サイバー攻撃発生時の初動対応｜被害を抑える手順と相談先を整理

サイバー攻撃を受けた、あるいはその疑いがある状況では、冷静な判断が難しいものです。しかし、パニックに陥り自己判断で対応すると、かえって証拠を消去し、被害を致命的に拡大させる危険があります。被害を最小限に抑えるには、確立された手順に基づく迅速かつ正確な初動対応が不可欠です。この記事では、サイバー攻撃発覚時に絶対にしてはいけないNG行動と、実行すべき具体的な初動対応5ステップを解説します。

被害を拡大させるNG行動

自己判断による端末の再起動・シャットダウン

サイバー攻撃の発生時、自己判断で端末の電源を操作（再起動・シャットダウン）することは、被害を深刻化させるため絶対に避けてください。パソコントラブルでは再起動が有効な場合が多いため、つい実行しがちですが、インシデント対応においては致命的な過ちとなり得ます。電源操作は、証拠隠滅と被害拡大という二重のリスクを招きます。

電源操作が危険な理由は以下の通りです。

ランサムウェアの脅迫画面を見てパニックになり電源を切った結果、復号キーの痕跡がメモリから消え、データ復旧の可能性が絶たれたケースもあります。インシデントを検知したら、物理的な危険（発煙など）がない限り、端末は稼働させたままの状態を維持し、専門家の指示を待つことが鉄則です。

感染端末の安易なネットワーク再接続

インシデント対応で一度ネットワークから隔離した端末を、十分な安全確認なしに再接続することは厳禁です。被害を抑えるための隔離措置を無意味にし、被害を再燃・拡大させる危険な行為です。ネットワークへの再接続は、専門家による完全な安全宣言が出た後にのみ許可されるべきです。

安易な再接続が危険な理由は、主に以下の2点です。

業務の遅れを取り戻そうと自己判断でLANケーブルを接続した結果、基幹サーバーまでランサムウェアの被害が拡大した事例が後を絶ちません。たとえウイルス対策ソフトのスキャンで何も検出されなくても、巧妙に隠蔽されたマルウェアが残存している可能性を常に考慮すべきです。

証拠となりうるログやファイルの削除

サイバー攻撃の痕跡を示すシステムログや不審なファイルを自己判断で削除する行為は、原因究明を不可能にする重大な過失です。慌ててファイルを消したり、システムを初期化したりすると、攻撃手口や侵入経路、被害範囲を特定する唯一の手がかりを失うことになります。すべてのデジタルデータは法的な証拠となり得るため、現状のまま保全する必要があります。

ログやファイルは、専門家が攻撃を分析するための重要な証拠となります。

管理者が事態を隠蔽しようとサーバーのアクセスログを消去する行為は、内部不正を疑われるだけでなく、サイバー保険の請求に必要な客観的証拠を自ら放棄する行為に等しいです。不審なファイルやログを見つけても絶対に削除や移動はせず、画面を写真に撮るなどして記録し、専門家に引き継いでください。

関係者へのインシデント報告の遅延

インシデントの兆候を察知しながら、経営層や情報システム部門への報告を遅らせることは、被害を致命的に拡大させる最大の原因です。「自分だけで解決できる」「報告して怒られたくない」といった理由で報告をためらうと、組織的な初動対応が遅れ、攻撃者に侵害を広げる時間を与えてしまいます。

報告の遅延が許されないのは、サイバー攻撃の進行スピードが極めて速く、初期段階での封じ込めが被害抑制の鍵を握るからです。例えば、ランサムウェアは数十分でネットワーク全体に感染を広げます。報告が数時間遅れるだけで、被害は一部門から全社へと拡大し、事業継続を脅かす事態に発展しかねません。

不審なメールを開いてしまった従業員が報告を怠ったため、翌日には基幹システムがダウンしたという事例もあります。異常を検知した際は、どんなに些細なことに思えても、直ちに定められたルートで報告することが全従業員の義務です。企業は、報告者を責めない心理的安全性の高い文化を醸成し、悪い情報ほど早く上がる体制を構築する必要があります。

