ボットネットとは？仕組み・C2通信・感染経路と企業が取るべき対策をわかりやすく解説

会社のPCが知らないうちにサイバー攻撃の「踏み台」にされていた――そんな話が他人事ではない時代になっています。
ボットネットは、マルウェアに感染した端末を攻撃者が遠隔から操る仕組みで、DDoS攻撃やスパム配信、情報窃取といった様々な犯罪に悪用されます。しかも、感染端末のユーザーは自分が踏み台にされていることすら気づかないケースがほとんどです。

この記事では、ボットネットの仕組み・感染経路・代表的な悪用手法を攻撃者の視点から解説し、中小企業の情シス担当者でも実践できる対策まで網羅します。

ボットネットとは？基本的な定義

ボットネット（Botnet）とは、マルウェアに感染して攻撃者に乗っ取られた多数のデバイス（ボット）が、指令サーバーの命令に従って連携動作するネットワークのことです。

「Bot」は「Robot」の略で、自動的に命令を実行するプログラムを指します。「Net」はそれらが形成するネットワーク。ボットネットを構成するデバイスは「ゾンビPC」と呼ばれることもあります。

ボットネットの規模は数百台から数百万台にまで達することがあります。2020年代に複数回摘発された「Emotet」は数十万台の端末を支配下に置いており、世界中の企業・行政機関が被害を受けました。国内でも多くの地方自治体や中小企業がEmotetの被害を報告しています。

ボットネットの仕組み：C2サーバーとボットの関係

ボットネットの心臓部となるのが、C2サーバー（コマンド＆コントロールサーバー、C&Cサーバーとも呼ぶ）です。攻撃者はC2サーバーを通じて感染端末に命令を送り、数万台の端末を一斉に動かします。

通信アーキテクチャには主に3つの形式があります。

・IRC型: 初期のボットネットが使っていた方式。IRC（インターネットリレーチャット）プロトコルを使って命令を伝達する。シンプルな反面、C2サーバーを落とせばボットネット全体が機能停止する弱点がある。
・HTTPSベース型: 一般的なWebトラフィックに紛れてC2通信を隠す方式。通常のHTTPS通信と見分けがつきにくいため、現在のボットネットの主流になっている。
・P2P（ピアツーピア）型: 感染端末同士が直接通信して命令を伝達する分散型。単一のC2サーバーが存在しないため、サーバーをテイクダウンしてもボットネットが生き残りやすい。より高度な攻撃グループが採用する形式。

最近では「ファストフラックス（Fast Flux）」と呼ばれる技術も使われます。C2サーバーのIPアドレスをDNS応答で数分おきに変更し、追跡やブロックを逃れる手法です。

# ボットネット通信の流れ（概念図）

# 感染端末（Bot）
#     ↓ C2サーバーへ定期チェックイン（ビーコン通信）
# C2サーバー（攻撃者が制御）
#     ↓ 命令送信（DDoS開始・ファイル窃取・マルウェア追加配布 等）
# 感染端末群（Botnet）
#     ↓ 攻撃実行
# 標的サーバー / 被害者

# HTTPSベース型の場合：
# 正規のHTTPS通信に偽装するため、通常のFWだけでは検知困難
# 宛先ドメイン・通信間隔・パケットサイズの異常を見る必要がある

ボットネットの感染経路

ボットネットに端末が組み込まれる感染経路は多岐にわたります。

・フィッシングメール: 最も多い経路。悪意のある添付ファイル（Word・Excel・ZIPなど）を開かせる、あるいは偽サイトへ誘導してマルウェアをダウンロードさせる。
・ドライブバイダウンロード: 改ざんされたWebサイトを閲覧するだけで、ブラウザやプラグインの脆弱性を突いてマルウェアが自動インストールされる。
・脆弱性の悪用: OSやアプリケーションの未パッチ脆弱性を突いて侵入する。RDP（リモートデスクトップ）へのブルートフォース攻撃やパスワードリスト攻撃で認証を突破するケースも目立ちます。
・USBデバイス: 感染したUSBを接続するだけで自動実行されるタイプの感染。外部デバイスの持ち込みが多い製造業や工場環境で起きやすい。
・IoTデバイス: デフォルトパスワードが変更されていないルーターやIPカメラを標的にするケースが急増している。「Mirai」ボットネットは数十万台のIoT機器を掌握し、過去最大規模のDDoS攻撃を引き起こした。

感染後、マルウェアは自己増殖モジュールを使って組織内ネットワークの他の端末へも横展開します。SMBプロトコルの脆弱性やネットワーク共有ドライブを経由するケースが多く見られます。

