ISO・IMGファイルの添付を開く前に｜ディスクイメージを悪用するウイルスの仕組みと見分け方

取引先の名前で「先日の請求書をお送りします」というメールが届き、添付のファイル名の最後が「.iso」になっている。開いてみると新しいドライブが一つ増え、中には書類らしい名前のファイルが入っている。仕事のメールでこういう形の添付を見たら、そこで手を止めてください。

心当たりのない相手から、メールでISOやIMGのファイルが届いたら、開かずに、電話や前から知っている連絡先で送り主に確かめてください。返信で「本物ですか」と聞くのでは確かめたことになりません。中のファイルを開く前に止めれば、報告されている手口はその先へ進みません。

ISOそのものが危ない形式なのではありません。ソフトの配布やDVDの控えに広く使われている、普通のファイルの形です。危なかったのは、知らない相手からメールで届いたことと、入れ物の中のファイルに「インターネットから来た」という印が付かなかったWindowsの欠陥でした。欠陥は2022年11月の月例の更新で直されましたが、更新を当てていないパソコンには残っていて、印を避ける別の手口もその後に報告されています。

DVDやブルーレイの中身を1つのファイルにしたものがISOなので、ディスクを作る側にとってはなじみのある形式です。形式を怖がらず、届き方で判断する。それがこの記事を通した考え方です。事例と数字は、2026年10月時点で公表資料と報道で確かめられた範囲に限っています。

メールで届いたISO・IMGは、開く前に送り主へ別の手段で確かめる

形式は同じでも、届き方が違います。判断の分かれ目は、ファイルの形式より「その届き方が話の流れに合っているか」です。同じISOでも、自分でMicrosoftのページから取りに行ったWindowsのディスクイメージと、ある朝メールに付いてきた「請求書.iso」とでは、危なさがまるで違います。前者は配布元が分かっていて、配布元が公開している値で中身を確かめる方法もあります。後者は、誰が作ったのかを確かめる手段が、送り主に聞くことしかありません。

届き方を3つに分けると、することが決まります。1つ目は、知らない相手からの添付。これは開かずに削除するか、職場なら情報システムの担当者に見せます。2つ目は、知っている相手からだが、ISOを送るという話を聞いていない場合。相手のパソコンが感染して連絡先やメールの内容を盗まれ、その名前や署名を使ったなりすましのメールが届くこともある（JPCERT/CCがEmotetについて注意を呼びかけた型）ので、開く前に電話などで確かめます。3つ目は、前もって「映像の控えをISOで送ります」と聞いていて、ファイル名や大きさも話と合う場合。この場合も、受け取ったらウイルス対策の検査を通してから開きます。

確かめるときは、届いたメールには返信しないでください。JPCERT/CC（日本のセキュリティ事案の調整機関）はマルウェアを広げるメールについての注意喚起で、送信元へは別の確実な手段で確認するよう呼びかけています。なりすましのメールに返信すれば、返事をするのは攻撃者です。名刺や契約書にある電話番号、前から使っている別の連絡先で、「今日、ISOという形式のファイルを送りましたか」と聞きましょう。

もう一つ知っておくと判断が早くなるのは、GmailとOutlookが添付を止めている形式です。GoogleはGmailのヘルプで、.iso・.img・.vhd・.dmgなどのファイルを添付できない種類に挙げています。Microsoftも、Outlookのヘルプで.iso・.img・.vhd・.vhdxを、送受信をブロックする種類の一覧に入れています。大手のメールの仕組みが止めている形式なので、ふだんの仕事のやり取りでISOをそのままメールに付けて送る場面は、もともと限られます。それでも届いたのなら、止める仕組みの無い経路を通ってきた、ZIPなどに包まれている、リンクの先から取りに行かせる形になっている、といった事情が考えられます。

ISO・IMGはふだん何に使われている形式か

ISOファイルは、CD・DVD・ブルーレイの中身を、ファイルの並べ方の決まり（ファイルシステム）ごと1つのファイルにしたものです。呼び名はCD-ROMの規格「ISO 9660」から来ています。フォルダをそのままコピーしたものと違い、ディスクとしての形を保っているので、ファイルを焼けば元のディスクと同じものができ、パソコン上で開けばディスクを入れたときと同じように中身が見えます。仕組みと開き方、焼き方はISOイメージとは｜マウントとDVDへの書き込み方・作り方にまとめています。

ISOをパソコン上でディスクのように扱えるようにする操作を、マウントと呼びます。Windows 11ではISOファイルを右クリックして［マウント］を選ぶと、ドライブが1つ増えて、そこに中身が並びます。マウントしたISOは読み出し専用になる、とMicrosoftは説明しています。中身は書き換えられませんが、中のファイルは開けます。この「追加のソフトなしで、すぐ中身が見える」便利さが、あとで書く悪用の背景になりました。

MicrosoftのPowerShellの説明には、Windows 8ではISOファイルのマウントに管理者の権限が要らないと書かれています。誰でも、ふだんのアカウントのまま、追加のソフトを入れずに中身を開ける。正規の利用者にとっての便利さは、攻撃する側にとっては、相手に開かせやすいということでもありました。

ソフトやOSの配布に使われるISO

いちばん身近な正規の使い道は、ソフトやOSの配布です。MicrosoftはWindowsのディスクイメージ（ISOファイル）を公式のダウンロードのページで配っていて、同じページで、ダウンロードしたISOのハッシュ値（中身から計算する値）をPowerShellのGet-FileHashで計算し、ページに載せた値と比べる方法を案内しています。値が一致すれば、配布元が用意したファイルから中身が変わっていないと確かめられます。同じページでは、インストール用のDVDを作るときに、ISOファイルを右クリックして［ディスク イメージの書き込み］を選ぶ方法も案内されています。配布元は、利用者に自分で取りに来てもらう形にし、確かめる方法と使い方まで用意している。これが正規のISOの届き方です。

この届き方では、受け取る側が自分から配布元のページを開いています。メールで向こうから送られてくるのではありません。数GBの大きさになるOSのディスクイメージを、配布する側がメールに付けて送ってくることは、まずありません。ソフトの配布でISOが使われるときは、公式のページ、公式の配布サーバー、買ったソフトの案内に書かれた入手先のどれかから受け取る、と覚えておけば十分です。

ディスクの控えとして自分で作るISO

もう一つの使い道が、ディスクの控えです。DVDを作るソフトの中には、焼く前の完成品をISOとして書き出せるものがあります。たとえば無料のDVD作成ソフトDVDStylerは、盤に焼く代わりにISOファイルとして保存する選び方ができます（使い方はDVDStylerの使い方）。完成したISOを手元に残しておけば、何枚でも同じ盤を焼き直せます。映像のDVDのISOをマウントすると、VIDEO_TSという決まった名前のフォルダが見えるはずで、これは盤の中身がそのまま入っているしるしです。

自分で作ったISOは、作った経緯を自分が知っています。いつ、どのソフトで、何の映像から作ったか。これが分かっているファイルは、形式がISOでも疑う理由はありません。逆に、自分で作った覚えのないISOがダウンロードのフォルダに増えていたら、それはどこかで取りに行かされた可能性があるので、開かずに出どころを確かめてください。

IMG・VHDという仲間の形式

IMGは、ディスクの中身を写し取ったファイルに使われる拡張子の一つで、作ったソフトによって中の形式が違います。VHD・VHDXは、Microsoftの説明では「仮想ハード ディスク」の形式で、仮想のパソコンを動かすときなどに使われます。どちらも、開くとディスクやドライブのように中身が見える点でISOと同じ仲間です。OutlookのヘルプではIMG・VHD・VHDXが、GmailのヘルプではIMGとVHDが、ISOと並んで添付を止める種類に入っています。

Macで使われるディスクイメージはDMGという形式で、Macのアプリの配布によく使われています。DMGもGmailが添付できない種類に挙げています。どの形式も、正規の使い道がある普通の形式で、悪用されたときの危なさは「知らない相手から、中身を確かめられない形で届く」ことにあります。この記事でISOと書くときは、IMGやVHDにも同じ考え方が当てはまると読んでください。

なぜディスクイメージが攻撃に使われたのか｜インターネットから来た印が中のファイルに付かなかった

ディスクイメージが攻撃メールに使われた理由は、Windowsが守りのために付けている印の仕組みと、2022年のOfficeの変更が重なったことにあります。順に見ると、問題は形式そのものより、印が中身に引き継がれなかった欠陥にあったと分かります。

Windowsが付ける「インターネットから来た」印

Windowsは、インターネットからダウンロードしたファイルや、メールの添付として保存したファイルに、「インターネットから取得した」という印を付けます。英語ではMark of the Web（MOTW）、Microsoftの日本語の文書では「Web のマーク」と呼ばれています。ファイルの中身は変えずに、ファイルに付いた情報として記録されるもので、ふだんは目に見えません。

この印を見て、WindowsやOfficeは慎重な開き方を選びます。たとえばWordやExcelは、印の付いたファイルを「保護ビュー」という読むだけの状態で開き、黄色の帯に「注意してください。インターネット上のファイルにはウイルスが含まれている可能性があります。編集する必要がない限り、保護ビューのままにした方が安全です。」と表示します（Microsoftのサポートページの文言）。メールの添付から開いたときは「メールの添付ファイルにはご注意ください」で始まる文が出ます。編集するには「編集を有効にする」を押す必要があり、この一手間が、うっかり開いたファイルの中で仕掛けが動くのを防いでいます。