社内報告における注意点｜憶測の拡散や過度な情報制限を避ける

社内でインシデントを報告する際は、事実と推測を明確に区別し、正確な情報伝達を徹底することが重要です。不確かな憶測が事実かのように広まると、組織内に不要な混乱を招き、経営層の意思決定を誤らせる原因となります。

一方で、過度に情報を制限することも問題です。関係部署への情報共有が遅れると、各部署で実施できるはずの自衛策が取れず、被害が拡大する可能性があります。

報告の際は、以下のポイントを心がけ、客観的な事実のみを簡潔に伝えることが求められます。

原因や被害の全容については、専門家による調査を待つ姿勢が肝心です。統一された報告窓口を定め、適切なタイミングで正確な情報を共有する仕組みを整えましょう。

発覚時の初動対応5ステップ

1. 被害端末のネットワークからの物理的隔離

インシデント対応における最初の、そして最も重要なステップは、被害が疑われる端末をネットワークから物理的に切り離すことです。これにより、マルウェアの感染拡大や、攻撃者による外部からの遠隔操作を即座に遮断できます。ソフトウェア的な遮断よりも確実なため、封じ込めの最優先手段となります。

この際、端末の電源は絶対に落とさず、稼働状態を維持したままネットワーク接続のみを遮断することが重要です。この作業は、専門知識がなくても現場担当者が直ちに実行できる最も効果的な応急処置です。

2. 被害状況の把握と事実関係の記録

ネットワーク隔離後、次に被害状況を客観的に把握し、事実を正確に記録します。ここで収集した情報は、後の詳細調査や経営判断の基礎となるため、推測を交えずに事実のみを記録することが不可欠です。

これらの情報を、事前に用意したインシデント報告シートなどに時系列で記録します。証拠を破壊する恐れがあるため、感染端末を操作して内部を確認する行為は避けてください。

3. 経営層・関連部署へのエスカレーション

初期的な事実関係をまとめたら、速やかに経営層、および法務・広報などの関連部署へ報告（エスカレーション）します。サイバー攻撃は単なるシステム障害ではなく、事業継続や法的責任を伴う重大な経営課題です。組織としての迅速な意思決定を行うため、早期の情報共有が不可欠です。

エスカレーションは、部門を超えた連携体制を構築するために重要です。

報告の際は、技術的な詳細よりも「事業にどのような影響があるか」という視点で説明することが、経営層の理解を促す上で重要です。

4. 外部の専門機関への相談・連絡

社内での情報共有と並行して、サイバーセキュリティを専門とする外部機関に速やかに連絡します。現代の巧妙なサイバー攻撃に対し、自社リソースだけで原因を特定し、安全に復旧することは極めて困難です。初期段階から専門家の支援を仰ぐことで、対応の誤りを防ぎ、被害拡大を最小限に抑えます。

連絡する際は、ステップ2で記録した事実関係を正確に伝えることで、専門家による的確な状況判断（トリアージ）が可能になります。平時から緊急連絡先リストを整備しておくことが重要です。

5. 証拠保全の実施

初動対応の最終段階として、デジタル証拠の保全を専門家と連携して行います。これは、後の原因究明、被害範囲の特定、警察への届け出、サイバー保険の請求などに不可欠なプロセスです。単にファイルをコピーするのではなく、法的な証拠能力を維持するための厳格な手続きが求められます。

証拠保全は、主に以下の専門的な手法で行われます。

これらの作業は高度な専門知識を要するため、原則として社内担当者は行わず、専門家が到着するまで端末に誰も触れないように管理することに徹してください。適切な証拠保全が、その後のすべての対応の礎となります。

【攻撃タイプ別】具体的な対応手順

ランサムウェアに感染した場合の対処

ランサムウェア感染が疑われる場合、時間との勝負になります。「身代金要求画面が表示された」「ファイル名が書き換えられた」といった兆候を発見したら、以下の手順で迅速に対応します。

