ランサムウェア感染時の初動対応｜駆除から復旧までの実務手順

ランサムウェアに感染した場合、その駆除と復旧には冷静かつ正しい手順が求められます。初動対応を誤ると、被害がネットワーク全体に拡大したり、証拠が失われたりする二次被害につながりかねません。この記事では、感染発覚直後の隔離措置から、マルウェアを安全に駆除し、システムを復旧させるまでの具体的なプロセスを体系的に解説します。

駆除作業前の初動対応

感染端末をネットワークから隔離する

ランサムウェア感染の疑いがある場合、最も優先すべき初動対応は、その端末をネットワークから完全に隔離することです。ランサムウェアはネットワークを通じて他の端末やサーバーへ感染を拡大させるため、迅速な隔離が被害を最小限に抑える鍵となります。隔離を怠ると、業務システム全体が停止するような致命的な損害につながる可能性があります。

具体的な隔離手順は以下の通りです。

この際、証拠保全の観点から、端末の電源を落としたり再起動したりしないよう注意が必要です。迅速な隔離措置が、インシデント対応全体の成否を左右します。

被害範囲の特定と関係各所への報告

端末の隔離後、被害がどこまで及んでいるかを正確に特定し、社内外の関係者へ速やかに報告します。被害範囲の全体像を把握することで、復旧の優先順位付けや適切な対応計画の策定が可能になります。まず、組織内の情報機器全体で不審なファイルの有無や身代金要求画面の表示を確認し、同時に各種ログを解析して不正な通信の痕跡を調査します。

状況がある程度判明したら、以下の関係各所へ報告・連絡を行います。

透明性のある情報共有と報告は、企業の社会的信用を維持する上で不可欠です。

証拠保全のため端末の電源は落とさない

ランサムウェアに感染した端末を発見しても、決して電源を切ったり再起動したりしてはいけません。電源を落とすと、PCのメモリ上にのみ記録されている「揮発性データ」が失われてしまいます。このデータには、マルウェアの通信記録や暗号化に使われた一時的な鍵情報など、感染経路の特定やデータ復号の手がかりとなる重要な証拠が含まれています。

また、シャットダウンや再起動によって、暗号化処理が再開・進行し、被害がさらに拡大する危険性もあります。感染端末は電源を入れたままネットワークからだけ切断し、専門家によるフォレンジック調査（デジタル鑑識）に備えて現状を維持することが原則です。正確な証拠保全は、原因究明と再発防止策の策定に不可欠なプロセスです。

社内報告・連携体制の確認とエスカレーション

インシデント発生時は、自己判断で対応を進めず、あらかじめ定められた社内の報告体制に従って、迅速に上長や担当部署へエスカレーションします。初動の遅れや情報の隠蔽は、被害を深刻化させる大きな要因となります。

第一発見者は、直ちに情報システム部門や経営層へ第一報を入れ、組織として定めた事業継続計画（BCP）の発動を促します。各部門が連携し、被害状況をリアルタイムで共有しながら対応方針を決定することで、組織全体で統制の取れたインシデント対応が可能になります。

身代金を支払ってはいけない理由

データが復旧される保証がない

身代金を支払っても、データが復旧される保証は一切ありません。攻撃者は犯罪者であり、支払いに応じても復号キーを提供しない、あるいは不完全な復号ツールしか送らないケースが多数報告されています。実際に、身代金を支払った企業のおおむね3分の1はデータを復旧できていないという調査結果もあります。

さらに、一度支払うと「要求に応じる企業」と見なされ、窃取したデータを公開しないことと引き換えに、追加の金銭を要求される「二重脅迫」のリスクもあります。攻撃者の善意に期待する身代金の支払いは、極めて不確実でハイリスクな選択肢です。

さらなる攻撃の標的と見なされる

一度でも身代金の支払いに応じると、その企業は「金銭を支払いやすい標的」として攻撃者リストに載ることになります。攻撃者グループ間で情報が共有され、同じグループだけでなく、他の犯罪組織からも繰り返し攻撃を受けるリスクが著しく高まります。

支払いに応じたという事実は、セキュリティ対策の脆弱性を自ら露呈するようなものです。根本的な侵入経路や脆弱性を解決しない限り、再び侵入を許すことになります。一時的な解決のために身代金を支払うことは、将来にわたって継続的なサイバー攻撃の脅威を抱え込むことにつながります。

反社会的勢力への資金提供リスク

身代金の支払いは、サイバー犯罪組織やテロリストといった反社会的勢力への直接的な資金提供を意味します。支払われた金銭は、新たなマルウェア開発やサイバー攻撃の資金源として悪用され、犯罪行為を助長する結果につながります。

法的な観点からも、この行為は重大なリスクを伴います。経営陣の善管注意義務違反が問われ、株主代表訴訟に発展する可能性や、米国の経済制裁対象団体への支払いと見なされ、巨額の罰金を科されるおそれもあります。コンプライアンス上、身代金の支払いは決して行うべきではありません。

