ランサムウェア被害が疑われる時、最も危険なのは、慌てて「よかれと思って」作業を進めてしまうことです。

たとえば、感染したパソコンの電源を切る。
暗号化されたサーバーを初期化する。
バックアップ用ディスクをすぐ接続する。
攻撃者の画面に表示された連絡先へアクセスする。
社内チャットで被害画面のスクリーンショットを拡散する。
「大丈夫です。漏えいはありません」と早い段階で言い切る。

これらは、状況によっては被害拡大、証拠消失、復旧遅延、二次被害につながるおそれがあります。

特に最近のランサムウェアは、単に1台のパソコンに感染して終わるとは限りません。警察庁は、近年、企業等のVPN機器などネットワーク機器の脆弱性を狙って侵入する手口が多く確認されていること、データを暗号化するだけでなく、窃取したデータの公開を示唆して金銭を要求する二重恐喝の手口も多く確認されていることを説明しています。

JPCERT/CCも、侵入型ランサムウェア攻撃では、ネットワーク内部の複数システムでファイルが暗号化される、自組織から窃取されたとみられるファイルを暴露すると脅迫される、攻撃者から通知が届く、といった状況があり得ると整理しています。JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」は、2026年6月18日にも更新されています。

今回は、中小企業が侵入型ランサムウェア被害を疑った時に、初動でやってはいけないことを整理します。

1. 感染端末の電源をすぐ切らない

ランサムウェア感染が疑われた時、「とにかく電源を切ればよい」と考える方がいます。
しかし、これは注意が必要です。

警察庁は、感染拡大を防止するため、感染したパソコン等をLANケーブルを抜くなどしてネットワークから隔離するよう案内しています。一方で、感染原因等の調査に必要なログ等が消失する場合があるため、パソコンやネットワーク機器等の電源は落とさないよう案内しています。

つまり、最初に行うべきことは、原則として電源断ではなくネットワーク隔離です。

具体的には、次のような対応を検討します。

  • LANケーブルを抜く
  • Wi-Fiを切る
  • 感染が疑われる端末を社内ネットワークから切り離す
  • VPN接続を切る
  • 被害が広がる可能性のある共有フォルダへの接続を止める
  • 外部保守回線やリモート接続の利用状況を確認する

IPAの中小企業向けインシデント対応資料でも、ウイルス感染・ランサムウェア感染の場合は、まず感染したパソコンやサーバーの利用を停止し、ネットワークから切り離すことが重要だと説明されています。

ただし、工場設備、医療・介護、受発注システム、会計処理中のサーバーなど、停止が事業に大きく影響する場合があります。判断に迷う場合は、ログを消さず、保守会社、セキュリティ専門会社、JPCERT/CC、警察等へ相談できる体制を取ってください。

2. サーバーやPCをすぐ初期化しない

暗号化された画面を見ると、「初期化して戻せばよい」と考えがちです。
しかし、原因が分からないまま初期化すると、侵入経路、攻撃者の操作履歴、窃取された可能性のある情報、侵害されたアカウントの痕跡が失われることがあります。

JPCERT/CCは、被害から復旧する前に、攻撃者が残したマルウェア、バックドア、不正な設定などが排除されていることを確認し、復旧前に攻撃原因へ対処する必要があると説明しています。

初期化を急ぐ前に確認すべきことは、次のとおりです。

  • どの端末、サーバー、共有フォルダが影響を受けているか
  • 暗号化が現在も進行中か
  • 管理者アカウントが悪用された可能性があるか
  • VPN、リモートデスクトップ、保守回線から侵入された可能性があるか
  • ファイルサーバー、NAS、バックアップサーバーに被害が及んでいるか
  • ログが残っているか
  • 個人情報や取引先情報が窃取された可能性があるか

初期化や再インストールは、復旧作業として必要になる場合があります。
しかし、調査前の初期化は、再発防止や説明責任に必要な情報を失うおそれがあります。

3. バックアップをすぐ接続しない

ランサムウェア被害では、バックアップが残っているかどうかが復旧の大きな分かれ目になります。
しかし、焦ってバックアップ用ディスクやNASをすぐ接続するのは危険です。