Microsoftの文書には、この印はNTFSという形式で保存したファイルにだけ付き、FAT32という形式の機器に保存したファイルには付かないとも書かれています。印は、保存のされ方によって外れることがあります。この点は、あとでUSBメモリの話にもつながります。

2022年にマクロが止められ、攻撃者は「入れ物」に移った

WordやExcelの文書には、マクロという自動で動く小さなプログラムを入れられます。長いあいだ、マクロ付きの文書をメールに添付して開かせ、マクロでマルウェアを取り込ませる手口が広く使われてきました。Microsoftも、マクロはマルウェアやランサムウェアを広げる一般的な方法だと書いています。対策としてMicrosoftは、インターネットから来たファイルのマクロを既定で止める変更を順に配りました。Microsoftの管理者向けの文書によると、法人向けの「最新チャネル」ではバージョン2206で、2022年7月27日から配信が始まっています。

この変更のあと、印の付いた文書を開くと、マクロが止められたことを知らせる「セキュリティ リスク」の帯が出ます。以前のセキュリティの警告にあった「コンテンツを有効にする」ボタンはこの帯に無く、メールの本文で「ボタンを押してください」と誘っても、押す場所がありません。同じ文書によると、この変更はWindowsで動くOfficeが対象で、Mac版のOfficeやブラウザー版は対象外です。

攻撃する側は、印が付いた文書を直接送る方法をやめ、印を避けられる形に移りました。メールの安全対策を手がける米Proofpointが2022年7月28日に公開した分析では、2021年10月から2022年6月までに、マクロ付きの添付を使う攻撃は約66%減り、ISO・IMG・RARなどの「入れ物（コンテナ）」のファイルやショートカットのファイルを使う攻撃は約175%増えました。形式別に見ると、ISOを使うものは150%を超えて増え、ショートカットのファイルを含むものは1,675%増えたとしています。

入れ物を開くと、中のファイルは「手元のディスクのもの」として扱われた

入れ物の形が選ばれた理由を、Proofpointは次のように説明しています。メールで届いたISOファイルそのものには、インターネットから来た印が付きます。ところが、そのISOをマウントして中から取り出したファイルには、印が付かなかった。中のファイルは、インターネットから来たものではなく、手元のディスクにあるものとして扱われ、開くときの警告が出なかったのです。

流れを絵にすると、次のようになります。図は、どこで気づいて止められるかを書き添えたもので、どの段階で止めても、その先には進みません。

この図では、最初の2つの段階に目を向けてください。メールが届いた段階と、ISOを開こうとした段階は、受け取る人が自分で止められます。中のファイルを開いた後は、Windowsの守りがどこまで働くかに頼ることになり、更新の状態やウイルス対策の設定で結果が変わります。だから、開く前の判断がいちばん確かな守りになります。

中に入っていたのは、文書に見せかけたショートカットや、見せるためだけのおとりの文書などだったと、MicrosoftやProofpointの分析は伝えています。開いた人の画面には、それらしいPDFや文書が表示されることもあり、何も起きていないように見えます。その裏で別のプログラムが動き、情報を盗む型のマルウェアや遠隔操作のプログラムを取り込む、という流れです。手口の細かい作りは、ここでは書きません。

USBメモリに移したときも印が付かないことがある

先に書いたとおり、印はFAT32の形式の機器に保存したファイルには付きません。USBメモリやSDカードの中には、FAT32で使われているものがあります。届いた添付をUSBメモリに移して、別のパソコンで開く。こうした使い方をすると、印が外れて、Officeの保護ビューのような警告が出ないまま開いてしまうことがあります。

職場で「メールを見る端末」と「作業する端末」を分けていて、USBメモリでファイルを運んでいる場合は、この点で、印による守りが働かなくなります。運ぶ前に、届いたファイルを確かめることを決まりにしておくと安心です。USBメモリでの受け渡しには、印が外れることのほかに、なくしたときに中身を読まれる心配もあります。

ディスクイメージが使われた実例

攻撃メールにISOを使ったのは、名もない攻撃者だけではありませんでした。ここで挙げる大きな組織を狙った例と、攻撃者全体の流れを示した分析は、どちらも公表した会社自身の文書に基づいています。

米国の政府機関の注意喚起を装ったメール（2021年）

Microsoftは2021年5月27日、同社がNOBELIUMと呼ぶ攻撃者による大規模なメール攻撃を公表しました。この攻撃者についてMicrosoftは、ロシアから活動し、2020年にSolarWindsの顧客を狙った攻撃と同じ集団だと説明しています。メールは米国国際開発庁（USAID）からの注意喚起を装ったもので、150を超える組織の約3,000のメールアカウントに送られ、少なくとも24か国に及びました。同社によると、一連の動きは2021年1月から追っていたものです。

メールのリンクを開くと、悪意のあるファイルが送り込まれる作りでした。Microsoftのセキュリティの解説によると、ISOファイルが外付けのドライブやネットワークのドライブのようにマウントされ、中にはショートカット、目の前に表示するためのおとりの文書、プログラムの部品が入っていました。受け取った人には、文書が開いただけに見える組み立てです。翌28日の追記では、その時点で多数の組織が侵害された証拠は見ていない、とされています。

届き方は、時期によって変わっていました。Microsoftの説明では、2021年2月に見つかった初めの段階ではISOを外部のサービスに置き、リンクから取りに行かせていました。その後は、メールに添付したHTMLのファイルを開くと手元にISOファイルが保存され、それを開くよう促す形に移っています。リンクでも添付でも、最後に受け取った人の手でISOを開かせる点は変わりません。

この例から読み取れることは3つあります。1つ目は、実在する組織の名前と、本物らしい体裁のメールでも、中身は偽物でありうること。2つ目は、ISOがリンクの先から取りに行かせる形で届き、メールそのものには添付が無かったこと。「添付ファイルが無いから安全」とは言えません。3つ目は、Microsoftが対策として、多要素認証、ウイルス対策のクラウドによる保護をオンにすること、危ないドメインへの接続を止める機能などを挙げたことです。どれも、狙われたのが大きな組織でも小さな事務所でも、同じように使える守りです。

攻撃者全体の流れを示した分析（2022年）

先に紹介したProofpointの2022年7月の分析は、同社が観測した攻撃メール全体の傾向をまとめたものです。マクロ付きの文書が減り、ISOなどの入れ物とショートカットが増えた。その中で、Bumblebeeと呼ばれるマルウェアがISOの添付を使った例を挙げています。同じ分析は、国内でも多くの被害を出したEmotetについて、2022年4月以降は別の形式（XLLという形式のファイルや、ZIPに入れたショートカット）に移ったと書いています。

2022年11月に直された欠陥（次の節で書きます）について、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、修正が出た日に、実際の攻撃で悪用が確認された脆弱性の一覧に加えました。実際の攻撃で使われていた欠陥だった、ということです。大きな組織の事例は大手企業のランサムウェア被害に学ぶで、侵入のあとに何が止まったかまで追っています。

2022年11月の修正で変わったこと｜残っていること

中のファイルに印が付かなかった問題は、Windowsの脆弱性CVE-2022-41091（Windows Mark of the Web のセキュリティ機能のバイパス）として、2022年11月8日（米国時間）の月例の更新で直されました。日本では翌日の水曜日に配られた、毎月の定例の更新です。

修正で直ったこと

米国のIT専門のニュースサイトBleepingComputerは2022年11月10日、この欠陥を、ダウンロードしたISOの中のファイルに印が引き継がれず、ショートカットなどが警告なしで開けてしまう不具合だと伝えました。更新の後は中のファイルにも印が付き、ショートカットを開くときに警告が出るようになった、とも報じています。同じ月には、ZIPの中のファイルで警告が出ない別の欠陥（CVE-2022-41049）も直されたと報じられました。

つまり、2022年11月の更新を当てたWindowsでは、メールで届いたISOをマウントすると中のファイルにも印が付き、ショートカットなどを開こうとすると警告が出る状態になっています。警告が出たら、そこで閉じてください。「いつも出る表示だから」と押し進めず、送り主に確かめるまで開かない。警告は、ここまで来てしまったことを知らせる最後の合図です。

IMG・VHDと、その後の回避の手口

直ったとは言い切れない部分もあります。2022年11月の修正が、IMGやVHD・VHDXの中のファイルでも同じように直ったのかは、Microsoftの公式の文書では確かめられませんでした。分からない以上、IMGやVHDも、ISOと同じように開く前に確かめる対象として扱ってください。

攻撃の手法を整理している米国のMITREの資料（ATT&CK）は、ディスクイメージを使って印を避けることを一つの手口として載せ、対策の例にディスクイメージの自動のマウントを止めることを挙げています。職場で取り入れるかどうかは、ISOを仕事で使う場面があるかによるので、情報システムの担当者やパソコンの管理を頼んでいる業者と決めてください。印を避ける別の手口は、2022年のあとも報告されています。一つの欠陥が直っても、攻撃する側は次の形を探すので、「この形式なら安全」という一覧は長く使えません。

更新が止まったパソコンには、直っていない

修正は月例の更新の中に入って配られました。裏返すと、2022年11月より前から更新を当てていないパソコンには、欠陥がそのまま残っています。インターネットにつながず倉庫に置いていた古いノートパソコンを、久しぶりに出してメールを見る。こうした場面では、まず更新を済ませてからメールを開きましょう。

