【情報セキュリティマネジメント】マルウェアの種類と違い｜ウイルス・ワーム・トロイの木馬・ボット・ファイルレス

2026.08.27

マルウェアには、コンピュータウイルス、ワーム、トロイの木馬、ボット、スパイウェア、ルートキット、バックドア、ファイルレスマルウェアなど、多くの名称があります。

これらは、全てが同じ基準で分類された用語ではありません。

  • ウイルスとワームは、主にどのように増殖するか
  • トロイの木馬は、主にどのように正規・有用なものを装い、実行されるか
  • ボットは、主に誰の指令を受けて動くか
  • スパイウェアとキーロガーは、主に何を収集するか
  • ルートキットとバックドアは、主にどう潜伏し、アクセスを維持するか
  • ファイルレスマルウェアは、主にどのような実行方法を使うか

に着目した名称です。

そのため、一つのマルウェアが複数の特徴をもち、複数の名称で説明される場合があります。この記事では、名称の丸暗記ではなく、問題文が強調している動作から種類を見分けられるように整理します。

先に結論：四つの分類軸で判断する

分類軸 主な用語 判断する質問
感染・増殖方法 コンピュータウイルス、マクロウイルス、ワーム 他のファイルへ感染するか、単独で自己複製するか
侵入時の偽装・遠隔制御 トロイの木馬、遠隔操作型ウイルス（RAT）、ボット、ボットネット、C&Cサーバ 何を装い、誰の指令で動くか
情報収集機能 スパイウェア、キーロガー 何を秘密裏に収集・記録するか
潜伏・侵入口・実行方法 ルートキット、バックドア、ファイルレスマルウェア どう隠れ、どうアクセスを維持し、どこで実行するか

重要なのは、これらが相互排他的な分類ではないことです。

例えば、正規ソフトを装うトロイの木馬として侵入し、バックドアを設置し、キー入力を盗み、C&Cサーバから指令を受けるボットとして動作するマルウェアもあり得ます。

1．マルウェアは悪意あるソフトウェアなどの総称

マルウェアは、Malicious Softwareを組み合わせた言葉で、情報システムへ不正又は有害な処理を行わせることを意図したソフトウェアやコードの総称です。

代表例には、次のものがあります。

  • コンピュータウイルス
  • ワーム
  • トロイの木馬
  • ボット
  • スパイウェア
  • ランサムウェア
  • ルートキット

日常会話ではマルウェア全般を「ウイルス」と呼ぶ場合がありますが、試験では区別します。

マルウェアが上位概念であり、コンピュータウイルスはマルウェアの一種です。

なお、ランサムウェアは暗号化や情報窃取などを利用して金銭を要求する目的・手口に着目した名称です。その手口と対策は、別の記事で詳しく扱います。

2．コンピュータウイルス：他のプログラムやファイルへ感染する

コンピュータウイルスは、一般に、自分自身の複製を他のプログラムやファイルなどへ組み込み、宿主が実行又は利用されることで活動・増殖するマルウェアです。

中心となる特徴は、別のプログラムやファイルへ感染することです。

コンピュータウイルスの典型例

  • 実行ファイルへ不正なコードを付加する
  • 文書ファイルへ悪意あるマクロを埋め込む
  • 感染したファイルが実行されると、別のファイルへ感染する

ウイルスは、宿主となるプログラムやファイルへ依存する点で、単独で自己複製できるワームと区別します。

ただし、実際のマルウェアには複数の機能があるため、「ネットワーク通信を行ったからウイルスではない」と判断することはできません。問題文がどの特徴を問うているかを確認します。

