社員の不祥事対応マニュアル｜発生時のフローから平時の予防策まで解説
経営リスクナビ編集部
経営リスクナビ
ランサムウェア感染時の対応｜企業の被害を最小化する初動と復旧手順
経営リスクナビ編集部
ランサムウェアに感染した、あるいはその疑いがある緊急事態では、冷静な初動対応が被害の拡大を防ぐ鍵となります。しかし、慌てて自己判断で対処すると、証拠の消失や感染拡大といった、より深刻な事態を招きかねません。この記事では、感染発覚時に絶対にしてはいけないことから、被害を最小限に抑えるための具体的な緊急対応ステップ、そして恒久的な対策までを順を追って解説します。
感染発覚時にすべきでないこと
身代金の安易な支払い
ランサムウェアの感染発覚時、攻撃者からの身代金要求に安易に応じることは絶対に避けるべきです。金銭を支払っても、データが確実に復元される保証はどこにもありません。むしろ、さらなるリスクを呼び込む可能性が高いです。
身代金を支払うべきでない主な理由
- データが復元される保証がない：調査によれば、身代金を支払っても約3分の1のケースでデータが復旧できていません。
- サイバー犯罪の助長：支払われた身代金は犯罪組織の活動資金となり、さらなる被害を生み出す原因となります。
- 再攻撃の標的になる：「支払いに応じる企業」と認識され、同じ攻撃者や別の組織から再び狙われるリスクが格段に高まります。
- 法規制への抵触リスク：攻撃者が経済制裁の対象組織だった場合、身代金の支払いが法令に違反する可能性があります。
- 経営責任の問題：経営者が支払いを決断した場合、善管注意義務違反として株主から責任を追及される恐れがあります。
感染端末の再起動や初期化
感染が疑われるPCやサーバーを自己判断で再起動したり初期化したりすることは、極めて危険な行為です。原因究明や被害範囲の特定に不可欠な証拠データが失われてしまうためです。
再起動・初期化が危険な理由
- 証拠の消失：PCのメモリ上には、攻撃手口を解明する上で重要な通信履歴や実行中のプログラムの痕跡（揮発性データ）が存在しますが、再起動するとこれらが全て消えてしまいます。
- 被害の拡大：ランサムウェアの種類によっては、再起動をきっかけに暗号化プロセスが再開されたり、新たなマルウェアが起動したりするよう設計されているものがあります。
- 原因の特定が困難になる：端末を初期化すると侵入経路や攻撃手口を示す痕跡が完全に消去され、根本的な原因が不明なままとなり、効果的な再発防止策を講じることができなくなります。
感染が疑われる端末は電源を入れたままネットワークから物理的に切り離し、専門家の調査を待つことが鉄則です。
自己判断でのバックアップ実行
ランサムウェアへの感染発覚後に、自己判断で新たなバックアップを実行することは避けるべきです。感染した状態のデータを保存することで、被害をさらに深刻化させる恐れがあります。
感染発覚後のバックアップが危険な理由
- マルウェアの拡散：暗号化されたファイルや潜伏しているマルウェアごとバックアップに保存してしまい、復旧時にウイルスを再拡散させる原因となります。
- 正常なデータの汚染：クラウドストレージの自動同期機能などが有効な場合、暗号化されたファイルが正常なバックアップデータを上書きし、復旧の望みを断ってしまう可能性があります。
- バックアップシステムへの感染：攻撃者は事前にバックアップシステム自体を標的にしている場合もあり、安易に接続すると被害を拡大させる引き金になりかねません。
感染に気づいた時点ですぐにバックアップの同期やタスクを停止し、専門家の指示があるまでデータにアクセスしないことが重要です。バックアップは感染前の正常な状態に戻すためのものであり、破壊されたデータを保存するためのものではありません。
【緊急】感染直後の対応5ステップ
ステップ1：被害拡大の防止（隔離）
ランサムウェアの感染が疑われる場合、最初に行うべきは感染端末のネットワークからの物理的な隔離です。ランサムウェアはネットワークを介して他の機器へ自動的に感染を広げるため、放置すれば被害は急速に拡大します。
具体的な隔離措置は以下の通りです。
端末の隔離方法
- 有線LANの場合：直ちにLANケーブルを抜きます。
- 無線LAN（Wi-Fi）の場合：Wi-Fi設定を無効化するか、PCの無線機能をオフにします。
この際、原因調査に必要なメモリ上のデータを保持するため、端末の電源は絶対に落とさず、スリープにもせず、起動したままの状態で隔離することが重要です。また、同一ネットワーク上の他のPC、サーバー、そして特にネットワークに接続されたバックアップ用ストレージも、安全が確認されるまで通信を遮断してください。