ランサムウェアの駆除と復旧手順

手順1：感染したマルウェアの種類を特定

駆除作業に着手する前に、まず感染したランサムウェアの種類を正確に特定します。これにより、適切な駆除ツールや復号ツールの選択が可能になります。特定には、主に以下の方法を用います。

自社での特定が難しい場合は、外部のセキュリティ専門機関に調査を依頼することも有効です。

手順2：セキュリティツールでマルウェアを駆除

マルウェアの種類が特定できたら、信頼できるセキュリティツールを使ってシステム内から完全に駆除します。駆除を徹底しないと、システム復旧後にマルウェアが再活動し、被害が再発する危険があります。

作業は、端末をネットワークから完全に隔離したオフライン環境で行います。最新の定義ファイルに更新したアンチウイルスソフトでシステム全体をスキャンし、マルウェア本体や関連ファイルを隔離・削除します。未知のマルウェアに対応するため、不審な挙動を検知する次世代型アンチウイルス（EDRなど）を併用するとより効果的です。駆除後もシステムの動作を監視し、不審な活動が完全に停止したことを確認します。

手順3：バックアップからデータを復元

マルウェアの完全な駆除が確認できたら、事前に取得していたバックアップデータからシステムとデータを復元します。暗号化されたファイルを自力で元に戻すことはほぼ不可能なため、安全なバックアップからの復元が最も確実な事業再開の手段となります。

復元作業の前には、使用するバックアップデータ自体がマルウェアに感染していないかを必ず確認してください。ネットワークから完全に隔離された場所に保管されていたデータであれば、安全性が高いと判断できます。業務への影響を最小限に抑えるため、基幹システムなど優先度の高いシステムから段階的に復元していくことが推奨されます。

手順4：システムのクリーンインストールと再設定

セキュリティツールで駆除しても、OSの深部にマルウェアが潜んでいる可能性はゼロではありません。最も安全で確実な復旧方法は、端末を初期化し、OSをクリーンインストール（再インストール）することです。

これにより、潜伏していたマルウェアや攻撃者が設置したバックドア（裏口）を完全に除去できます。OSの再インストール後は、ネットワークに接続する前に最新のセキュリティパッチをすべて適用し、脆弱性を解消します。その後、業務に必要なアプリケーションを再導入し、セキュリティソフトの設定やパスワードの再設定、多要素認証の有効化など、セキュリティ対策を徹底した上で業務環境を再構築します。

駆除・復号に役立つツール

OS標準搭載のセキュリティ機能

WindowsなどのOSには、標準でセキュリティ機能が搭載されており、ランサムウェア対策に活用できます。追加コストなしで利用できるため、基本的な防御策として有効です。

ただし、巧妙なランサムウェアはこれらの機能を無効化することがあるため、標準機能だけに頼らず、他の対策と組み合わせることが重要です。

主要ベンダー提供の駆除ツール

セキュリティ専門企業が開発・提供する専用の駆除ツールは、ランサムウェア対策に非常に効果的です。これらのベンダーは最新の脅威を常に分析しており、未知のマルウェアに対しても高い検知・駆除能力を持ちます。

多くのツールは、単にマルウェアを削除するだけでなく、改ざんされたシステム設定の修復や不正通信の遮断といった機能も備えています。法人向けの統合セキュリティ製品の一部として提供されるほか、個人向けに無償で配布されているツールもあります。信頼できるベンダーのツールを適切に利用することが、被害拡大の防止につながります。

復号ツール検索プロジェクトの活用

暗号化されたファイルの復元を試みる手段として、「No More Ransom」プロジェクトのような国際的な取り組みを活用できます。このプロジェクトは、法執行機関とセキュリティ企業が連携し、無償の復号ツールを公開しているWebサイトです。

サイト上のフォームに暗号化されたファイルや脅迫文をアップロードすると、感染したランサムウェアの種類を特定し、対応する復号ツールが存在するかを検索できます。ツールが見つかれば、身代金を支払うことなくデータを復旧できる可能性があります。ただし、すべてのランサムウェアに対応しているわけではないため、有効な選択肢の一つとして確認すべき手段と位置づけましょう。

再発防止のための恒久対策

定期的なバックアップと復旧テスト

ランサムウェア対策において最も重要な恒久対策は、データの定期的なバックアップです。バックアップデータは、本番環境のネットワークから物理的・論理的に完全に隔離されたオフライン環境（外付けHDDやクラウドなど）に保管することが鉄則です。これにより、バックアップデータ自体の暗号化を防ぎます。

また、バックアップを取得しているだけでは不十分です。有事の際に確実にデータを復元できるかを確認するため、定期的な復旧テストを実施し、手順や所要時間を確認しておくことが不可欠です。これにより、インシデント発生時にも冷静かつ迅速な対応が可能になります。