ランサムウェア対策の要は、迅速な隔離と安全なバックアップからの復旧です。

不正アクセスによる情報漏えいが疑われる場合

情報漏えいが疑われる場合は、被害拡大の防止と並行し、ログに基づく客観的な事実調査が最優先となります。どのような情報が、どれだけ流出したのかを正確に特定することが、その後の法的対応の前提となります。

不正アクセス対応では、侵入の遮断、ログに基づく事実認定、透明性の高い情報開示を一体で進めることが重要です。

DDoS攻撃でサービスが停止した場合

DDoS攻撃（分散型サービス妨害攻撃）によりWebサイトなどが停止した場合、サービスの迅速な復旧が最優先目標となります。データの窃取が目的ではありませんが、事業機会の損失や信用の低下を防ぐため、迅速な対応が求められます。

DDoS攻撃への対応は自社だけでは限界があるため、外部の通信事業者やセキュリティサービスとの連携が不可欠です。

関係各所への報告と相談先

警察（サイバー犯罪相談窓口）への通報

サイバー攻撃は不正アクセス禁止法などに抵触する明確な犯罪行為です。被害が発覚した場合、各都道府県警察が設置する「サイバー犯罪相談窓口」へ速やかに通報・相談することが推奨されます。

警察への通報には、以下のメリットがあります。

平時から相談窓口の連絡先を把握し、有事の際はためらわずに相談できる体制を整えておくことが重要です。

個人情報保護委員会への報告義務

個人データの漏えい、またはその恐れが生じた場合、個人情報保護法に基づき、個人情報保護委員会への報告が法的に義務付けられています。報告義務の対象となる事案が発生した場合、速やかに所定の手続きで報告しなければ、行政指導や罰則の対象となる可能性があります。

特に、以下のケースでは報告義務が生じます。

報告には期限があり、事態を把握してから「速報（3～5日以内）」と「確報（30日以内、不正アクセスの場合は60日以内）」の提出が必要です。法務部門と連携し、法令を遵守した対応を徹底してください。

インシデント対応専門業者への依頼

自社のリソースだけでの対応が困難な場合は、サイバーインシデント対応を専門とする外部業者へ速やかに支援を依頼することが不可欠です。専門家は、高度な技術と経験に基づき、自社だけでは不可能な調査や復旧を実現します。

専門業者に依頼すべき理由は以下の通りです。

平時から信頼できる業者と契約を結んでおくことで、有事の際に迅速な支援を受けられる体制を構築できます。

顧客・取引先への通知タイミングと内容

情報漏えいなどにより顧客や取引先に影響が及ぶ場合、適切なタイミングでの誠実な通知が企業の信頼を維持する鍵となります。事実の隠蔽や通知の遅延は、企業の評判を著しく損ないます。通知の目的は、関係者がパスワード変更などの自衛策を講じ、二次被害を防ぐ機会を提供することです。

事実関係がある程度判明した段階で、速やかに第一報を発信します。通知には以下の内容を盛り込むことが一般的です。

不確かな憶測は避け、調査中の事項は正直にその旨を伝え、継続的に情報を提供する姿勢が重要です。

対外公表の判断基準｜法的義務と事業リスクのバランス

インシデントの対外公表は、法令上の義務と事業継続上のリスクを総合的に比較し、経営トップが慎重に判断すべき事項です。個人情報保護法などで報告・通知が義務付けられている場合を除き、全ての事案を公表することが最善とは限りません。

公表を判断する上では、以下の点を考慮する必要があります。

公表のタイミングや内容は、警察や弁護士などの専門家と協議の上、戦略的に決定することが求められます。

インシデント後の復旧と再発防止策

バックアップからのシステム復旧手順

サイバー攻撃で被害を受けたシステムを復旧するには、安全なバックアップデータを用いるのが基本です。ただし、感染原因が残ったまま復旧すると再感染のリスクがあるため、厳格な手順を踏む必要があります。

安全な復旧は、以下のステップで進めます。

安全が確認できないまま復旧を急ぐことは、それまでの対応を無駄にする最も危険な行為です。

被害原因の分析と脆弱性の解消

インシデント対応が一段落したら、「なぜ攻撃を許してしまったのか」という根本原因を徹底的に分析し、発見された脆弱性を解消することが再発防止の鍵となります。原因を放置すれば、同じ手口で再び攻撃されるリスクが残ります。