JPCERT/CCは、暗号化被害を受けたシステムのバックアップがまだ被害を受けていない場合、安全が確認できるまでは、サーバーやファイルを切り離したり退避したりすることを検討するよう説明しています。また、自動バックアップの仕組みによっては、被害を免れていたバックアップファイルが上書きされて消滅するおそれがあることも示しています。

やってはいけない対応は、次のようなものです。

  • 感染した可能性のあるPCにバックアップ用HDDを接続する
  • 暗号化が進行中のネットワークにバックアップNASを戻す
  • 原因不明のままバックアップから復元する
  • 自動同期型のクラウドストレージをそのまま同期させる
  • 暗号化されたファイルで正常なバックアップを上書きする
  • バックアップの世代を確認せず最新だけを復元する

まず行うべきことは、バックアップを守ることです。
復元作業は、侵入経路の遮断、感染範囲の確認、バックアップの安全性確認を行ったうえで進めるべきです。

4. ログや脅迫メモを削除しない

ランサムウェアの画面、脅迫メモ、暗号化されたファイル名、拡張子、ログ、通信履歴は、原因調査や被害範囲確認に役立つ場合があります。

JPCERT/CCは、ランサムウェアの種類を推定または特定するため、暗号化されたファイルの拡張子、脅迫メッセージファイル、デスクトップ壁紙などの痕跡を確認すると説明しています。
警察庁も、感染原因等の調査では感染したパソコンをはじめとした各種機器のログが必要となるため、ログをバックアップデータと同様に適切に保管することを推奨しています。

削除してはいけないものの例は、次のとおりです。

  • 脅迫メモ
  • 暗号化されたファイルの一部
  • 不審な実行ファイル
  • サーバー、VPN、UTM、ファイアウォールのログ
  • Windowsイベントログ
  • Active Directoryのログ
  • メールログ
  • EDR、ウイルス対策ソフトの検知ログ
  • 不審なログイン履歴
  • 攻撃者から届いたメールや画面表示
  • 管理画面のスクリーンショット

ただし、証拠を残す目的で、不審なファイルを不用意に開くことは避けてください。必要な記録は、専門家や保守会社と相談しながら、安全な方法で保存します。

5. 攻撃者に連絡しない、交渉しない

脅迫画面に「連絡しないとデータを公開する」「支払えば復号できる」と表示されることがあります。
しかし、攻撃者への連絡や交渉は推奨されません。

JPCERT/CCは、身代金を支払ってもファイルが復元される保証がないこと、被害原因や他の被害が未解消のまま残ること、支払い後に別の攻撃や追加要求を受けるおそれがあることなどから、身代金支払いを選択すべきではないと整理しています。

また、JPCERT/CCは、攻撃者との交渉も通常は推奨されないとし、攻撃者が用意したポータルやメールで連絡すると、そのやり取りが第三者に公開される可能性があることも説明しています。

中小企業で特に避けるべきことは、次の対応です。

  • 社長や担当者が個人判断で攻撃者に連絡する
  • 攻撃者のチャット画面にアクセスする
  • 攻撃者から送られた復号テスト用ファイルを開く
  • 暗号資産を用意する
  • 交渉代行を名乗る不明な業者へ依頼する
  • 攻撃者とのやり取りを社内に広く転送する
  • 支払いを前提に復旧計画を立てる

判断に困る場合は、JPCERT/CC、警察、セキュリティ専門会社などへ相談してください。JPCERT/CCは、警察への通報や所管省庁への報告のほか、初動段階の対応方法について専門機関や緊急対応を行うセキュリティ専門企業への相談を検討するよう案内しています。