もう一つの心配が、サポートが終わったWindows 10です。Windows 10のサポートは2025年10月14日に終わりました。個人向けの拡張セキュリティ更新（ESU）は2027年10月12日まで受けられますが、登録していないパソコンには、これから見つかる同じような欠陥の修正が届きません。続けて使うときの考え方と、買い替えの前にデータを移す手順はWindows 10のまま使い続けるリスクで順に説明しています。ここまでの出来事を年表にすると、次のとおりです。

年表を見ると、守る側が一つ手を打つたびに、攻撃する側が別の形に移っているのが分かります。2022年7月にマクロを止めたら入れ物へ、11月に入れ物の欠陥を直したら別の形式へ。受け取る側にとっての答えは、形式の名前を覚えることより、「予告のない添付は開く前に確かめる」という一つの決まりを続けることです。

国内で多かったEmotetは、ISOとは別の形で届いていた

日本でメールのマルウェアと聞くと、Emotetを思い出す人が多いはずです。ここで混同しやすいのは、Emotetがどんな添付で届いたかです。JPCERT/CCの注意喚起に並ぶ添付の形は、マクロ付きのWordやExcel、パスワード付きのZIP、ショートカットのファイル、500MBを超える大きなWord文書、OneNoteの形式で、ISOの添付で国内に広まったという公的な資料はありません。ISOを使う手口は、Bumblebeeなど別のマルウェアや、攻撃者全体の流れとして見ておくのが正確です。

JPCERT/CCがまとめた経緯をたどると、形を変え続けたことがよく分かります。国内では2019年10月ごろから感染が相次ぎました。2021年1月27日には、欧州刑事警察機構（Europol）と欧州司法機構（Eurojust）が、オランダ・ドイツ・米国・英国・フランス・リトアニア・カナダ・ウクライナの共同作戦でEmotetの基盤を止めたと発表しました。感染した端末の通信を当局のサーバーへ向け替える作戦で、JPCERT/CCは作戦名を「Operation LadyBird」と紹介しています。それでも10か月ほど後の2021年11月後半に活動の再開が確かめられ、2022年2月の第1週から感染が急に広がりました。

2022年4月25日ごろからはショートカットのファイルや、ショートカットを入れたパスワード付きのZIPが使われ、2023年3月にはZIPの中に500MBを超えるWord文書を入れたものや、OneNoteの形式の添付が確認されています。

500MBを超える文書という例は、見分け方を考えるときにも大切です。大きさで検査を避ける狙いだろう、とJPCERT/CCは推測しています。「大きいファイルだから本物のソフト」「小さいから書類」とは決められない、ということです。

Emotetは、2023年4月以降に新しい活動が観測されていないと報じられています（2024年6月時点の報道）。2024年5月から6月の国際的な共同作戦では、Emotetの運営者とされる人物についての情報提供が呼びかけられたとも報じられました。2025年から2026年にかけて再開したという信頼できる報告は、調べた範囲では見つかりませんでした。だからといって、届いた添付を安心して開いてよいわけではありません。名前が変わっても、知り合いを装って添付を開かせる手口は続きます。

JPCERT/CCは、Emotetに感染しているかを調べるEmoCheckという道具を公開し、2023年3月20日にv2.4.0を出しました。使うときは、感染につながるメールを開いたアカウントでログインして確かめるよう案内しています。ただしEmoCheckはEmotetだけを調べる道具なので、「EmoCheckで見つからなかったから安全」とは言えません。先に書いたとおり、ISOを使った例として報告されているのは、Bumblebeeなど別のマルウェアです。

ISOのほかに、同じ考え方で扱う添付

ここまでISOを例にしてきましたが、守る側が一つの形を止めると、攻撃する側は別の形に移ります。国内外の注意喚起や分析に出てきた形を、正規の使い道と並べておきます。どれも普通の仕事で使われる形式なので、形式で一律に怖がるのではなく、届き方と話の流れで判断する、という考え方は同じです。

種類：ディスクイメージ
拡張子の例：.iso .img .vhd .vhdx
正規の使い道：ソフトの配布、ディスクの控え、仮想のパソコン
届いたときに確かめること：予告があったか。中身と大きさが話と合うか

種類：圧縮ファイル
拡張子の例：.zip .rar
正規の使い道：複数のファイルをまとめて送る
届いたときに確かめること：パスワード付きで予告が無いものは、開く前に送り主に確かめる

種類：ショートカット
拡張子の例：.lnk
正規の使い道：パソコンの中の別のファイルを開く近道
届いたときに確かめること：メールで送る使い道はふつう無い。届いたら開かない

種類：Officeの文書
拡張子の例：.docx .xlsx .xlsm
正規の使い道：書類、表計算
届いたときに確かめること：保護ビューや「セキュリティ リスク」の帯が出たら、編集やマクロを有効にしない

種類：OneNoteの文書
拡張子の例：.one
正規の使い道：メモの共有
届いたときに確かめること：中の案内に従ってボタンや画像を押さない

種類：HTMLのファイル
拡張子の例：.html .htm
正規の使い道：ウェブページの保存
届いたときに確かめること：開いたらファイルが保存された、という場合はそのファイルを開かない

種類：Excelのアドイン
拡張子の例：.xll
正規の使い道：Excelに機能を足す
届いたときに確かめること：仕事で添付される場面は限られる。予告が無ければ開かない

表の中で、ショートカット（.lnk）は、GmailとOutlookのどちらのヘルプでも添付を止める種類に入っています。Excelのアドイン（.xll）も、Gmailが添付できない種類に挙げています。OneNoteの形式は、JPCERT/CCが2023年3月にEmotetの添付として確認した形です。HTMLのファイルは、Microsoftが2021年5月に公表したNOBELIUMの例で、添付のHTMLを開くと手元にISOファイルが保存され、それを開くよう促す形が使われたと書かれています。

この表を覚える必要はありません。覚えておくのは、ファイルの形式が何であれ、「予告のない添付を開く前に、送り主へ別の手段で確かめる」という一つの決まりが、どの形にもそのまま使えることです。新しい形式が出てきても、この決まりは変わりません。

開く前に整えておく設定

見分け方を覚えるより先に、パソコンとアカウントの設定を整えておくほうが、守りとして確かです。人の判断は疲れているときに鈍りますが、設定はいつも同じように働きます。画面の表記はWindowsのバージョンで変わることがあるので、見当たらないときは近い名前の項目を探してください。

家庭のパソコン

最初に、Windowsの更新が止まっていないかを確かめます。Windows 11では［スタート］→［設定］→［Windows Update］と進むと、更新の確認と、すでに入った更新の一覧（［更新履歴］）が見られます。履歴の日付が何か月も前で止まっていたら、そのまま更新を確かめて当てます。2022年11月の修正のように、守りの多くは月例の更新で届きます。

次に、ウイルス対策が動いているかを見ます。Windowsに入っている「Windowsセキュリティ」を開き、「ウイルス & 脅威の防止」から「設定の管理」に進むと、「リアルタイム保護」がオンになっているかが分かります。ほかの会社のウイルス対策ソフトを入れている場合は、MicrosoftのDefenderは自動的に止まる作りなので、そちらのソフトが有効期限内かを確かめます。

三つ目に、ファイルの拡張子（ファイル名の最後の「.iso」「.pdf」などの部分）を表示させます。Windows 11ではエクスプローラーの［表示］から［表示］→［ファイル名拡張子］を選び、Windows 10では［表示］タブの「ファイル名拡張子」にチェックを入れます（Microsoftのサポートページの手順）。拡張子が見えていれば、「請求書」という名前のファイルが実はISOだった、ということに開く前に気づけます。

数人の事務所・店

事務所では、メールが届く前の段階で止める設定を考えましょう。GmailやOutlookはISOなどを止める形式に挙げていますが、独自のドメインのメールを、プロバイダーやレンタルサーバーの仕組みで使っている場合は、何を止めるかが契約やサーバーの設定によって違います。管理を頼んでいる業者に、「ISO・IMG・VHDなどのディスクイメージの添付を止める、または隔離する設定はできるか」と聞いてください。仕事でISOを受け取ることが無い事務所なら、止めても困る場面はほとんどありません。

Officeを法人向けの契約で使っているなら、マクロの設定も確かめましょう。Microsoftは、Microsoft 365 Apps for enterpriseのセキュリティの基準の一つとして、インターネットから来たOfficeファイルのマクロの実行をブロックする方針（ポリシー）を有効にするよう勧めています。この方針はMicrosoft 365 Apps for enterpriseで使えるもので、Microsoft 365 Apps for businessでは使えないと、同じ文書に書かれています。設定は管理する人の仕事になるので、どの契約かを確かめてから担当者に頼んでください。

管理の仕組みを使わない契約や、個人で買ったOfficeなら、アプリの側で設定します。Microsoftのサポートページの手順では、［ファイル］→［オプション］→［セキュリティ センター］→［セキュリティ センターの設定］→［マクロの設定］と進みます。マクロを使わない人は、ここで「警告なしですべてのマクロを無効に」を選べます（Excelでは「警告なしで VBA マクロを無効にする」と表示されます。表記はバージョンで違うことがあります）。マクロを必要としない利用者には、すべてのマクロを止める設定を勧める、とMicrosoftは管理者向けの文書に書いています。仕事でマクロを使う表がある事務所は、その表を使う人と相談してから決めてください。

もう一つは、ふだん使うアカウントの権限です。毎日のメールや書類の作業を、パソコンの設定を何でも変えられる管理者のアカウントで行っていると、うっかり開いたファイルが動いたときの影響が大きくなります。設定を変えるときだけ管理者のアカウントを使い、ふだんは権限の小さいアカウントで作業する。数人の事務所でも、パソコンを買い替えるときに分けておくと手間がかかりません。