ステップ2：被害状況の把握と証拠保全
端末の隔離後、被害の全体像を正確に把握し、デジタルフォレンジック調査（デジタル鑑識）に必要な証拠を保全します。これらは適切な復旧計画の立案と、後の原因究明に不可欠です。
以下の手順で状況を記録・保全してください。
状況把握と証拠保全の手順
- PC画面に表示された脅迫文（ランサムノート）をスマートフォンなどで写真撮影します。
- 暗号化されたファイルの拡張子の変化や、ファイル名の変更パターンを記録します。
- 感染が確認された、あるいは疑われるPCやサーバーのリストを作成し、被害範囲を特定します。
- 証拠の改変を防ぐため、専門家の指示のもと、ディスク全体のイメージコピーやメモリダンプ（メモリ上のデータをファイルとして保存すること）を取得します。
- 個人情報や機密情報が保存されたサーバーへの影響の有無を確認します。
ステップ3：関係各所への報告・相談
被害状況の初期把握を終えたら、速やかに社内外の関係各所へ報告・相談を行います。ランサムウェア対応は組織全体で取り組むべき経営問題です。
報告・相談先には以下のようなところがあります。連絡には、感染したネットワークとは別の、安全な通信手段（個人のスマートフォンなど）を使用してください。
| 対象 | 具体的な部署・機関 |
|---|---|
| 社内 | 経営層、情報システム部門、法務部門、広報部門 |
| 社外 | 警察（都道府県警察のサイバー犯罪相談窓口）、IPA（情報処理推進機構）、契約しているセキュリティ専門業者、顧問弁護士 |
個人情報の漏えいが疑われる場合は、個人情報保護委員会への報告義務が生じるため、速やかに準備を進める必要があります。
ステップ4：システムの復旧作業
専門家による調査と並行し、安全が確保された段階でシステムの復旧作業に着手します。事業停止期間を最小限に抑えるため、計画的かつ慎重に進める必要があります。
基本的な復旧手順は以下の通りです。
システム復旧の基本手順
- バックアップデータの健全性を確認する：復元に用いるバックアップデータ自体がマルウェアに感染していないか、テスト環境で入念に検証します。
- 感染端末を完全に初期化する：OSごとクリーンインストールし、最新のセキュリティパッチを適用して、マルウェアが潜んでいない安全な状態を確保します。
- 優先度の高いシステムから復元する：事業継続に不可欠な基幹システムから段階的にデータをリストア（復元）します。
- 復号ツールの利用を検討する：一部のランサムウェアについては、公的機関などが無償の復号ツールを公開している場合があるため、利用の可否を確認します。
ステップ5：原因調査と暫定対策の実施
システムの復旧と並行して、ランサムウェアの侵入原因を特定し、再発防止策を講じることが極めて重要です。脆弱性を放置したままでは、復旧直後に再び攻撃を受けるリスクがあります。
以下の暫定対策を速やかに実施してください。
主な暫定対策
- 侵入経路の特定と遮断：ログなどを分析し、不正アクセスの原因（例：VPN機器の脆弱性、リモートデスクトップの認証突破など）を特定し、該当箇所を遮断します。
- 脆弱性の解消：関連する全ての機器やソフトウェアに最新のセキュリティパッチを適用します。
- アカウント情報の見直し：攻撃者に悪用された可能性のあるアカウントのパスワードを強制的に変更し、多要素認証（MFA）を導入・必須化します。
- 不要な通信の遮断：外部に公開する必要のない通信ポートをファイアウォールで閉じます。
外部専門家への相談と選び方
相談できる専門機関や業者
ランサムウェア被害への対応は、技術・法務・捜査など多岐にわたる専門知識を要するため、自社のみでの解決は困難です。状況に応じて、以下の公的機関や民間の専門業者へ相談することが不可欠です。
| 分類 | 機関・業者名 | 主な役割 |
|---|---|---|
| 公的機関 | 都道府県警察のサイバー犯罪相談窓口 | 犯罪捜査、類似事案の情報提供、法的対応のアドバイス |
| IPA（情報処理推進機構） | 技術的な相談対応、被害拡大防止の助言 | |
| 民間専門業者 | インシデント対応専門業者 | 原因究明（デジタルフォレンジック）、復旧支援、封じ込めなどの実務対応 |
| セキュリティベンダー | ネットワーク監視、防御システムの構築・運用支援 | |
| サイバー法務に詳しい法律事務所 | 法的報告義務への対応、損害賠償リスクの評価、対外交渉の助言 |