ボットネットを使った主な攻撃手法

1. DDoS攻撃

複数の感染端末から標的サーバーに大量のリクエストを同時に送り、サービスを停止させる攻撃です。数万台規模のボットネットを使えば、帯域幅の大きな企業サイトでもダウンさせられます。ランサムウェアグループが「支払わなければDDoSをかける」と脅迫する二重恐喝の手段としても使われます。DDoS攻撃の仕組みと対策については別記事で詳しく解説しています。

2. スパム・フィッシングメール配信

感染端末を中継点として、大量のスパムメールやフィッシングメールを送信します。送信元が一般ユーザーのIPアドレスのため、ブラックリストに引っかかりにくいのが特徴です。新たな被害者を生み出すことでボットネット自体を拡大させる、いわば「自己増殖型の配信基盤」として機能します。

3. 情報窃取（クレデンシャルハーベスティング）

感染端末に保存されたパスワード・クレジットカード番号・セッションクッキーを盗み出します。金融系トロイの木馬「TrickBot」はボットネット機能と情報窃取機能を組み合わせた典型例で、銀行の認証情報を大量に収集しました。マルウェアの種類と仕組みについてはこちらの記事もあわせてご参照ください。

4. ランサムウェアの配布

ボットネットはランサムウェアを一斉展開するデリバリープラットフォームとしても使われます。Emotetが「マルウェアの運び屋」として機能し、最終的にContiやRyukといったランサムウェアを投下するという連鎖型攻撃が多く観測されています。

5. クリプトジャッキング

感染端末のCPU・GPU資源を使って仮想通貨を無断採掘します。被害者は電気代が増加し、PCの動作が著しく重くなるという症状が出ます。詳しくはクリプトジャッキングの検知と対策をご覧ください。

中小企業でも今日からできること

1. エンドポイントの防御をアップグレードする

従来型のアンチウイルスではなく、EDR（エンドポイント検知・対応）製品の導入を検討してください。EDRは不審な動作をリアルタイムで検知し、ボットネットのC2通信を自動でブロックする機能を持つものが多いです。Microsoft Defender for Endpointは既にMicrosoft 365に含まれており、追加コストなしで有効化できるケースもあります。

2. パッチ管理を徹底する

脆弱性を放置していると、自動スキャンで発見した攻撃者に即座に侵入されます。OSとアプリケーションの自動更新を有効にし、月次でパッチ適用状況を確認する習慣をつけてください。特にブラウザ・VPN・RDPゲートウェイは優先度が高いです。

3. ネットワーク出口でのトラフィック監視

C2通信の多くは外部サーバーへの定期的な「ビーコン通信」として現れます。ファイアウォールやプロキシのログを定期的に確認し、非業務時間帯の定期通信・未知のドメインへの短周期通信がないか確認してください。

4. DNSフィルタリングを導入する

既知のC2ドメインへの名前解決をブロックするDNSフィルタリングは、費用対効果の高い対策です。Cloudflare GatewayやCisco Umbrella（旧OpenDNS）のような外部サービスを活用すれば、情シス1人の環境でも設定・運用が現実的です。

5. 多要素認証とパスワードポリシーを整備する

ブルートフォース攻撃やパスワードリスト攻撃による感染を防ぐため、全アカウントにMFAを適用してください。特にリモートアクセス系（RDP・VPN・クラウドサービス）は最優先です。

よくある誤解と注意点

・「PCの動きが重くないから感染していない」は誤り: 現代のボットネットは感染端末への負荷を意図的に抑えて発見を遅らせます。クリプトジャッキング以外の用途では目立った症状が出ないまま何ヶ月も感染が続くことがあります。

・「中小企業は標的にならない」は危険な思い込み: 攻撃者はボットネットを拡大するため、セキュリティの弱い端末を無差別にスキャンします。中小企業の端末は規模の大きい企業を攻撃するための踏み台として利用価値があり、むしろ狙われやすい側面があります。

・「感染したら違法になる」は正確ではない: ボットネットの被害者として感染した場合、本人の刑事責任は問われません。ただし、感染に気づきながら適切な対処をしなかった場合は、個人情報保護法上の安全管理措置義務違反として問題になる可能性があります。詳細は法律の専門家にご確認ください。

・「一度駆除すれば安心」ではない: ボットネットマルウェアは再感染の仕組み（ドロッパーや永続化コード）を仕込むことが多く、表面的な削除だけでは不十分です。感染が疑われる端末はクリーンインストールを検討し、認証情報も全て変更してください。

本記事のまとめ

ボットネットは「自分には関係ない」と思われがちですが、感染端末の多くはセキュリティ対策が手薄な中小企業のPCです。攻撃者に踏み台にされることで、自社の名誉毀損や法的リスクを負う可能性もあります。今日紹介した基本対策を一つずつ確認し、気づかないうちに加害者にならない環境を整えていきましょう。