3．マクロウイルス：文書のマクロ機能を悪用する

マクロウイルスは、文書作成ソフトや表計算ソフトなどが備えるマクロ機能を悪用するコンピュータウイルスです。

例えば、マクロを含む文書を開き、利用者がマクロの実行を許可したことをきっかけに、不正な処理が行われる場合があります。

判断のポイント

  • 文書ファイルや表計算ファイルが入口になっている
  • マクロ機能の実行がきっかけになっている
  • 別の文書やテンプレートへ感染する場合がある

「文書ファイルを利用した攻撃」が全てマクロウイルスというわけではありません。文書に記載されたURLから偽サイトへ誘導するだけなら、マクロウイルスとは限りません。

4．ワーム：宿主へ寄生せず、単独で自己複製・拡散する

ワームは、他のプログラムへ寄生しなくても単独で動作し、自分自身を複製して他のシステムへ広がるマルウェアです。

ネットワークサービスの脆弱性、共有機能、電子メールなどを利用して拡散する場合があります。

ワームの典型的な特徴

  • 単独で動作できる
  • 自己複製する
  • ネットワークを通じて広がる
  • 利用者の明示的な操作を待たず、自動的に拡散する場合がある
  • 短時間で多数の端末へ影響が及ぶ場合がある
コンピュータウイルス ワーム
他のプログラムやファイルへ感染する 宿主へ寄生せず、単独で自己複製できる
宿主の実行・利用が活動のきっかけになりやすい ネットワークなどを通じて自動拡散することがある
感染先となるファイルなどを必要とする 完全な動作可能コピーを別のシステムへ広げられる

事例で判断する

社内の一台が感染した後、利用者が新しい添付ファイルを開いていないのに、同じ脆弱性をもつ多数の端末へ自動的に感染が広がった。

この事例では、単独で自己複製し、利用者の操作を待たずにネットワークへ広がっているため、ワームの特徴が中心です。

5．トロイの木馬：有用・正規に見えるものを装い、不正機能を実行する

トロイの木馬は、有用又は正規に見えるプログラムや更新ファイルなどを装い、実行されると隠された不正機能を動作させるマルウェアです。

中心となる特徴は、利用者が実行したくなるものを装うことと、表面上の機能とは別の不正機能をもつことです。

実行後に行われ得る処理

  • 認証情報やファイルの窃取
  • 別のマルウェアのダウンロード
  • バックドアの設置
  • 遠隔操作
  • キー入力や画面の記録
  • セキュリティ機能の無効化

「トロイの木馬」という名称は、自己複製の有無を表す分類ではありません。自己複製は必須ではありませんが、一つの検体が別にワーム機能などを併せもつ場合はあります。検体全体の機能と、トロイの木馬という分類軸を分けて考えます。

試験では、「正規又は有用なものを装って実行させる」という説明を決め手にします。

6．遠隔操作型ウイルス（RAT）

SGシラバスは、脅威の用語例のうち〔マルウェア・不正プログラム〕の区分に、遠隔操作型ウイルス（RAT：Remote Access Trojan）と明記しています。ボット、ボットネット、C&Cサーバと同じまとまりに置かれています。

RATは、感染端末を外部から操作する機能をもつマルウェアです。攻撃者は、画面の閲覧、コマンドの実行、ファイル操作、情報窃取などを行う場合があります。

SG試験で「遠隔操作型ウイルス（RAT）」と示された場合は、Remote Access Trojanを指すものとして判断します。

7．ボット・ボットネット・C&Cサーバ：外部の指令で動く

ボット

情報セキュリティの文脈におけるボットは、攻撃者から指令を受けて動作するマルウェア、又はそのマルウェアによって遠隔操作される感染端末を指します。

利用者が気付かないまま、次の活動へ悪用される場合があります。

  • DDoS（Distributed Denial of Service）攻撃
  • 迷惑メールの送信
  • 認証情報や機器情報の窃取
  • 他のマルウェアの配布
  • 第三者への攻撃の踏み台
  • 暗号資産の不正な採掘

ボットネット

多数のボットをまとめて遠隔操作できるようにしたネットワークがボットネットです。

PCだけでなく、初期パスワードのまま使用されているルータ、ネットワークカメラ、IoT（Internet of Things）機器などが組み込まれる場合もあります。

C&Cサーバ

C&CはCommand and Controlの略です。

C&Cサーバは、感染端末へ命令を送り、実行結果や盗んだ情報を受け取るなど、攻撃活動を指令・制御するための基盤です。

基本関係は次のように整理できます。

遠隔操作される感染端末がボット、その集合がボットネット、指令や制御を担う基盤がC&Cです。

ただし、実際の制御方式は、一台の中央サーバだけとは限りません。複数のサーバ、正規のクラウドサービス、P2P（Peer to Peer）型の通信などが悪用される場合もあります。

8．スパイウェア：利用者に気付かれず情報を収集する

スパイウェアは、利用者に気付かれないように端末や利用者に関する情報を収集することを主な目的とするマルウェアです。

収集対象の例

  • 閲覧履歴、検索履歴
  • 端末情報
  • インストール済みソフトウェア
  • 認証情報
  • 入力内容
  • ファイル、画面、音声
  • 位置情報