学校・園・自治会などの団体

団体のパソコンは、使う人が年度で替わり、メールを受ける係が毎年違う人になりがちです。設定より先に、決まりを紙一枚にしておくのが役に立ちます。「ファイル名の最後が.iso・.img・.vhdの添付は開かず、係長か事務局に転送する」「添付を開く前に、送り主に電話で確かめる」の2行を、パソコンの横に貼っておくだけでも、引き継ぎのたびに説明する手間が減ります。

共用のパソコンでは、更新の確認を誰の仕事にするかも決めましょう。学期の初めや役員の交代のときに、［Windows Update］の［更新履歴］を見る係を一人決めておくと、半年以上更新が止まっていたという状態を防げます。PTAや自治会の名簿を役員の個人のパソコンで扱っている場合は、役員が替わるときに、名簿がどのパソコンに残っているかも一緒に引き継ぎましょう。

メールのアカウントそのものを守る

メールの添付やリンクから入るマルウェアには、パソコンに保存されたパスワードや、ログインしたままの状態を保つ情報（クッキー）を盗む型があります。Microsoftは2025年5月の解説で、情報を盗む型のマルウェアLummaが、ブラウザーに保存したパスワード、ログイン状態を保つクッキー、自動入力のデータなどを集めると説明しています。クッキーを盗まれると、パスワードを入れ直さなくてもログイン済みの状態を使われるおそれがあります。

だから、メールのアカウントにはパスキーか、フィッシングに強い方式の多要素認証を設定しておきましょう。Microsoftも、電話やSMSより、FIDOやパスキーのようなフィッシングに強い方式を勧めています。設定の場所はサービスごとに違うので、使っているメールのサービスのヘルプで「パスキー」を調べて設定してください。ISOを開かないことと、開いてしまったときに被害を広げないこと。設定は後者のための備えです。

届いたメールを前に、開くかどうかを決める5つの問い

設定を整えたうえで、最後に判断するのは受け取った人です。迷ったときは、次の5つの問いを上から順に当てはめます。どこかで「はい」になったら、その時点で開くのをやめて、書いてある動きに移ります。最後まで「いいえ」で進んだときだけ、中身を確かめて使います。迷ったら、開かない。それで困ることはまずありません。

最初の2つは、ファイルを一切触らずに答えられる問いです。メールの送り主と、話の流れだけを見ればよい。3つ目は、拡張子と大きさを見る問いで、ここも開かずに答えられます。ウイルス対策の検査と中身の確認は、その後でようやく出てきます。開く操作に近い問いほど後ろに置き、手前で止められるようにしています。

請求書や見積書がISOで届くのは、それだけで不自然

3つ目の問いで多くの迷いは解けます。請求書、見積書、注文書、履歴書、写真の確認のお願い。こうした書類は、ふつうPDFかWordやExcelのファイルで送られてきます。わざわざディスクイメージという、ディスクの中身を丸ごと写し取る形に包む理由がありません。中身が書類1枚なのに入れ物がISOなら、その組み合わせだけで、開かずに確かめる理由になります。

採用の窓口で履歴書を受け付けている店、見積もりのやり取りが多い工務店、保護者から写真の提出を受ける園。外からの添付を毎日開く立場の人ほど、慣れで開きがちです。受け付けるファイルの形式を募集の案内に書いておく（「PDFでお送りください」など）と、ISOが届いたときに「案内と違う」とすぐ気づけます。

知っている相手から届いたとき

いちばん迷うのは、いつもやり取りしている相手の名前で届いたときです。JPCERT/CCはEmotetの注意喚起で、感染した端末からメールや連絡先の情報が盗まれ、その後のなりすましのメールに使われることがある、と書いています。取引先の担当者の名前、会社の署名、以前のやり取りに出てきた件名。どれも本物らしさの根拠になりません。

知っている相手でも、ISOを送るという話を聞いていなければ、2つ目の問いで止まります。話を聞いていた場合でも、届いたファイルの名前や大きさが話と違えば3つ目で止まります。「この前お願いした式の映像の控え、ISOで送ってくださったのはこれで合っていますか。名前は○○.isoで、大きさは約4GBです」と、具体的に聞くと、相手も答えやすくなります。

確かめは、届いたメールとは別の連絡手段で

確かめる手段は、届いたメールとは別の経路にしましょう。名刺や契約書に載っている電話番号、前から使っているチャットのグループ、社内なら内線。偽のメールなら、本文に書かれた電話番号も偽の番号かもしれません。使わないでください。確実な手段で送信元へ確認するよう、JPCERT/CCも呼びかけています。

電話をかけるのが気まずいと感じる人もいるはずです。けれども、確認の電話で気を悪くする取引先は少ないはずです。相手のパソコンが感染していた場合、その電話で相手が気づき、ほかの取引先に被害が広がる前に止められます。確かめる一本の電話は、自分を守ると同時に、相手を守る連絡でもあります。

ZIPやリンクで届いた場合も同じ

ISOがむき出しで添付されているとは限りません。Gmailのヘルプは、止める形式のファイルを圧縮したものや、ZIPなどのアーカイブに入れたもの、アーカイブを中に入れたパスワード付きのアーカイブも添付できないものに挙げています。裏返すと、そうした包み方で検査を避けようとする手口があるということです。パスワード付きのZIPは、中身をメールの段階で調べにくくなります。

NOBELIUMの例のように、メールの本文のリンクを開いた先でISOがダウンロードされる形もあります。この場合、メールには添付ファイルが無いので、受信の段階で止める仕組みが働きません。ダウンロードのフォルダに見覚えのないISOやIMGが増えていたら、開かずに、どのメールのリンクから来たのかをたどってください。ファイル共有のサービスを装った通知の見分け方は、ファイル共有を装う偽メールの見分け方で詳しく書いています。

拡張子・アイコン・送り主の表示で分かること、分からないこと

拡張子を表示しておくと、開く前に分かることが増えます。添付の名前の最後が「.iso」「.img」「.vhd」「.vhdx」なら、ディスクイメージです。書類だと思っていたファイルがディスクイメージだと分かれば、3つ目の問いに答えられます。表示の設定は前の節に書いたとおりで、一度設定すればずっと有効です。

アイコンの絵は、当てにしないほうが安全です。アイコンはファイルを開くプログラムの設定やファイルの種類によって決まり、中身の安全とは関係がありません。ショートカットのファイルは、別のファイルのアイコンを表示させられます。PDFの絵が付いているからPDFだ、とは限らないということです。

確かめるなら、種類と大きさを見ましょう。エクスプローラーの［表示］から表示のしかたを［詳細］に切り替えると、ファイルの種類や大きさを一覧で確かめやすくなります。書類の名前なのに種類がショートカットになっている、数KBしかない、というように、名前と種類が食い違っていれば、開かずに閉じてください。

一方で、見た目からは分からないこともはっきりしています。送り主の表示名は自由に書けるので、知っている会社の名前でも本人とは限りません。ファイルの大きさも決め手になりません。Emotetの例で見たとおり、検査を避けるために500MBを超える大きな文書が使われたこともあります。ハッシュ値も、配布元が公開した値と比べられるときにだけ意味があり、送り主がメールに書いてきた値は、ファイルと一緒に作られた値かもしれません。

見た目の確認は、怪しいものを拾い上げるための手がかりで、安全を証明する手段ではありません。名前も大きさも話と合っていて、拡張子も予告どおりだった。それでも、送り主に別の手段で確かめたかどうかが、最後の決め手になります。

送り主の表示は、メールの画面で少し確かめられる

メールに表示される送り主の名前は、送る側が自由に付けられます。名前の横や下に出ているメールアドレスまで見て、いつもの相手のアドレスと一字ずつ同じかを確かめましょう。会社名に似せた別のドメインから届いていることもあります。

パソコンのGmailでは、メールを開いて送信者名の下の下向きの矢印を押すと、［送信元］と［署名元］の欄が表示されます。Googleのヘルプによると、ここにドメイン名が出ていれば、そのメールは認証されています。認証されていないメールは送信者名の横に疑問符が出るので、返信や添付ファイルのダウンロードに特に注意してください。ほかのメールソフトでは、メールのヘッダーの「Authentication-Results」に「spf=pass」や「dkim=pass」があるかで確かめられる、とも書かれています。

ただし、同じヘルプが書いているとおり、迷惑メールの送り主も認証を通ることがあります。相手の本物のアカウントが乗っ取られて送られたメールなら、認証の表示も本物どおりになるはずです。認証の表示は、明らかな偽物を見つける手がかりで、本物だと決める根拠にはしないでください。

本物のISOとの見分け方｜入手のきっかけと、確かめられる値

安心して使えるISOには、共通する性質があります。入手のきっかけを自分が作っていること。出どころが分かっていること。中身が変わっていないかを確かめる手段があること。この3つがそろっていれば、形式がISOでも疑う必要はありません。

表のとおり、メールで届いたISOだけが、入手のきっかけを相手が作り、確かめる手段を送り主に聞くことしか持ちません。逆に言えば、仕事でISOを受け取る必要があるときは、このうち足りないものを補えば、本物のISOと同じ条件に近づけられます。