信頼できる専門家の選定ポイント
インシデント対応を依頼する専門家は、実績と透明性に基づいて慎重に選ぶ必要があります。被害企業の弱みにつけ込む悪質な業者も存在するため、注意が必要です。
専門家選定のチェックポイント
- 豊富な実績：ランサムウェアをはじめとするサイバーインシデント対応の実績が豊富か。
- 専門資格・所属団体：デジタルフォレンジック関連の資格保有者が在籍しているか、業界団体（JNSAなど）に加盟しているか。
- 明確な費用体系：作業内容や費用に関する見積もりが明確で、事前にきちんと説明されるか。
- 対応の透明性：調査の進捗や作業内容を定期的に報告する体制が整っているか。
特に、データ復旧をうたいながら、被害企業に無断で攻撃者に身代金を支払い、その費用を上乗せして請求する悪質な業者も報告されています。このような業者を避けるためにも、対応の透明性は極めて重要な選定基準となります。
専門家への依頼を円滑に進めるための事前準備
外部の専門家へ調査や対応を依頼する際は、自社のシステムに関する情報を事前に整理しておくことで、初動調査がスムーズに進み、早期解決につながります。
事前に準備しておくべき情報
- ネットワーク構成図：物理・論理構成がわかるもの。
- インシデントの記録：発覚日時、初期症状、エラー画面のスクリーンショットなどを時系列でまとめたもの。
- 資産管理台帳：社内で稼働しているサーバーやPC、ネットワーク機器の一覧。
- 導入しているセキュリティ製品：ウイルス対策ソフトやEDRなどの製品名とバージョン情報。
- 各種ログ：サーバーのアクセスログやファイアウォールの通信ログなど。
今後の感染を防ぐ恒久的な対策
定期的なバックアップ体制の構築
ランサムウェア対策において、最も有効な防御策は、定期的かつ安全なバックアップ体制の構築です。正常なデータさえあれば、身代金を支払うことなくシステムを復旧できます。
強力なバックアップ体制のポイント
- 3-2-1ルールの遵守：データを3つ保持し、2種類の異なる媒体に保存し、そのうち1つは物理的に離れた場所（オフライン）に保管する原則です。
- オフライン・エアギャップ：バックアップ媒体をネットワークから完全に切り離して保管し、ランサムウェアの攻撃対象となることを防ぎます。
- イミュータブル（不変）バックアップ：一度書き込んだデータが一定期間、変更・削除できなくなる仕組みを取り入れ、バックアップデータの破壊を防ぎます。
- 定期的な復元テスト：バックアップが正常に取得できているか、また、いざという時に本当にデータを戻せるかを確認するため、定期的に復元訓練を実施します。
ソフトウェア・機器の脆弱性管理
攻撃者は、修正プログラムが適用されていないソフトウェアや機器の脆弱性を狙ってネットワークに侵入します。これを防ぐには、継続的な脆弱性管理が不可欠です。
脆弱性管理の主な対策
- セキュリティパッチの迅速な適用：OSやソフトウェア、ネットワーク機器のメーカーから提供される修正プログラムを速やかに適用する運用体制を構築します。
- 定期的な脆弱性診断：自社のシステムに未対応の脆弱性がないか、定期的にツールで診断し、リスクを可視化します。
- サポート切れ製品の刷新：メーカーのサポートが終了したOSや機器は、脆弱性が発見されても修正されないため、計画的に新しいものへ入れ替えます。
- 不要なポートの閉鎖：外部に公開する必要のない通信ポートはファイアウォールで確実に閉じ、攻撃の侵入口を減らします。
アクセス権限の最小化と見直し
万が一、攻撃者にネットワーク内への侵入を許した場合でも、被害を最小限に抑えるためにアクセス権限の管理が重要です。
アクセス管理の強化策
- 権限の最小化：従業員には、業務上必要最低限のデータやシステムにのみアクセスできる権限を付与する「最小権限の原則」を徹底します。
- 特権アカウントの厳格な管理：管理者権限を持つアカウントは通常業務での使用を禁止し、必要な場合にのみ一時的に利用する運用とします。
- 多要素認証（MFA）の導入：特にリモートアクセスや重要なシステムへのログインには、ID・パスワードに加えて別の認証要素を必須とし、不正ログインを防ぎます。
- 定期的な権限の見直し：異動や退職に伴い、不要になったアカウントや権限が放置されていないか、定期的に棚卸しを行います。
従業員へのセキュリティ教育の徹底
どれほど強固なシステムを導入しても、従業員のセキュリティ意識が低ければ、そこが侵入の突破口となります。人的なミスを防ぐための継続的な教育が不可欠です。