スパイウェアは情報収集を中心とする分類なので、自己複製やファイル破壊は必須の特徴ではありません。

「スパイウェアは感染端末のファイルを必ず破壊する」という説明は誤りです。

9．キーロガー：キー入力を記録する機能

キーロガーは、キーボードから入力された内容を記録する仕組みです。

攻撃者に悪用されると、次の情報を窃取される可能性があります。

  • IDとパスワード
  • クレジットカード情報
  • メールやチャットの内容
  • 業務文書へ入力した機密情報

キーロガーは、キー入力を記録する機能に着目した名称です。SGでは、利用者に無断で導入され、認証情報などの窃取に使われる文脈を中心に判断します。

スパイウェアは秘密裏に情報を収集する広い分類、キーロガーはキー入力を記録する具体的な機能です。

10．ルートキット：不正活動を隠し、支配の維持を助ける

ルートキットは、侵入後の不正な活動やマルウェアの存在を見えにくくし、攻撃者が高い権限やアクセスを維持することを助けるツール・機能の集合です。

隠される対象の例

  • 不正なプロセス
  • ファイル
  • 通信
  • アカウント
  • システム設定
  • ログや不正操作の痕跡

ルートキットは、最初に利用者をだまして侵入する手口というよりも、侵入後の潜伏・隠蔽・権限維持に着目した用語です。

OSやシステムの標準機能を改変する場合があり、検知や除去が難しくなることがあります。

11．バックドア：通常のアクセス経路を迂回する隠れた入口

バックドアは、通常の認証やアクセス制御を迂回してシステムへアクセスできるようにする、文書化されていない隠れた方法又は機能です。

攻撃者が侵入後にバックドアを設置すると、最初に利用された脆弱性を修正しても、別の経路から再びアクセスされるおそれがあります。

ルートキット バックドア
不正活動やマルウェアの存在を隠す 通常のアクセス経路を迂回する入口を作る
潜伏や権限維持を助ける 再侵入・遠隔操作の経路を確保する
検知や除去を難しくする 表面上の脆弱性修正後もアクセスを残すことがある

両方の機能を併せもつマルウェアもあります。

なお、バックドアは「暗号化されたファイルを復号する鍵」という意味ではありません。

12．ファイルレスマルウェア：典型的な実行ファイルだけに依存しない

ファイルレスマルウェア又はファイルレス攻撃は、典型的な不正実行ファイルをディスクへ保存して動作する方法だけに依存せず、OSや正規ソフトウェアの機能などを悪用して不正処理を行うものです。

悪用される例

  • PowerShellなどのOS標準管理ツール
  • スクリプト実行機能
  • メモリ上でのコード実行
  • レジストリなどの設定領域
  • タスク実行機能
  • 正規のプロセス
  • 文書のスクリプトやマクロ機能

「ファイルレス」という名称から、次のように誤解してはいけません。

  • 攻撃の全段階で一切ファイルを使用しないとは限らない
  • 文書やスクリプトが入口になる場合がある
  • 設定変更、通信、プロセス、メモリなどに痕跡が残る場合がある
  • 検知不能という意味ではない
  • ディスクに実行ファイルが見つからないだけでは、安全と判断できない

ファイルレスは、統一された一つの厳密な方式名というより、攻撃チェーンの一部又は全部で、ファイルへの依存を減らした実行手法を広く表す言葉です。

従来の実行ファイルの照合だけでは見つけにくい場合があるため、プロセス、スクリプト、メモリ、通信、ログなどの振る舞いも確認します。具体的な検知・防御技術は、「マルウェア対策」で扱います。

13．一つのマルウェアに複数の名称が付く理由

実際のマルウェアは、複数の機能を組み合わせます。

例えば、次のような動作が考えられます。

  1. 正規の更新プログラムを装うトロイの木馬として実行させる
  2. バックドアを設置する
  3. ルートキットで不正な活動を隠す
  4. キーロガーで認証情報を記録する
  5. C&Cから指令を受けるボットとして動作する
  6. PowerShellを使って追加の処理をメモリ上で実行する

この場合、同じ攻撃を次の複数の観点から説明できます。

  • 侵入時の偽装：トロイの木馬
  • 隠れた入口：バックドア
  • 潜伏・隠蔽：ルートキット
  • 情報収集機能：キーロガー
  • 外部からの遠隔制御：ボット
  • 実行方法：ファイルレス