配布元が公開しているISO

ソフトやOSのISOは、配布元のページを自分で開いて取りに行きましょう。検索結果の広告に出てくるページや、メールのリンクからたどったページは、本物そっくりの偽の配布ページであることがあるので、ブックマークや、製品の箱・購入時のメールに書かれた公式の入手先から開いてください。偽のソフトの配布サイトの見分け方は、偽の動画編集ソフト・AI動画サイトに注意で書いています。

配布元がハッシュ値を載せていれば、ダウンロードしたISOの値を計算して比べてください。WindowsのISOなら、Microsoftがダウンロードのページで、PowerShellのGet-FileHashで値を計算し、ページの表のSHA256の値と比べる方法を案内しています。Macなら、ターミナルでshasum -a 256のあとにファイルの場所を続けて実行します。Macのshasumは何も付けないとSHA-1という別の方式で計算するので、-a 256を付け忘れないようにしてください。

値が一致すれば、配布元が用意したファイルから中身が変わっていないことが分かります。ただし、これは「配布元が配ったものと同じ」ことの確認で、配布元そのものが本物かどうかまでは教えてくれません。だから、配布元のページを自分で開くことと、値を比べることは、二つでひと組です。

自分のディスクやソフトから作ったISO

自分で作ったISOは、作った記録が手元に残っているのがいちばんの証拠です。作った日、使ったソフト、元にした映像。保存するフォルダの名前にこれらを入れておけば、何年か後に見つけたときも出どころが分かります。映像のDVDから作ったISOなら、マウントすると次のような決まった並びが見えるはずです。

VIDEO_TSの中のIFO・BUP・VOBというファイルは、DVDプレーヤーが読むための管理情報と映像そのものです。ブルーレイの映像のディスクならBDMVというフォルダが見えます。中身の構造はVIDEO_TSとBDMVフォルダとはで一つずつ説明しています。映像のディスクの控えのはずなのに、こうした決まった並びが無く、書類の名前のファイルが数個あるだけなら、それは映像の控えではありません。

仕事で受け取るISO

映像を作る会社から納品の控えを受け取る、取引先から専用のソフトを受け取る。仕事でISOを受け取る場面は実際にあります。そのときは、受け取り方を前もって決めておきましょう。ファイルは転送サービスや共有のリンクで渡してもらい、メールには添付しないこと。ファイル名と大きさを先に教えてもらうこと。できれば送る側にハッシュ値を計算してもらい、メールとは別の手段（電話や、別に用意したチャット）で伝えてもらうこと。

こうしておけば、届いたファイルを、聞いていた名前・大きさ・値と照らし合わせられます。メールで「ハッシュ値はこれです」とファイルと一緒に届いた値は、同じ相手が作った値なので、偽物かどうかを見分ける役には立ちません。別の経路で受け取ることで、初めて照らし合わせる意味が出ます。社外とのファイルのやり取りのしかたは会社でファイル転送サービスが使えないときでも扱っています。

大きさは「話と合うか」を見る材料

ディスクの控えのISOなら、大きさにはおおよその上限があります。1層のDVDは4.7GBと書かれていますが、これは10億バイトを1GBとした数え方で、Windowsの表示では約4.38GBになります。2層のDVD（8.5GB）は計算上約7.9GB、1層のブルーレイ（25GB）は約23.3GBです。「DVDの控えです」と言われたISOが10GBを超えていたり、反対に数MBしかなかったりすれば、話と合いません。

映像のDVDの控えなら、1時間ほどの映像なら数GBになることが多く、数MBのISOに入るのは、せいぜい書類が何枚かです。一方で、大きさが話と合っていても本物とは限りません。Emotetの例のように、検査を避けるために中身をわざと大きくした例もあります。大きさは、疑うきっかけには使えても、安心してよい理由にはなりません。

確かめたISOでも、開き方には順番がある

出どころを確かめたISOでも、開くときは順番を守りましょう。検査してから開く、開いたら必要なものだけを使う、終わったら閉じる。どれも1分もかからない手間ですが、確かめのどこかに見落としがあったときの守りになります。

開く前にウイルス対策の検査を通す

ISOファイルを右クリックし、Windows 11では［その他のオプションを表示］を選んでから［Microsoft Defender でスキャンする］を選ぶと、そのファイルだけを調べられます（Microsoftのサポートページの手順。表記はバージョンで変わることがあります）。ほかの会社のウイルス対策ソフトを使っている場合は、そのソフトの右クリックのメニューから調べます。

検査で何も見つからなかったことは、安全の証明ではありません。新しいマルウェアは、検査の仕組みがまだ知らないことがあります。検査は「知られている危ないものが入っていない」ことの確認で、出どころの確認の代わりにはなりません。出どころの確認と検査の両方を通ったISOだけを開きましょう。

開いたら、中のプログラムを動かさない

マウントしたら、中身の一覧を見て、使う目的のファイルだけを開きます。映像のディスクの控えなら映像を再生するソフトで、OSのインストール用なら配布元の手順どおりに使います。目的と関係のないプログラムやショートカットが入っていたら、開かずに閉じて、送り主か配布元に確かめます。

使い終わったら、マウントを解除して、ドライブの一覧から消しておきます。Macでは、デスクトップのディスクのアイコンを選んでCommand＋Eで取り出せます（Appleのキーボードショートカットの説明）。開いたままにしておくと、何日か後に同じドライブを別の目的で開いてしまうことがあります。

映像の控えのISOは、焼く前に再生して確かめる

DVDの控えとして受け取ったISOや、自分で書き出したISOは、焼く前にパソコンで中身を再生して確かめておくと、焼き直しの手間が減ります。マウントしてVIDEO_TSのフォルダがあることを確かめ、DVDの映像を再生できるソフトで、最初と最後、途中の何か所かを見ます。Windows 11の標準の機能だけではDVDの映像は再生できないので、再生には別のソフトが要ります（事情はWindows11でDVDを再生する方法）。

再生のためのソフトも、配布元の公式のページから入手しましょう。DVDを再生するソフトを探していて、検索の広告から偽の配布ページにたどり着く。こうした形も、ISOの添付と同じく、受け取った人に自分の手で開かせる手口の一つです。出どころを確かめるという考え方は、ソフトを選ぶときにも同じように使えます。

盤に焼くときは「ディスクイメージとして」焼く

ISOをDVDやブルーレイに焼くときは、ファイルとしてコピーするのではなく、ディスクイメージとして書き込みます。Windows 11では、ISOファイルを右クリックして［ディスク イメージの書き込み］を選ぶ方法をMicrosoftが案内しています。ISOをただのファイルとして盤にコピーすると、中にISOファイルが1つあるだけのデータのディスクになり、プレーヤーでは再生できません。違いはデータDVDと映像DVDの違いを見てください。

確かめていないISOを盤に焼いても、安全にはなりません。焼いた盤には、ISOの中身がそのまま記録されます。ディスクにしたから中のプログラムが動かなくなる、ということはないので、焼く前に出どころと検査の確認を済ませておきましょう。

自分で作ったISOを人に渡すときの作法

受け取る側の話を裏返すと、送る側の作法が見えてきます。DVDの控えのISOを親戚に渡したい、作ったソフトのディスクイメージを取引先に届けたい。こうしたとき、送り方しだいで、相手に「怪しいメール」と同じ形を見せてしまいます。相手が正しく警戒する人ほど、開いてもらえません。

まず、メールに添付しないことです。そもそもGmailやOutlookはISOを添付できない、または送受信を止める形式に挙げているので、送れないことが多いはずです。ZIPに包む方法は、攻撃者が検査を避けるために使う包み方と同じ形になります。ファイル転送サービスや共有のリンクを使い、送る相手と期限を決めて渡します。ファイル転送サービスの安全な使い方はギガファイル便は安全？が参考になります。

次に、送る前に予告します。電話や、ふだん使っている別の連絡手段で、「今日、○○.isoというファイルを、ファイル転送サービスのリンクで送ります。大きさは約4GBです」と伝えておきます。予告があれば、受け取った人は5つの問いの2つ目と3つ目に「いいえ」で答えられます。ハッシュ値を計算して、同じ別の経路で伝えておけば、さらに確かです。

そして、相手に警告を無視させる頼み方をしないことです。「警告が出ますが、そのまま開いてください」「ウイルス対策を一度止めてから開いてください」という案内は、攻撃者のメールが書く文と同じです。警告が出るなら、出る理由を一緒に確かめるか、別の渡し方に変えます。

ハッシュ値は、送る側が自分のパソコンで計算できます。WindowsならPowerShellでGet-FileHashのあとにISOファイルの場所を続けると、SHA256の値が表示されます（既定の方式がSHA256です）。Macならターミナルでshasum -a 256のあとにファイルの場所を続けます。出てきた英数字の並びを、ファイルを送る経路とは別の手段で相手に伝え、相手は受け取ったファイルで同じ計算をして、値が一致するかを見ます。手間は数分ですが、受け取る側の迷いが一つ減ります。

もう一つ、相手が本当にISOを必要としているかを考えます。親戚が映像を見たいだけなら、ISOより、動画のファイル（MP4など）か、焼いてプレーヤーで再生できる盤のほうが扱いやすいはずです。ISOは、受け取った人がマウントするか、ディスクイメージとして焼くかしないと中身を見られません。パソコンに詳しくない相手に、ISOを焼く作業を頼むのは負担です。

Macやスマホで受け取ったときも、判断は同じ

ここまでの話は、Windowsの印の仕組みが中心でした。Macやスマホで受け取った人は、自分には関係ないと思うかもしれません。たしかに、Windows向けのプログラムはMacではそのままは動きませんし、Officeのマクロを既定で止める変更も、Microsoftの文書ではWindowsで動くOfficeが対象で、Mac版は対象外とされています。けれども、判断のしかたを変える理由にはなりません。

