでは遅い。

🚨 重要

もし開いてしまった・マクロを有効化してしまったら、あわてず即座に①LANケーブルを抜く／Wi-Fiを切る（ネットから隔離）、②電源は切らずそのまま（証拠保全のため）、③情報システム部門やセキュリティ相談窓口に連絡。感染はスピード勝負です。自己判断で再起動や削除をする前に、まず隔離と相談を。