試験では、「この検体は一つの種類にしか属さない」と考えず、問題文が最も強調している特徴を確認します。

よくある取り違え

誤った理解 正しい整理
マルウェアとコンピュータウイルスは同義である マルウェアが上位概念で、ウイルスはその一種
コンピュータウイルスは宿主なしで単独拡散する それは主にワームの特徴
ワームは他のファイルへ感染しなければ増殖できない 宿主へ寄生せず自己複製できる
トロイの木馬は必ず自己複製する 自己複製は必須ではなく、本質は偽装と隠れた不正機能
トロイの木馬という分類は自己複製の有無を表す 自己複製を条件とする分類ではなく、別の増殖機能を併せもつ検体もある
ボットネットはキーロガーを集めたネットワークである 遠隔操作される多数のボットから成るネットワーク
C&Cは必ず一台の中央サーバである 分散型や正規サービスを悪用する方式もあり得る
スパイウェアは必ずファイルを破壊する 秘密裏な情報収集が中心
キーロガーはファイル破壊を目的とする キー入力の記録に着目した機能で、認証情報などの窃取に悪用される
ルートキットは最初に侵入するための偽装プログラムである 主に侵入後の潜伏・隠蔽・権限維持を助ける
バックドアは暗号化ファイルの復号鍵である 通常のアクセス手続を迂回する隠れた入口
ファイルレスは攻撃の全段階で一切ファイルを使わない 一部の段階でファイルを使う場合もある
ファイルレスマルウェアは痕跡を一切残さず、検知できない プロセス、メモリ、通信、ログなどから検知できる場合がある

科目Bでの判断手順

事例問題では、次の順で強調されている特徴を確認します。

  1. 他のファイルへ感染しているか

→ コンピュータウイルス、マクロ機能ならマクロウイルス

  1. 宿主へ寄生せず自動的に自己複製・拡散しているか

→ ワーム

  1. 正規又は有用なものを装って実行させているか

→ トロイの木馬

  1. 外部からの指令に従っているか

→ ボット、指令・制御基盤はC&C

  1. 情報を秘密裏に収集しているか

→ スパイウェア、キー入力ならキーロガー

  1. 不正な活動を隠しているか、隠れた入口を残しているか

→ ルートキット／バックドア

  1. 正規ツール、スクリプト、メモリ上の処理を悪用しているか

→ ファイルレス型の可能性

  1. 一つの名称だけで説明しようとしていないか

→ 複数の特徴がある場合は、設問が問う分類軸を確認する

まとめ

  • マルウェアは、不正・有害な処理を意図したソフトウェアやコードの総称
  • コンピュータウイルスはマルウェアの一種で、他のプログラムやファイルへ感染する
  • マクロウイルスは文書などのマクロ機能を悪用する
  • ワームは宿主へ寄生せず、単独で自己複製・拡散できる
  • トロイの木馬は正規・有用なものを装い、隠れた不正機能を実行する
  • トロイの木馬は自己複製の有無を表す分類ではなく、別の増殖機能を併せもつ検体もある
  • ボットは外部の指令で動作するマルウェア又は感染端末
  • 多数のボットの集合がボットネット、指令・制御基盤がC&C
  • スパイウェアは秘密裏な情報収集、キーロガーはキー入力の記録に着目した名称
  • ルートキットは不正活動を隠し、支配の維持を助ける
  • バックドアは通常のアクセス経路を迂回する隠れた入口
  • ファイルレスは典型的な実行ファイルだけに依存しない手法であり、一切ファイルを使わない、痕跡がない、検知不能という意味ではない
  • 一つのマルウェアが、複数の分類へ同時に当てはまる場合がある
  • 試験では、増殖、偽装・制御、情報収集、潜伏・実行方法のどれを問うているかを確認する

関連記事

  • C1-T04：ランサムウェア
  • C1-T05：標的型攻撃
  • C1-T09：ネットワーク・通信への攻撃
  • C5-T07：マルウェア対策
  • C5-T09：ログ管理と監視
  • C6-T02：初動対応とエスカレーション
  • C8-T05：サイバー犯罪に関する法律

参考資料・基準日

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

  • IPA「試験要綱・シラバスについて」
  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • NIST「Computer Security Resource Center (CSRC) Glossary」（2026年8月7日参照）
  • Microsoft Learn「ファイルレスの脅威」

関連する問題

コメント

タイトルとURLをコピーしました