Macでも、ディスクイメージはダブルクリックで開けます。Macには、App Store以外から入手したアプリを初めて開くときに、開いてよいかを確かめる仕組み（Gatekeeper）があり、Appleは、署名や公証が確かめられないソフトを動かすと、Macや個人情報に害が及ぶおそれがあると案内しています。確かめの表示が出たら、出どころが確かめられない限り開かない。これはWindowsの警告と同じ扱いです。

見落としやすいのが、転送です。Macやスマホで受け取って、「自分では開けないから」と職場のWindowsのパソコンに転送したり、同僚に回したりすると、Windowsで開く人に危ないファイルを回すことになります。スマホのメールで知らない相手からのISOを見つけたら、スマホで開こうとも転送しようともせず、職場なら担当者に伝え、私用なら削除してください。

家族で一台のパソコンを使っている家庭や、親のパソコンを子どもが見ている家庭では、「ISOやIMGという見慣れないファイルが届いたら、開かずに電話して」と一言伝えておくと役に立ちます。受け取る人が詳しくなくても、止まって誰かに聞く、という行動さえ決まっていれば、手口の多くはそこで止まります。

開いてしまう場面には、決まった型がある

ISOの添付を開いてしまう場面を並べると、いくつかの決まった型に分かれます。どれも、ふだんの仕事の流れの中で自然に起きる型です。

PDFを開いたつもりが、ドライブが一つ増えた

書類の名前の添付を開いたら、文書が表示される代わりに、エクスプローラーに新しいドライブが現れた。これは、添付がISOなどのディスクイメージで、マウントされた状態です。拡張子を表示していないと、名前だけでは書類と区別できません。

この段階なら、まだ中のファイルは開いていません。増えたドライブの中身には触れず、マウントを解除してから、届いたメールの送り主に別の手段で確かめてください。中のファイルまで開いてしまったなら、後の「うっかり開いてしまったら」の節の手順に進んでください。同じことを繰り返さないために、拡張子の表示をこの機会に設定しておきましょう。

取引先の名前だったので、確かめずに開いた

いつもの取引先の担当者の名前と署名で届いたので、疑わなかった。感染した端末から盗まれた連絡先や署名が、なりすましのメールに使われることがあります（JPCERT/CCの注意喚起）。送り主の名前は、本物らしさの根拠になりません。

確かめ方は、相手に電話で聞くことです。相手が送っていないと分かったら、相手のパソコンが感染しているおそれがあるので、そのことも伝えてください。直し方としては、職場の決まりに「ディスクイメージと、予告のない圧縮ファイルは、相手を問わず開く前に電話で確かめる」と書き、相手によって扱いを変えない形にしておきましょう。

検査で何も出なかったので、安心して開いた

ウイルス対策ソフトで調べて何も見つからなかったので、開いた。検査で見つかるのは、検査の仕組みがすでに知っている危ないものです。出回り始めたばかりのものは、すり抜けることがあります。

検査は、出どころを確かめた後に重ねる守りとして使いましょう。順番を逆にして、「検査で出なかったから出どころは確かめなくてよい」とすると、守りが一つ減ります。5つの問いで、ウイルス対策の検査を4つ目に置いているのはこのためです。

USBメモリに移して、ネットにつないでいないパソコンで開いた

危なそうだから、インターネットにつないでいない古いパソコンで開けば大丈夫だろう、とUSBメモリで運んで開いた。この型には二つの心配が重なります。一つは、先に書いたとおり、FAT32の形式のUSBメモリに移すとインターネットから来た印が付かず、警告が出にくくなること。もう一つは、ネットにつないでいないパソコンは更新も止まっていることが多く、2022年11月の修正が入っていないかもしれないことです。

ネットにつないでいないパソコンでも、マルウェアは動きます。そのパソコンに大事なデータがあれば、それが暗号化されたり、次にUSBメモリを差したパソコンへ広がったりするおそれもあります。確かめられないファイルは、どのパソコンでも開かない。開くかどうかの判断を、運び方より先に済ませましょう。

職場で決めておく、受け取りと報告の決まり

一人ひとりの判断を支えるのは、職場の決まりです。IPAが2026年3月に改訂した中小企業向けのガイドライン（第4.0版）は、基本の対策を「情報セキュリティ6か条」にまとめていて、その中に「OSやソフトウェアは常に最新の状態にしよう！」「脅威や攻撃の手口を知ろう！」「バックアップを取ろう！」が入っています。この節の決まりは、そのうち更新と手口を知ることを、添付の受け取りの場面に当てはめたものです。決まりが無いと、迷ったときに誰に聞けばよいか分からず、「たぶん大丈夫」で開いてしまいます。数人の事務所でも、次の6つを紙一枚にしておけば足ります。

1. 受け付けるファイルの形式を決め、外向けの案内にも書く（書類はPDF、写真はJPEGなど）
2. ディスクイメージと、予告のない圧縮ファイルは、相手を問わず開く前に電話で確かめる
3. 怪しいと思ったら、開かずに担当者へ知らせる。担当者が不在のときの代わりの人も決める
4. 開いてしまったら、ネットワークから切り離して、すぐに知らせる。知らせた人を責めない
5. 代表のアドレス（問い合わせ用など）に届く添付は、誰が開くかを決めておく
6. 年に1回、新しく入った人と一緒に決まりを読み直し、パソコンの更新の状態も確かめる

3つ目と4つ目は、表にすると当たり前に見えますが、実際には一番抜けやすいところです。「こんなことで担当者の手を止めるのは悪い」と思う人ほど、自分で判断して開いてしまいます。「迷ったら聞く。聞かれて困る人はいない」と、上に立つ人が口にしておくと、知らせる敷居が下がります。

知らせ方も決めておくと、担当者が動きやすくなります。「送り主の表示名とアドレス」「件名」「届いた時刻」「添付やリンクを開いたかどうか」の4つを伝える、と決めておけば、慌てていても必要なことが抜けません。開いていないなら、メールはそのまま受信箱に残し、担当者の指示を待ってください。

5つ目の代表のアドレスは、送り主が知らない相手であることが多く、しかも複数の人が見るので、「誰かが確かめただろう」と思い込みやすい場所です。受け付けの担当を決め、担当以外は添付を開かないことにしておくと、確かめる人がはっきりします。

6つ目は、決まりを古くしないための項目です。新しく入った人は、前の職場の習慣で動きます。入社や異動のときに決まりの紙を渡し、年に1回は全員で読み直す。その場でWindows Updateの［更新履歴］を一緒に見れば、設定の点検も同時に済みます。

うっかり開いてしまったら

ISOの中のファイルを開いてしまった、開いたあとで何か変だと気づいた。そのときは、慌てて消したり、何度も開き直したりする前に、次の順で動いてください。最初の10分でやることを先に決めておけば、慌てずに済みます。

最初の10分でやること

まず、切り離します。パソコンをネットワークから外すために、LANケーブルを抜き、Wi-Fiを切ります。マルウェアが外と通信して情報を送ったり、同じネットワークのほかのパソコンやNASに広がったりするのを止めるためです。電源を切るかどうかは、職場なら担当者の指示に従います。

次に、何が起きたかを記録します。届いたメールの送り主、件名、届いた時刻、開いたファイルの名前、画面に出た表示を、スマホで撮っておきます。メールやファイルは、自分で消しません。後で担当者や相談先が調べるときに、何を開いたかが分からなくなります。

個人のパソコンなら、ネットワークから切り離した状態で、ウイルス対策の検査をかけます。Windowsセキュリティの「ウイルス & 脅威の防止」の「スキャンのオプション」には、「クイック スキャン」「フル スキャン」「カスタム スキャン」「Microsoft Defender ウイルス対策 (オフライン スキャン)」があります。開いてしまったときは、時間がかかってもフル スキャンかオフライン スキャンを選びます。結果は「保護の履歴」で確かめられます。ただし、何も見つからなくても安全の証明にはならないので、相談先にも状況を伝えます。

職場や団体なら、すぐに知らせる

職場のパソコンなら、自分で片づけようとせず、すぐに情報システムの担当者や上司に知らせてください。開いたことを言い出しにくい気持ちは自然ですが、報告が遅れるほど、同じメールを受け取ったほかの人が開いたり、被害がネットワークの中で広がったりします。報告した人を責めない決まりを、平時に作っておくことも大切です。

自分のアドレスから取引先にメールが送られていたおそれがあるときは、取引先にも、自分の名前で不審なメールが届いても開かないよう知らせましょう。名簿や顧客の情報を扱うパソコンだった場合は、個人情報の漏えいのおそれとして扱ってください。個人情報保護委員会のガイドラインでは、不正の目的による漏えいのおそれがある場合などに委員会への報告が必要で、速報は知った時点から概ね3〜5日以内、確報は30日以内（不正の目的によるものは60日以内）とされています。判断に迷うときは、委員会の窓口や専門家に早めに相談しましょう。

相談先

個人のパソコンやスマホのことなら、IPA（情報処理推進機構）の「情報セキュリティ安心相談窓口」に電話かメールで相談できます。企業や組織のことなら、IPAの企業組織向けの「サイバーセキュリティ相談窓口」がメールで受け付けています。被害の届け出や相談は、警察庁の「サイバー事案に関する相談窓口」のページから、各都道府県警察本部のサイバー犯罪相談窓口やオンラインの受付窓口をたどれます。

