ランサムウェア感染時の対処法｜被害を広げない初動と復旧までの手順

万が一、自社がランサムウェアに感染した、またはその疑いがある場合、パニックに陥らず冷静な対応が求められます。しかし、初動を誤ると証拠を失い、被害をさらに拡大させてしまう危険性があります。この記事では、ランサムウェア感染発覚後の被害を最小化するため、やってはいけないこと、具体的な初動対応、そして復旧までの手順を時系列で詳しく解説します。

感染発覚時にすべきでないこと

感染端末のシャットダウンや再起動

ランサムウェアの感染が疑われる場合、慌てて端末の電源を切ったり再起動したりしてはいけません。システムの停止は、原因究明に必要なデジタルフォレンジック（デジタル鑑識）上の証拠を失うリスクや、被害をさらに悪化させる危険性を伴います。

感染に気づいた際は電源を入れたままネットワークから隔離し、現状を維持することが証拠保全の観点から極めて重要です。

自己判断による安易な身代金支払い

攻撃者から身代金を要求されても、組織の自己判断で安易に支払いに応じることは原則として避けるべきです。支払いがデータの完全な復旧を保証するものではなく、多くの重大なリスクを伴います。

身代金の支払いは問題解決にはならず、かえって事態を複雑化させます。警察や専門機関に相談し、適切な対応をとることが不可欠です。

調査前のバックアップデータ復元

インシデントの全体像が不明な段階で、焦ってバックアップデータからシステムを復元してはいけません。原因を特定せずに復旧を急ぐと、被害の再発や証拠隠滅につながる危険があります。

システムのリストアは、専門家によるフォレンジック調査が完了し、ネットワーク環境の安全性が確保された後、計画的に実行する必要があります。

証拠（ログ）の不用意な削除

感染したシステム上のログや不審なファイルを、自己判断で削除・整理することは厳禁です。これらは攻撃の全容解明、法的対応、再発防止策の策定に不可欠な極めて重要な証拠となります。

業務再開を急ぐあまり、暗号化されたファイルや脅迫文などを削除してしまうと、以下のような不利益が生じます。

データを消去せず、専門家の指示に従って現状をそのまま保全し、調査に備えることが重要です。

被害拡大を防ぐ初動対応フロー

Step1：感染端末のネットワーク隔離

ランサムウェア感染が疑われる際の最初の行動は、感染端末を直ちにネットワークから隔離することです。ランサムウェアはネットワークを介して他の端末やサーバーへ自己増殖し、被害を瞬時に拡大させるため、一刻も早い遮断が求められます。

この際、端末の電源は切らずに通信だけを遮断することで、メモリ上の重要な証拠データを保全しつつ、被害の拡大を防ぐことができます。

Step2：関係各所への報告と連携

端末の隔離後、速やかに組織内外の関係各所へ状況を報告し、連携体制を構築します。インシデント対応は情報システム部門だけでなく、経営層や外部専門機関を含む組織全体での対応が不可欠です。

報告には、侵害された可能性のある社内メールなどを使わず、事前に定めた安全な代替連絡手段を用いることが重要です。

Step3：被害状況の把握と証拠保全

連携体制を構築しつつ、被害の正確な全体像を把握し、デジタル証拠を保全します。客観的な状況評価がなければ、適切な復旧計画は立てられません。

脅迫メッセージの画面キャプチャや暗号化されたファイル一覧の記録も、後の警察への届け出や保険請求時に役立ちます。

経営層への報告におけるポイントと判断材料の整理

経営層への報告では、技術的な専門用語を避け、事業継続への影響という観点から、簡潔かつ客観的に伝えることが重要です。経営層はビジネス視点での迅速な意思決定を求められています。

報告の際は、以下のポイントを整理して提示し、経営判断を支援します。

事実と推測を明確に区別して報告することで、経営層による適切な危機管理を後押しします。

データ復旧と事業再開の選択肢

安全なバックアップからのデータ復元

ランサムウェア被害から復旧する最も確実かつ推奨される方法は、安全性が確認されたバックアップデータを用いることです。これにより、身代金を支払うことなく事業を正常な状態に戻すことが可能になります。

復元は、以下の手順で慎重に進める必要があります。

ネットワークから物理的に隔離されたオフラインバックアップや、改変不可能な設定のバックアップは特に安全性が高いと言えます。

復号ツールの利用可能性と注意点

バックアップデータが存在しない、または利用できない場合、公的機関などが提供する無償の復号ツールでデータを復旧できる可能性があります。ただし、すべてのランサムウェアに対応するツールはなく、利用には注意が必要です。

「No More Ransom」プロジェクトなどのウェブサイトでは、一部のランサムウェアに対する復号ツールが公開されています。利用を検討する際は、以下の点に留意してください。

復号ツールは有効な選択肢の一つですが、その限界とリスクを理解し、専門家の助言を得ながら慎重に進めるべきです。

身代金支払いの是非と重大なリスク

バックアップからの復旧も、復号ツールの利用も不可能な場合でも、身代金の支払いは極めて高いリスクを伴うため、原則として応じるべきではありません。支払いは問題の解決を保証せず、かえって深刻な二次被害を招く可能性があります。

身代金の支払いは、サイバー犯罪を助長する行為でもあります。いかなる状況でも安易な支払いは避け、警察や専門家と連携して対応することが求められます。

システム復旧までの暫定的な事業継続（BCP）の進め方

システムの完全復旧には長期間を要するため、その間は事業継続計画（BCP）に基づき、代替手段で業務を維持する必要があります。事業の完全停止は、顧客離れや財務的損失を招き、企業の存続を危うくします。