6. 漏えいの有無を早い段階で言い切らない

「暗号化されただけで、情報漏えいはありません」と早い段階で言い切るのは危険です。

侵入型ランサムウェアでは、暗号化の前に情報が持ち出されている可能性があります。一方で、攻撃者が「盗んだ」と主張していても、実際には窃取していない場合もあります。JPCERT/CCは、機微な情報が漏えいしたか、または漏えいした可能性があるかは、被害や調査状況により判断し、影響範囲内のシステムや周辺機器のログ調査・分析を行いながら判断すると説明しています。

初動時に避けるべき表現は、次のようなものです。

  • 情報漏えいはありません
  • 顧客情報は安全です
  • 外部流出は確認されていませんので問題ありません
  • 被害は1台だけです
  • バックアップがあるので影響はありません
  • 取引先への連絡は不要です

調査前に言い切るのではなく、確認できている事実と確認中の事項を分けて整理します。

たとえば、次のように表現します。

  • 現時点で確認できている影響範囲は〇〇です
  • 情報漏えいの有無は調査中です
  • 個人情報が含まれる可能性があるため、対象データを確認しています
  • 追加情報が判明次第、関係者へ連絡します

個人データの漏えい等またはそのおそれがある場合は、個人情報保護委員会への報告要否も確認が必要です。個人情報保護委員会は、漏えい等報告について、速報は発覚日から3〜5日以内、確報は原則30日以内、不正な目的で行われたおそれがある場合は60日以内と案内しています。

7. 感染した可能性のある環境で、重要な連絡やログインを続けない

ランサムウェア被害時には、社内メール、チャット、ファイルサーバー、グループウェアが使いにくくなります。
しかし、感染や侵害が疑われる環境で、通常どおり重要な連絡や管理者ログインを続けることは避けるべきです。

攻撃者が管理者アカウントや認証情報を悪用している可能性があるためです。JPCERT/CCは、複数システムで同時に暗号化被害が確認される場合、管理サーバーの管理者アカウントが掌握され、その権限でランサムウェアの一斉配布や実行が行われたおそれがあると説明しています。

避けるべき行動は、次のとおりです。

  • 感染が疑われるPCから管理画面にログインする
  • 感染端末でネットバンキング、クラウド、メール管理画面に入る
  • 攻撃者に見られている可能性のあるメールで対応方針を共有する
  • 被害画面やログを社内チャットに無制限に投稿する
  • 管理者パスワードを感染端末から変更する
  • 共有アカウントで復旧作業を進める

連絡手段は、必要に応じて、被害ネットワークから独立した電話、別回線、別端末、事前に定めた緊急連絡網などを使います。
管理者パスワードの変更やクラウド管理画面へのログインは、安全性を確認した端末と回線から実施します。

8. 侵入経路を塞がずに復旧しない

被害が大きいほど、早く業務を再開したくなります。
しかし、侵入経路を塞がないまま復旧すると、再び侵入されるおそれがあります。

JPCERT/CCは、攻撃者が内部ネットワークに侵入した経路を塞がないと、復旧後に別の攻撃グループによる攻撃被害などを受ける可能性があるため、復旧前に侵入経路として考えられる原因へ必ず対処すると説明しています。

確認すべき代表的な侵入経路は、次のとおりです。

  • VPN機器
  • リモートデスクトップ
  • 外部公開サーバー
  • ファイアウォール、UTM、ルーター
  • 保守会社のリモート接続
  • MSPなど運用保守サービスの回線
  • メール起点のマルウェア感染
  • 脆弱性が残ったWebサーバーやNAS
  • 使い回されたID・パスワード
  • 退職者、旧委託先、共有アカウント

JPCERT/CCは、侵入型ランサムウェアの代表的な侵入方法として、リモートアクセスの出入口を経由した侵入、外部接続可能なシステムの脆弱性悪用、MSPなど運用保守サービス回線を経由した侵入、メール起点のマルウェア感染端末を経由した侵入を挙げています。