相談するときは、最初の10分で撮った記録が役に立ちます。いつ、どのメールの、どのファイルを開き、その後に何をしたか。順番に話せるようにしておくと、相談がそのまま次の手順につながります。

パスワードと、元に戻すための備え

情報を盗む型のマルウェアの可能性を考えて、メールやネットバンキング、クラウドなどのパスワードを変えます。変えるときは、開いてしまったパソコンではなく、別の端末を使います。開いたパソコンで入力すると、新しいパスワードまで盗まれるおそれがあるからです。家にパソコンが1台しかないなら、スマホから各サービスにログインして変えます。変えたあとは、ほかの端末からのログインを終わらせる機能があるサービスでは、それも使い、パスキーや多要素認証を設定します。

パソコンを初期化して作り直すことになった場合、元に戻せるのは、感染の前に取った控えだけです。IPAが2026年9月に公開したランサムウェアの教訓集は、攻撃者に侵入された可能性のあるバックアップは復旧に使えず、侵入が始まる前のバックアップなら安全なので、侵入の時期を特定できるようにログを残すよう書いています。開いた日が分かっていれば、それより前に取った控えが、戻す先の候補になります。

控えから戻すときは、パソコンをきれいにしてから

控えがあっても、戻す順番を間違えると、戻したファイルがまた同じ目に遭います。JPCERT/CCがランサムウェアの被害に遭った組織向けにまとめたFAQ（2022年1月公開、2026年6月更新）は、復旧の前に侵入の原因と考えられるものをすべて対処し、ネットワークに戻す前に、攻撃者が残したマルウェアや不正な設定が取り除かれたかを確かめるよう書いています。家庭のパソコン1台でも、考え方は同じです。

同じFAQは、被害を免れたバックアップを、安全が確かめられるまで切り離して退避することも挙げています。自動でバックアップを取る仕組みによっては、無事だったバックアップが上書きされて消えるおそれがあるからです。外付けHDDをつなぎっぱなしにして自動で控えを取っている場合は、開いてしまったと気づいた時点で、そのHDDを外してください。

クラウドの「戻せる期間」は思ったより短い

クラウドに保存していれば戻せる、と考える人も多いはずです。たしかに主なクラウドには、消したファイルや前の版を戻す機能がありますが、戻せる期間には限りがあります。各社のヘルプで確かめた2026年10月時点の内容は次のとおりです。

サービス：OneDrive（個人用のアカウント）
ごみ箱：削除後30日以内なら戻せる
全体を戻す：過去30日以内の時点に戻す機能は、Microsoft 365の契約が必要

サービス：Googleドライブ
ゴミ箱：30日後に完全に削除される
前の版：アップロードしたファイルの前の版は、30日たつか、新しい版が100個できると削除されることがある

サービス：iCloud Drive
削除したファイル：30日以内なら「最近削除した項目」から戻せる

サービス：Dropbox
戻せる期間：削除したファイルを戻せる期間はプランによって違う

表の期間は、どれも削除や変更をした時点から数えます。開いたファイルが何週間も気づかれずに動いていた場合、気づいたときには戻せる期間が過ぎていることがあります。MicrosoftはOneDriveの復元について、戻す前に端末をきれいにしないと、戻したファイルが再び暗号化されるおそれがあると注意しています。クラウドの復元の機能は、同じアカウントの中の仕組みなので、アカウントそのものを乗っ取られれば、設定やゴミ箱ごと消されるおそれもあります。クラウドを使いながら、別の場所に、つながっていない控えを持つ理由はここにあります。

戻した後の手間も考えておきましょう。IPAの教訓集は、バックアップから戻すと、巻き戻った分の業務のデータを補い直す作業が大きな負担になると指摘しています。控えの日付が古いほど、補い直す量が増えます。月に1回、月末の締めの後など、控えを取る日を決めておくと、戻したときに失う範囲が読めるようになります。

戻す順番も、先に決めておきましょう。米国のCISAなどがまとめたランサムウェアの手引きは、復旧のときは重要なものから順に、切り離して保管していたバックアップから戻すよう書いています。小さな事務所なら、請求や支払いに要る帳簿、取引先の連絡先、作りかけの見積もりの順。家庭なら、連絡先、写真と動画、書類の順というように、なくなって困る順に並べておくと、戻す作業で迷いません。

感染の前の状態を残す｜ディスクで控えを持つときの考え方

開く前の判断で、ほとんどの手口は止められます。それでも、うっかりは起きます。そのとき最後に頼れるのが、感染の前に取った控えです。控えの持ち方の一つが、DVD-RやBD-Rなどの盤に焼いておく方法です。役に立つ理由と、限界の両方があります。

なぜ、つながっていない控えが要るのか

警察庁が2026年3月に公表した令和7年（2025年）のまとめでは、ランサムウェア被害の報告は226件でした。被害に遭った組織へのアンケートで、バックアップから復元できたのは、有効回答99件のうち20件です。復元できなかった理由で最も多かったのは「バックアップの暗号化・消去」で、72件中48件でした。警察庁は、攻撃者が内部を探ってバックアップを探し、復旧を妨げるためにバックアップも一緒に暗号化される場合が多いと説明しています。

つまり、パソコンとつながったままのバックアップは、パソコンと一緒に暗号化されたり消されたりすることがある、ということです。IPAの中小企業向けの自社診断も、バックアップに使う装置や媒体は、バックアップのときだけパソコンと接続するよう挙げています。切り離した控えの作り方の全体はランサムウェア対策のオフラインバックアップで、家庭・学校・中小企業ごとに書いています。

追記型の盤が役に立つ理由

DVD-RやBD-Rのような追記型の盤は、一度記録した部分を、物理的に書き換えたり消したりできません。書き込みが終わってドライブから出し、棚に置いた盤には、どのネットワークからも届きません。書き込んだ時点の状態がそのまま残るので、後で手元のファイルと比べて、変わっていないかを確かめる元にもなります。薄くて軽いので、自宅とは別の場所に置きやすいのも利点です。

盤の大きさは、控えにするデータの量で選びましょう。DVD-Rは1層4.7GB（Windowsの表示で約4.38GB）、BD-Rは1層25GB（約23.3GB）、2層なら50GBで、実際に入る量は、管理のための領域の分だけさらに少なくなります。スマホで1年に撮る写真と動画が数十GBあるなら、DVDでは何枚にも分かれるので、BD-Rのほうが扱いやすくなります。分けて焼くときは、年や月でフォルダを区切り、どの盤に何が入っているかの一覧を作っておきましょう。

米国の政府機関（旧US-CERT）がまとめたバックアップの資料も、書き換えできない盤のデータは、誤って消されたり、後の版の破損やマルウェアを引き継いだりしない、と説明しています。うっかりISOを開いた日より前に焼いた盤があれば、その盤の中身は、その後にパソコンで起きたことの影響を受けません。

盤の限界も知っておく

限界もはっきりあります。いちばん大事なのは、感染したり暗号化されたりした後のファイルを焼けば、その状態のまま残ることです。盤に焼くことで中身がきれいになるわけではありません。焼く前に、元のファイルが開けること、中身が正しいことを確かめてください。出どころの分からないISOを控えの中に入れない、という点もここに入ります。

ドライブに入れたままの盤や、ファイナライズしていない盤は、守りが弱くなります。ファイナライズしていない盤をドライブに入れたままにすると、追記によって、中身が見かけの上で書き換わることがあります。書き換え型の盤（DVD-RW・BD-RE）は消して書き直せるので、書き換えられない控えの役には向きません。

盤には寿命があり、読むためのドライブも要ります。カナダ保存研究所（CCI）の目安では、一般的なDVD-Rで10〜20年、BD-Rで5〜10年で、これは温度と湿度だけに基づく目安です。国立国会図書館の報告書は、JIS Z 6017などで長期保存に適した環境として温度10〜25℃、湿度40〜60%を挙げています。記録型の盤はいまも買えますが、メーカーの撤退や販売終了が続き、ドライブの選択肢は減っています。読めるドライブを一台は手元に残しておきましょう。

長く持つ盤として、M-DISCという種類もあります。メーカーは、国際規格に基づく寿命の推定の試験で100年以上という結果を示していますが、これは温度と湿度を上げて劣化を早める試験からの推定で、100年置いて確かめた値ではありません。どの盤を選んでも、数年ごとに読めるかを確かめ、必要なら新しい盤に移すという手入れは同じです。

盤は持ち出せるぶん、なくしたり盗まれたりすることもあります。盤の中身は、読めるドライブがあれば誰でも読めます。名簿や顧客の情報を焼いた盤は、鍵のかかる場所に置き、持ち出しの決まりを作りましょう。そして、盤だけで守ろうとはしないでください。米国のCISAが信頼できる指針として紹介している「3-2-1」（コピーを3つ、媒体を2種類、1つは別の場所）のように、クラウドや外付けHDDと組み合わせましょう。法律や公的な基準で決まったルールではなく、経験則として紹介されているものです。組み合わせ方は写真・動画の長期保存はクラウドとDVDのどっち？に例を載せています。