OS・ソフトウェアの脆弱性対策

攻撃者は、OSやソフトウェアに存在するセキュリティ上の欠陥（脆弱性）を突いてシステムに侵入します。そのため、ベンダーから提供されるセキュリティ更新プログラム（パッチ）を速やかに適用し、脆弱性を解消することが極めて重要です。

特に、テレワークで利用されるVPN機器やリモートデスクトップの脆弱性は、攻撃の主な標的となります。また、サポートが終了した古いOSやソフトウェアは、新たな脆弱性が発見されても修正されないため、直ちに使用を中止し、最新のシステムへ移行する必要があります。

従業員へのセキュリティ教育の実施

ランサムウェアの主な侵入経路の一つは、従業員が不審なメールの添付ファイルを開いたり、悪意のあるリンクをクリックしたりする人的なミスです。このリスクを低減するため、全従業員を対象とした継続的なセキュリティ教育が不可欠です。

教育では、標的型攻撃メールの見分け方や、業務に関係のないWebサイトの閲覧リスクなどを具体的に指導します。また、実際に攻撃を模したメールを送信する「標的型攻撃メール訓練」を定期的に行い、インシデント発生時の報告ルールを徹底させることで、組織全体のセキュリティ意識を高めます。

侵入検知・防御システム（EDR等）の導入

従来のアンチウイルスソフトだけでは、巧妙化するランサムウェアの侵入を完全に防ぐことは困難です。そこで有効なのが、PCやサーバーなど（エンドポイント）の不審な挙動を常時監視・検知するEDR（Endpoint Detection and Response）のようなシステムの導入です。

EDRは、ファイルの不審な暗号化や不正なプログラム実行といったランサムウェア特有の動きを検知すると、管理者に警告すると同時に、感染端末を自動でネットワークから隔離するなどの防御措置を実行します。これにより、被害の拡大を未然に防ぎ、組織全体のサイバー攻撃に対する耐性（レジリエンス）を向上させます。

インシデント対応の振り返りと報告書作成のポイント

インシデントが収束した後、必ず対応プロセス全体を振り返り、報告書として記録を残すことが重要です。これにより、組織の知見として蓄積され、将来の対策に活かすことができます。

報告書には、以下の項目を客観的な事実に基づいて記載し、課題を分析して具体的な再発防止策を策定します。

よくある質問

Q. 警察や関係機関への報告は必要ですか？

はい、強く推奨されます。ランサムウェア攻撃は犯罪行為であり、警察のサイバー犯罪相談窓口に相談・通報することで、捜査協力や専門的な助言を得られます。また、個人情報の漏えいが疑われる場合は、個人情報保護法に基づき、個人情報保護委員会への報告が義務付けられています。報告を怠ると罰則の対象となる可能性があります。さらに、情報処理推進機構（IPA）に情報提供することで、他の企業への注意喚起にもつながります。

Q. バックアップがない場合、データ復旧は困難ですか？

はい、極めて困難です。現在のランサムウェアは非常に強力な暗号化技術を使用しており、攻撃者が持つ復号キーがなければ、データを元に戻すことは事実上不可能です。一部のランサムウェアについては無償の復号ツールが公開されていますが、対象は限定的であり、新種の攻撃には対応していません。バックアップがない場合は、データが失われたことを前提に、事業継続計画を見直す必要があります。

Q. 身代金を支払ってしまったらどうすべきですか？

万が一支払ってしまった場合は、直ちに攻撃者との通信をすべて遮断してください。追加の要求や脅迫を受ける「二重被害」のリスクが非常に高いためです。速やかに警察へ相談し、支払い経緯などの情報を提供してください。同時に、弁護士などの専門家と連携し、法令違反のリスクや今後の対応について検討する必要があります。支払いの事実を隠蔽せず、二次被害の防止とセキュリティ対策の再構築に努めることが重要です。

Q. サイバー保険に加入している場合、連絡は必要ですか？

はい、感染が発覚した時点ですぐに保険会社へ連絡が必要です。多くのサイバー保険では、インシデント対応にかかる調査費用や復旧費用が補償対象となります。ただし、保険会社への事前連絡なしに独自で業者に依頼すると、補償の対象外となる場合があるため注意が必要です。保険会社によっては、インシデント対応を支援する専門家を紹介してくれる場合もあるため、早期の連携が被害の極小化につながります。

まとめ：ランサムウェアの正しい駆除手順と再発防止のポイント

本記事では、ランサムウェアの駆除と復旧に関する一連の手順を解説しました。感染発覚時は、まず端末をネットワークから隔離し、証拠を保全することが初動の鍵です。身代金の支払いは復旧を保証せず、再攻撃のリスクを高めるため、安全なバックアップからの復元を基本方針とすべきです。マルウェアの駆除後は、OSのクリーンインストールが最も安全な復旧策となります。万が一の事態に備え、平時からバックアップ体制や報告ルートを確認し、インシデント発生時には速やかに関係各所へ連携することが被害を最小限に抑えます。自社のみでの対応が困難な場合は、躊躇なく外部のセキュリティ専門家や公的機関に相談してください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