復旧は、単にバックアップを戻す作業ではありません。
原因を塞ぎ、不要なアカウントを止め、脆弱性を修正し、監視を強化したうえで再開する必要があります。

9. 不審ファイルをオンラインスキャンに安易にアップロードしない

調査のために、不審ファイルをオンラインスキャンサービスへアップロードしたくなることがあります。
しかし、これも注意が必要です。

JPCERT/CCは、オンラインスキャンサービスへファイルをアップロードする場合、サービスの内容や規約を確認したうえで実施することを推奨しています。また、ファイルに被害組織から窃取されたアカウント情報が含まれており、解析結果から未公表の被害組織の被害が推測できたケースも確認されていると説明しています。

やってはいけないことは、次のとおりです。

  • 不審ファイルを個人判断で外部サービスへアップロードする
  • 顧客情報や社内情報を含む可能性があるファイルをアップロードする
  • 暗号化ファイルや脅迫メモをむやみに公開する
  • 調査結果のURLを社内外に広く共有する
  • 被害公表前に、被害組織名が推測できる情報を外部に出す

分析が必要な場合は、セキュリティ専門会社やJPCERT/CCなどに相談し、情報の扱いを確認してから実施します。

10. リークサイトを通常端末で見に行かない

攻撃者から「データを公開した」と脅された場合、事実確認のためにリークサイトを確認したくなることがあります。
しかし、攻撃者が用意したサイトに通常端末でアクセスすることは避けるべきです。

JPCERT/CCは、リークサイトの多くはTorブラウザーを使うダークウェブ上のサイトであり、攻撃者が用意したサイトであるため安全なサイトという保証はないと説明しています。掲載されているファイルも安全である保証はなく、外部専門機関などにも相談のうえ対応することを推奨しています。

やってはいけないことは、次のとおりです。

  • 通常業務のPCでリークサイトへアクセスする
  • 掲載ファイルをダウンロードする
  • ファイルを開いて中身を確認する
  • アクセスしたURLを社内に回覧する
  • SNSで投稿内容を検索、拡散する
  • 攻撃者の主張をそのまま公表する

リークサイトの確認は、必要性、方法、リスクを整理したうえで、専門家に相談しながら進めるべきです。

11. 取引先や顧客への連絡を後回しにしすぎない

初動では、事実確認が大切です。
一方で、情報漏えいや業務停止の影響が取引先や顧客に及ぶ場合、連絡を後回しにしすぎることも問題になります。

JPCERT/CCは、漏えいやその可能性がある場合、所管省庁への届け出やステークホルダーへの連絡など速やかな対応が望まれると説明しています。また、リークサイトに組織名が掲載されると、問い合わせが増加するおそれがあるため、早い段階で対外対応の体制を整えることが重要だとしています。

連絡時に重要なのは、次の点です。

  • 確認済みの事実と調査中の事項を分ける
  • 憶測を書かない
  • 影響を受ける可能性のあるサービスや業務を明示する
  • 問い合わせ窓口を一本化する
  • 顧客、取引先、従業員、委託元など対象別に文面を分ける
  • 個人情報が関係する場合はPPC報告や本人通知の要否を確認する
  • 追加情報の更新予定を決める

早すぎる断定も、遅すぎる連絡も避ける必要があります。
事実確認、被害拡大防止、関係者への説明を並行して進めます。

12. 対応記録を残さずに作業しない

ランサムウェア対応では、誰が、いつ、何を見つけ、何を止め、誰に連絡し、どの判断をしたかを記録することが重要です。

IPAの中小企業向けインシデント対応資料では、インシデント対応時に整理しておくべき事項として、責任者・担当者、発覚日時、発生日時、発生事象、対応経過、想定される原因、被害を受けたシステムの状況、システム構成や運用状況などが挙げられています。

最低限、次の記録を残してください。

記録項目内容
発見日時いつ、誰が異常に気づいたか
発見内容暗号化、脅迫メモ、システム停止、不審ログインなど
影響範囲端末、サーバー、共有フォルダ、拠点、業務
初動対応ネットワーク隔離、利用停止、バックアップ保護など
連絡先経営者、保守会社、専門家、警察、JPCERT/CC、委託先
判断内容何を止めるか、何を継続するか、誰に連絡するか
証拠保全ログ、画面、脅迫メモ、不審ファイル、設定情報
未確認事項漏えい有無、侵入経路、対象データ、復旧見込み
次の対応調査、報告、公表、復旧、再発防止