控えの盤を焼く手順

ファイルのまま焼くデータのディスクは、自分のパソコンで焼く前提で手順を書きます。家族の写真や動画、帳簿、名簿など、なくなると困るものを選び、次の順に進めます。

1. 焼く前に、いくつかのファイルを実際に開き、写真が表示される、動画が再生される、書類が読めることを確かめる
2. ウイルス対策の検査をかけ、出どころの分からないファイル（覚えのないISOなど）は入れない
3. 全部のファイルのハッシュ値の一覧を作り、一覧を盤にも別の場所にも残す
4. 後から足したり消したりできる使い方ではなく、一度にまとめて書き込み、ディスクを閉じる（ファイナライズ）
5. ドライブから取り出し、日付と中身を書いたケースに入れて、パソコンから離れた場所に置く
6. 年に1回、読めるか、ハッシュ値が一致するかを確かめる

ハッシュ値の一覧の作り方と、焼いた後の確かめ方はバックアップは取ったつもりになっていないかに、ディスクを閉じる処理はファイナライズとはにまとめています。ハッシュ値が一致することは、焼いたときから中身が変わっていないことの確認で、ウイルスが入っていないことの証明ではありません。だから、手順の1つ目と2つ目で、焼く前の中身を確かめておくことが大切です。

動画の控えをディスクで持つとき、当社にできること

当社は、完成した動画のデータから、プレーヤーで再生できるDVD・ブルーレイを作る書き込み代行の店です。1枚から注文できます。家族の動画、園や学校の行事の記録、研修やマニュアルの動画、会議や説明会の録画のように、残しておきたい動画を、テレビにつないだプレーヤーで見られる盤にして、手元の控えにできます。

入稿は、動画のファイルの共有URLを注文フォームに貼る形です。ギガファイル便、Googleドライブ、Dropbox、OneDriveなどの共有URLが使えます。MP4やMOVなど一般的な動画のファイルをそのまま送るので、ISOに作り直したり、メールに添付したりする必要はありません。ギガファイル便にダウンロードパスワードを付けた場合は、注文フォームにURLを貼ると入力欄が開き、入れたパスワードが合っているかをその場で確かめる作りです。保持期限はアップロードの前に選び、後から延ばせないので、余裕のある日数にしておいてください。ギガファイル便以外のサービスのパスワードの伝え方は、注文の前に相談・問い合わせフォームで確かめてください。

受け取った動画は、プレーヤーで読める形に組み立てる作業（オーサリング）をしてから書き込み、実際のプレーヤーで再生を確かめてから、ケースに入れて渡します。料金は、基本料金（DVD・1枚あたり）が1,500円（税抜）です。

控えを2か所に分けて置きたいときは、同じ内容の焼き増しを頼めます。追加コピー（同一内容の焼き増し・1枚あたり）は1,000円で、1枚を自宅、1枚を実家や職場の金庫というように、別々の場所に置けます。盤面レーベル印刷（1枚あたり）は+1,000円で、題名や日付を入れた画像を入稿してもらい、その画像を盤に印刷します。何年か後に棚から出したとき、どの盤がいつの何の記録かがすぐ分かります。

会議や説明会、研修のように長い録画を控えにするなら、チャプター分け（1枚あたり）+1,500円を付けると、プレーヤーのリモコンで見たい場面に移れます。区切る位置は、注文ページで「チャプター分け」を選ぶと開く「チャプター位置の指定」の欄に、時刻で入れます。

発送はクリックポストで、平日12時までの注文・入稿なら当日店舗お渡しも選べます。お引き受けできるのは、撮った本人の動画か、権利者の許可がある動画です。個人の顔や名前が映る動画を預けるときの扱いなど、気になる点があれば、注文の前に相談・問い合わせフォームで確かめてください。

今日のうちにしておくこと

ISOやIMGは、ソフトの配布やディスクの控えに使われる普通の形式です。危なかったのは、知らない相手からメールで届いたことと、中のファイルに印が付かなかった欠陥でした。欠陥は2022年11月に直されましたが、更新の止まったパソコンには残り、攻撃する側は次の形を探し続けています。だから、形式を覚えるより、決まりと設定で守りましょう。

今日のうちにできることは4つです。エクスプローラーでファイル名拡張子を表示させる。［Windows Update］の［更新履歴］を開き、最近の更新が入っているかを見る。家族や職場の人に「ISOやIMG、予告のない圧縮ファイルが届いたら、開かずに声をかけて」と伝える。なくなると困る写真や動画を選び、中身を確かめてから控えを作り、パソコンから離して置く。

ほかの脅威もあわせて点検したいときは、IPAの「情報セキュリティ10大脅威 2026」を家庭と小さな職場の目線で読み直した情報セキュリティ10大脅威2026を家庭と小さな職場で読むから始めると、何から手を付けるかが決まります。添付を開く前の一本の電話と、つながっていない控えの一枚。この二つがあれば、うっかりが起きても、取り返しのつく範囲で止められます。

よくある質問

Q. ISOファイルをマウントしただけで感染しますか

A. 報告されている手口の多くは、マウントした中のショートカットなどを開かせる形です。ただ、マウントしただけなら何も起きないと言い切れる資料は無いので、知らない相手から届いたISOはマウントもしないのが安全です。開いてしまったら中のファイルには触れず、マウントを解除して、送り主に別の手段で確かめてください。

Q. 取引先から届いたISOなら開いても大丈夫ですか

A. 取引先の名前でも、相手のパソコンが感染し、盗まれた連絡先や署名がなりすましのメールに使われることがあります。ISOを送るという話を聞いていなければ、開く前に名刺や契約書の電話番号で確かめてください。話を聞いていた場合も、ファイル名と大きさが話と合うかを見て、ウイルス対策の検査を通してから開きましょう。

Q. Windowsを更新していればISOの添付は安全ですか

A. 2022年11月の月例の更新で、ISOの中のファイルにインターネットから来た印が付かない欠陥は直され、ショートカットなどを開くときに警告が出るようになりました。ただ、IMGやVHDでも直ったかは公式に確かめられず、印を避ける別の手口もその後に報告されています。更新は欠かせませんが、それだけで安全とは言えないので、開く前の確認を続けてください。

Q. Macで受け取ったISOなら開いても問題ありませんか

A. Windows向けのプログラムはMacではそのまま動きませんが、Appleも、出どころを確かめられないソフトを動かすとMacや個人情報に害が及ぶおそれがあると案内しています。Macで受け取ったISOを職場のWindowsに転送すれば、そこで開いた人に危ないファイルを渡すことにもなります。どの端末でも、知らない相手からのISOは開かずに確かめてください。

Q. ウイルス対策ソフトで検出されなければ開いてもよいですか

A. 検査で見つかるのは、検査の仕組みがすでに知っている危ないものです。出回り始めたばかりのものはすり抜けることがあるので、何も出なかったことは安全の証明になりません。先に送り主や配布元を確かめ、そのうえで検査を重ねる、という順番で使ってください。

Q. 仕事でISOを受け取る予定があるときはどうしますか

A. 受け取り方を前もって決めておきましょう。メールに添付せずファイル転送サービスや共有のリンクで送ってもらうこと、ファイル名と大きさを先に聞いておくこと、できれば送る側が計算したハッシュ値を電話など別の手段で受け取ることの3つです。届いたら聞いていた内容と照らし合わせ、検査してから開きます。

Q. 自分で作ったISOをメールで送れますか

A. GmailはISO・IMGなどを添付できない種類に挙げ、Outlookも送受信をブロックする種類に入れているので、送れないことが多いはずです。ZIPに包む方法は攻撃に使われる包み方と同じ形になり、相手を迷わせます。共有のリンクで送り、送る前に電話などで予告してください。相手が映像を見たいだけなら、動画のファイルか焼いた盤のほうが扱いやすいはずです。

Q. 開いてしまったが何も起きなかった場合は

A. 文書が開いただけに見えても、裏で別のプログラムが動いている場合があります。ネットワークから切り離し、メールと開いたファイルの名前を記録し、職場なら担当者へ知らせてください。個人ならフル スキャンかオフライン スキャンをかけ、IPAの情報セキュリティ安心相談窓口に相談し、別の端末からメールなどのパスワードを変えておいてください。

Q. EmoCheckで感染していなければ安心ですか

A. EmoCheckは、JPCERT/CCが公開しているEmotetの感染を調べる道具で、ほかのマルウェアは調べません。ISOの添付を使った例として報告されているのは、Bumblebeeなど別のマルウェアです。EmoCheckで見つからなくても安全とは言えないので、ウイルス対策の検査と相談先への相談を合わせて進めてください。

Q. ISOをディスクに焼けば安全になりますか

A. なりません。焼いた盤には、ISOの中身がそのまま記録され、盤にしたことで中のプログラムが動かなくなるわけではありません。焼く前に出どころを確かめ、検査を済ませてください。焼くときはファイルとしてコピーせず、Windows 11なら右クリックの［ディスク イメージの書き込み］のように、ディスクイメージとして書き込みます。

Q. ZIPやリンクで届いた場合も同じ考え方ですか

A. 同じです。ISOをZIPに包んだり、メールのリンクの先でダウンロードさせたりする形も報告されています。リンクの場合は添付が無いので、受信の段階の検査が働きません。ダウンロードのフォルダに覚えのないISOやIMGが増えていたら開かず、どのメールから来たかをたどって、送り主に別の手段で確かめてください。

Q. 感染前の写真や動画の控えはどう残せばよいですか

A. 中身を確かめた元のファイルを、パソコンやネットワークから切り離せる形で控えておきましょう。追記型のDVD-RやBD-Rに一度にまとめて焼き、ファイナライズしてドライブから出せば、その後にパソコンで起きたことの影響を受けません。焼く前に開けることを確かめ、クラウドや外付けHDDとも組み合わせて持ってください。