フォレンジック調査で明らかになった侵入経路や攻撃手法を元に、技術と組織の両面から対策を講じることで、真のセキュリティ強化が実現します。

セキュリティポリシーの見直し

インシデントから得られた教訓を元に、組織の情報セキュリティポリシーを全面的に見直すことが重要です。テレワークの普及やクラウド利用の拡大など、働き方の変化に対応できていない古いポリシーは、新たな脅威に対する防御壁となり得ません。

実効性のあるポリシーへとアップデートし、全従業員への周知徹底を図ることが、組織全体のセキュリティレベルを底上げします。

インシデント対応計画（IRP）の策定

今回のインシデント対応で得た経験や反省点を基に、インシデント対応計画（IRP: Incident Response Plan）を策定または改定します。事前に明確な行動計画を定めておくことで、有事の際の混乱を防ぎ、迅速かつ統制の取れた初動対応が可能になります。

実践的なIRPには、以下の要素を盛り込むべきです。

IRPは一度作って終わりではなく、定期的な見直しと訓練を通じて、常に実用的な状態を維持することが不可欠です。

よくある質問

ランサムウェアの身代金は支払うべきですか？

結論として、身代金は絶対に支払うべきではありません。FBIなどの法執行機関やセキュリティ専門機関も、支払わないことを強く推奨しています。

身代金の支払いには応じず、警察や専門家へ相談し、バックアップからの復旧を目指すことが唯一の正しい選択です。

情報漏えいの報告は法律上の義務ですか？

はい、一定の条件を満たす個人情報の漏えい等事案については、個人情報保護法に基づき、国（個人情報保護委員会）への報告と本人への通知が法的に義務付けられています。

報告義務の対象となるのは、「個人の権利利益を害するおそれが大きい」場合です。具体的には、要配慮個人情報の漏えいや不正アクセスによる漏えい、1,000人を超える漏えいなどが該当します。法令で定められた期限内に速やかに報告しなかった場合、罰則が科される可能性があります。

警察に被害を届け出るメリットは何ですか？

サイバー攻撃の被害を警察に届け出ることには、いくつかの重要なメリットがあります。

被害を自社だけの問題と捉えず、社会全体の安全に貢献する観点からも、積極的な通報が推奨されます。

専門業者に依頼する場合の費用目安は？

インシデント対応を専門業者に依頼する際の費用は、被害の規模、調査対象となる機器の台数、調査の深度によって大きく異なります。

あくまで一般的な目安ですが、初動対応やPC1台のフォレンジック調査で数十万円から百万円以上、複数のサーバーや広範囲のネットワーク調査、システムの復旧支援まで含めると数百万円から数千万円規模になることも少なくありません。

予期せぬ高額な出費に備えるためにも、平時からサイバー保険への加入を検討し、インシデント対応費用をカバーできる体制を整えておくことが強く推奨されます。

まとめ：サイバー攻撃の被害を最小化する初動対応の要点

サイバー攻撃が発覚した際は、まず被害端末をネットワークから物理的に隔離し、電源を切らずに現状を保全することが最も重要です。自己判断による再起動やログ削除は、被害を拡大させ原因究明を困難にするため絶対に避けるべき行動です。初動対応の成否は、いかに迅速に組織的な対応へ移行できるかにかかっています。事実関係を正確に記録し、速やかに経営層や関連部署へ報告することが、その後の意思決定の質を左右します。自社のみでの対応は困難を極めるため、インシデントの兆候を掴んだら、速やかに契約しているセキュリティベンダーや警察のサイバー犯罪相談窓口など、外部の専門機関へ相談してください。本記事で解説した内容は一般的な対応手順であり、個別の状況に応じた最適な判断は専門家の助言を仰ぐことが不可欠です。平時からインシデント対応計画（IRP）を整備し、緊急連絡先を明確にしておくことが、有事の際の被害を最小限に食い止める鍵となります。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