セキュリティ教育の重要項目
- 標的型メールへの対処：業務関係者を装った巧妙なメールの添付ファイルやURLを安易に開かないよう、見分け方の具体例を周知します。
- パスワード管理の徹底：推測されにくい複雑なパスワードを設定し、使い回しをしないよう指導します。
- 不審な挙動の報告ルール：PCの動作に異常を感じたり、不審なメールを受信したりした場合に、すぐに情報システム部門へ報告するルールを徹底します。
- 実践的な模擬訓練：実際に攻撃を模したメールを送信する「標的型メール訓練」などを定期的に実施し、従業員の対応力を高めます。
よくある質問
身代金は支払うべきですか？
原則として支払うべきではありません。支払ってもデータが復旧される保証はなく、むしろ犯罪組織に資金を提供し、さらなる攻撃を助長する結果となります。また、支払いに応じた企業としてリスト化され、再び標的にされるリスクも高まります。
警察に相談するメリットは何ですか？
警察は最新の攻撃手口や類似事案に関する豊富な情報を保有しており、技術的・法的な観点から的確な助言を受けられます。また、捜査の過程で攻撃グループが使用する暗号の解除ツールに関する情報が得られる可能性もあります。公的機関と連携している姿勢は、取引先などへの説明責任を果たす上でも重要です。
バックアップがない場合の復旧は可能ですか？
復旧できる可能性はあります。セキュリティ企業や法執行機関が連携し、一部のランサムウェアの暗号を解除するツールを無償で公開しています（例：「No More Ransom」プロジェクト）。バックアップがない場合でも諦めず、まずは専門機関に相談することが推奨されます。
取引先や顧客への公表は必要ですか？
情報漏えいの可能性が少しでもある場合、速やかな公表が不可欠です。事実を隠蔽することは、発覚した際の信用の失墜を招き、事業に深刻なダメージを与えます。被害の状況や、関係者が取るべき自衛策などを誠実に伝えることが、信頼関係を維持するために重要です。
個人情報保護委員会への報告義務はありますか？
はい、法的な報告義務があります。ランサムウェア攻撃のように不正なアクセスによって個人データの漏えい、またはその恐れが生じた場合、「個人の権利利益を害するおそれが大きい」事態として、個人情報保護委員会への報告が義務付けられています。発覚後、速やか（概ね3～5日以内）に速報を提出する必要があります。
感染したPCは初期化すれば再利用できますか？
はい、適切に初期化すれば再利用は可能です。OSをクリーンインストールすることで、潜伏しているマルウェアを完全に除去できます。ただし、必ず専門家による証拠保全を終えた後、ネットワークから切り離した状態で作業を行い、最新のセキュリティパッチを適用してから利用を再開してください。
サイバー保険に加入していますが、何をすべきですか？
感染が発覚したら、直ちに保険会社の事故受付窓口へ連絡してください。多くのサイバー保険には、専門の調査会社や弁護士の紹介といった付帯サービスがあり、初期対応を円滑に進めるための支援を受けられます。保険金の請求には調査報告書などが必要になるため、自己判断で対応を進める前に必ず相談することが重要です。
まとめ：ランサムウェア感染時の冷静な初動対応と恒久的な対策
ランサムウェア感染が発覚した場合、最も重要なのはパニックにならず、感染端末の隔離と証拠保全という初動を確実に行うことです。身代金の安易な支払いや自己判断での再起動は、被害を拡大させるだけでなく、データ復旧の保証もないため絶対に避けるべきです。対応は自社のみで抱え込まず、速やかに経営層や関係各所へ報告し、警察やIPA、インシデント対応の専門業者といった外部機関と連携して進めることが不可欠です。復旧後は、侵入経路の特定と脆弱性の解消はもちろん、オフラインバックアップ体制の構築や従業員教育といった恒久的な対策を講じ、再発防止に努めましょう。この記事で紹介した手順は一般的なものですので、実際の対応にあたっては、必ずサイバーセキュリティの専門家へ相談し、個別の状況に応じた助言を仰いでください。
Baseconnect株式会社
サイト運営会社
本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。
当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。
加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。