口頭だけで進めると、後から説明できなくなります。
対応記録は、取引先説明、保険対応、法令対応、再発防止、社内報告に必要になります。

初動時の簡易チェックリスト

侵入型ランサムウェアが疑われる場合は、次の順番で確認します。

ランサムウェア初動チェックリスト

  1. 被害端末・サーバーの利用を停止し、ネットワークから隔離する
  2. 電源断、初期化、ログ削除を急がない
  3. バックアップを接続せず、まず保護する
  4. 脅迫メモ、拡張子、ログ、画面を安全に記録する
  5. 感染が疑われる端末から管理画面へログインしない
  6. 管理者アカウント、VPN、リモートアクセスの悪用有無を確認する
  7. 侵入経路を塞ぐ前に復旧しない
  8. 攻撃者に連絡・交渉・支払いをしない
  9. リークサイトや不審ファイルを不用意に確認しない
  10. 個人情報・取引先情報への影響を確認し、報告要否を判断する
  11. 警察、JPCERT/CC、保守会社、専門家へ相談する
  12. 対応経過を時系列で記録する

JPCERT/CCは、侵入型ランサムウェア攻撃の初動対応方針として、被害範囲を把握して被害の最小化を図ること、考えられる侵入経路を塞ぐこと、攻撃者の要求には応じずバックアップから復旧することを整理しています。

社内向け初動メモのひな形

以下は、被害発生時に社内で使う簡易メモの例です。

ランサムウェア初動対応メモ

発見日時：2026年〇月〇日 〇時〇分
発見者：〇〇部 〇〇
発見内容：ファイル拡張子の変更、脅迫メモ、サーバー停止、不審ログイン等
影響が疑われる範囲：PC、サーバー、共有フォルダ、NAS、拠点、業務
実施した初動対応：ネットワーク隔離、利用停止、バックアップ保護、ログ保全
未実施の作業：初期化、復元、バックアップ接続、攻撃者への連絡
相談先：保守会社、セキュリティ専門会社、JPCERT/CC、警察
個人情報の可能性：あり・なし・確認中
取引先影響：あり・なし・確認中
次回確認時刻：〇時〇分
責任者：〇〇
記録者：〇〇

このメモの目的は、きれいな報告書を作ることではありません。
初動時に、何を確認し、何をまだ確認できていないかを明確にすることです。

まとめ

侵入型ランサムウェアでは、初動の失敗が被害を広げることがあります。
中小企業が特に避けるべきことは、次の5つです。

  1. 感染端末の電源をすぐ切ること
  2. サーバーやPCを調査前に初期化すること
  3. バックアップをすぐ接続して復元を始めること
  4. 攻撃者に連絡、交渉、支払いをすること
  5. 漏えい有無や影響範囲を調査前に言い切ること

最初に行うべきことは、被害端末やサーバーの利用停止、ネットワーク隔離、バックアップ保護、ログ保全、相談先への連絡、対応記録の作成です。警察庁も、感染したパソコン等のネットワーク隔離、ログの適切な保管、警察への通報・相談を案内しています。

「早く元に戻す」ことは重要です。
しかし、原因を塞がず、証拠を消し、バックアップまで巻き込んでしまうと、復旧はかえって遠のきます。

ライトハウスコンサルタントでは、中小企業向けに、ランサムウェア初動対応手順、バックアップ確認、VPN・UTM点検、インシデント対応記録、個人情報漏えい時の報告要否整理、取引先向け説明文の作成支援を行っています。まずは、自社で「感染が疑われた時に、誰が、何を止め、どこへ相談するか」を1枚にまとめるところから始めてください。

投稿タグ
, , , , , , , , , ,