事前に定めた計画に従い、情報システムが使えない状況を想定した代替プロセスを起動します。例えば、手作業や紙媒体による業務フローへの切り替え、安全が確認されたクラウドサービスの活用、顧客対応窓口の設置などを行い、事業への影響を最小限に抑えます。

再発防止のために講じるべき恒久対策

セキュリティ体制の見直しと強化

インシデント収束後、同様の被害を繰り返さないために、組織全体のセキュリティ体制を抜本的に見直し、多層的な防御を再構築します。一度侵入を許した環境には、未知の脆弱性が残っている可能性があるためです。

単一の対策に依存せず、複数の防御壁を組み合わせることで、組織のセキュリティ耐性を高めます。

バックアップ計画の再構築

データ保護の最後の砦であるバックアップは、攻撃者が破壊を狙う主要な標的です。従来の方式を見直し、ランサムウェアに耐えうる堅牢なバックアップ計画を再構築する必要があります。

これにより、いかなる事態でも事業を再開できる確実なデータ保護基盤を確立します。

アクセス権限の最小化と管理徹底

内部での被害拡大を防ぐため、「最小権限の原則」を徹底し、ユーザーやシステムに付与するアクセス権限を業務上必要最小限に絞ります。過剰な権限を持つアカウントが乗っ取られると、被害が全社に拡大するからです。

インシデント対応計画の策定

将来のサイバー攻撃に備え、発見から復旧までの手順を定めたインシデント対応計画を策定し、全社で共有することが不可欠です。事前の計画がなければ、有事の際に初動が遅れ、被害が致命的に拡大する恐れがあります。

ランサムウェア対応のよくある質問

警察にはどの段階で相談すべきか？

被害を認知し、ネットワーク隔離などの初動対応を終えた直後、可能な限り早い段階で相談すべきです。

早期に相談することで、警察が持つ最新の攻撃手口や類似事例に関する情報を得られ、その後の対応方針を立てる上で有益な助言を受けられます。各都道府県警察本部のサイバー犯罪相談窓口へ連絡してください。捜査に必要な証拠の保全方法についても指導が受けられます。被害の大小にかかわらず通報することが、犯罪組織の特定や社会全体の被害防止につながります。

バックアップごと暗号化されたら？

バックアップデータまで暗号化された場合、自力での復旧は極めて困難です。直ちに外部のセキュリティ専門機関へ調査を依頼してください。

高度な暗号化を独力で解除することはほぼ不可能です。不用意な操作は、わずかに残された復元の可能性を完全に断ってしまう危険があります。まずは専門家の支援を求めると同時に、公的機関が提供する無償の復号ツールに該当するものがないかを確認します。それと並行して、事業を継続するための代替策を速やかに検討・実行する必要があります。

システムの完全復旧までの期間は？

被害規模やバックアップの状況によりますが、数週間から数か月単位の長期間に及ぶのが一般的です。警察庁の調査では、約半数の企業が復旧に1か月以上を要しています。

復旧作業は、単にデータを戻すだけではありません。「フォレンジック調査」「ネットワークの安全確保」「システムの再構築」「段階的なデータリストア」「再発防止策の導入」といった多くの工程を慎重に進める必要があり、相応の時間がかかります。復旧には長期間を要することを前提に、事業継続計画（BCP）を準備しておくことが重要です。

加入しているサイバー保険は使えるか？

ランサムウェア被害に対してサイバー保険を利用できる可能性は高いですが、保険金が支払われるには一定の条件があります。

一般的に、フォレンジック調査費用、システム復旧費用、事業中断による損失、損害賠償などが補償対象となります。しかし、基本的なセキュリティ対策を怠っていたなど、企業側に重大な過失があった場合は保険金が支払われないことがあります。また、身代金そのものは補償対象外となる契約がほとんどです。保険が適用されるか否か、平時から契約内容と適用条件を確認しておくことが重要です。

顧客・取引先への公表はどう行うか？

被害の全容がある程度判明した段階で、迅速かつ透明性をもって公表すべきです。情報の隠蔽や対応の遅れは、企業の社会的信用を大きく損ないます。

公表時には、発生日時、判明している事実、情報漏洩の可能性、講じている対策などを正確に伝えます。情報が不確定な段階でも、まずは第一報として事実を公表し、調査の進展に応じて継続的に情報を提供していく姿勢が求められます。専用の問い合わせ窓口を設置し、顧客や取引先の不安解消に努めることが、信頼回復への第一歩となります。

調査・復旧を依頼する外部専門家はどう選ぶべきか？

ランサムウェア対応の実績が豊富で、高度な技術力を持つ専門家を選定することが極めて重要です。業者選定を誤ると、原因究明が不十分なまま復旧を進めてしまい、被害が再発するリスクがあります。

有事になってから探すのでは遅いため、平時から信頼できるセキュリティベンダーと契約関係を結んでおくことが理想的です。

まとめ：ランサムウェア感染時の被害を最小化する対応フロー

ランサムウェア感染が発覚した際は、まず端末のネットワーク隔離と関係各所への報告という初動対応が不可欠です。その後の対応は経営判断そのものであり、特に身代金の支払いは、データが復旧される保証がなく再攻撃を誘発するリスクも高いため、原則として応じるべきではありません。最も確実な復旧方法は安全なバックアップからの復元ですが、それ自体が攻撃対象となるため、オフラインでの保管など堅牢な計画が求められます。被害の全容把握と適切な復旧を進めるには、デジタルフォレンジックなど高度な知見が必要となるため、速やかに外部の専門家へ相談し、連携して対応を進めることが重要です。本記事で解説した手順は一般的な対応フローですが、実際の状況に応じた最善の判断を下すためにも、必ず専門家の助言を仰いでください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