C2サーバーとは

📅 最終更新：2026年8月13日

【読み方】

シー・ツー・サーバー

【英語表記】
Command and Control Server
（コマンド・アンド・コントロール・サーバー）
略称：C2 Server
（シー・ツー・サーバー）

“C2サーバー（Command and Control Server）”とは、マルウェアに感染した端末や攻撃者が侵害したシステムに対して、命令を送ったり、情報を受け取ったりするために利用されるサーバーや通信基盤を指します。

C2は、Command and Controlの略です。

日本語では「指令・制御」などと訳されます。

攻撃者がマルウェアを端末へ侵入させた後、その端末へ毎回直接操作を行うとは限りません。

感染端末側からC2サーバーへ通信し…

…と問い合わせる方式が利用されることがあります。

攻撃者はC2サーバーを通じて…

…などを行う場合があります。

C2通信にはさまざまな方式があります。

たとえば、…

…など、通常のネットワークでも使われる通信方式が利用される場合があります。

攻撃者が一般的な通信へ紛れ込ませることで、ネットワーク監視から発見されにくくしようとする場合もあります。

また、感染端末が一定間隔でC2サーバーへ接続する通信は、ビーコン通信として観測されることがあります。

C2という言葉から、一台の中央サーバーを想像するかもしれません。

しかし実際には…

…など、複数の仕組みを組み合わせる場合があります。

そのため、攻撃者のC2インフラは単純な一台構成とは限りません。

攻撃者のC2サーバーが停止または遮断されると、感染端末が新しい命令を受け取れなくなる場合があります。

そのため、法執行機関やセキュリティ組織によるマルウェア対策では、C2インフラを特定して停止させることが重要になる場合があります。

ただし、攻撃者側が複数のC2サーバーや代替通信経路を用意していれば、一つのサーバーを停止しただけでは活動全体を止められないこともあります。

ネット探検ラボでは、C2サーバーを見るとき、「攻撃者の司令塔」と理解すると分かりやすいと考えます。

ただし、重要なのはC2サーバーそのものだけを見ることではありません。

…接続しているのかを見ることが重要です。

たとえば、普段通信する必要のない外部サーバーへ、端末が一定間隔で小さな通信を繰り返していれば、ビーコン通信として調査する手掛かりになります。

一方で、クラウドサービスや正規ソフトウェアでも定期的な外部通信は発生します。

そのため、

「外部サーバーへ通信している＝C2通信」と即断することはできません。

ネット探検ラボでは、通信先、周期性、通信内容、利用プロトコル、端末本来の用途を組み合わせて評価することを重視します。

C2サーバーは、マルウェアや侵害端末の背後にいる攻撃者と、実際の感染端末をつなぐ重要な通信基盤です。