ランサムウェア感染時の初動対応｜被害を抑える手順と7つの禁止事項

自社がランサムウェアに感染したかもしれないと緊急事態に直面している場合、最初の行動が被害の規模を決定づけます。パニック状態での誤った初動は、データの完全な損失や事業停止期間の長期化など、事態を致命的に悪化させる危険があります。被害を最小限に抑えるには、確立された手順に従い、冷静に対応することが不可欠です。この記事では、ランサムウェア感染発覚直後に実行すべき具体的な初動対応と、絶対にやってはいけない禁止事項を時系列で詳しく解説します。

【緊急】まず実行すべき初動対応

感染端末のネットワーク隔離

ランサムウェアの感染が疑われる端末を発見した場合、被害の拡大を防ぐため、直ちにネットワークから物理的に隔離することが最優先です。多くのランサムウェアは、感染端末を起点にネットワーク内の他の機器へ自己増殖する機能を持つため、初動の速さが被害の規模を決定づけます。

この際、原因究明に不可欠なメモリ上のログ（揮発性データ）を失わないよう、端末の電源は絶対に落とさないでください。通信の遮断のみを迅速に行うことが重要です。

関係各所への第一報と連絡体制の確立

ネットワーク隔離と並行して、あらかじめ定められた緊急連絡網に基づき、関係各所へ速やかに第一報を入れ、全社的な対応体制を確立します。サイバーインシデント対応は、情報システム部門だけでなく、経営層、法務、広報など、部門横断での連携が不可欠です。

報告の際は、以下の情報を簡潔にまとめ、安全な通信手段（社内ネットワークやメール以外）を用いて共有します。攻撃者に内部の対応を傍受されるリスクを避けるためです。

ログ等の証拠保全の実施

感染端末の隔離後、攻撃経路や被害範囲の特定に不可欠なデジタル証拠を保全します。この作業は、後の調査（デジタル・フォレンジック）や法的手続きの根拠となるため、極めて重要です。保全作業は、データの改変を防ぐため、専門家の指示のもとで慎重に進める必要があります。

証拠保全を誤ると、原因究明が不可能になるだけでなく、サイバー保険の請求や行政への報告に支障をきたす恐れがあります。

被害範囲の初期調査と特定

証拠保全と並行し、ランサムウェアによる被害がどこまで及んでいるかを迅速に特定します。影響範囲が不明確では、事業継続に関する適切な経営判断が下せないためです。特に、機密情報を盗み出してから暗号化する「二重脅迫型」の攻撃を想定し、情報漏洩の有無も調査します。

混乱を防ぐための社内情報統制

インシデント対応の初期段階では、不正確な情報が拡散し、社内外に混乱が広がるのを防ぐため、厳格な情報統制が求められます。従業員個人の判断によるSNSなどへの投稿は、企業の信用を著しく損なうリスクがあります。

適切な情報統制により、対応チームが作業に集中できる環境を確保し、風評被害などの二次被害を防ぎます。

サイバー保険の適用条件確認と事故報告

被害の概況が判明次第、加入しているサイバー保険の契約内容を確認し、保険会社へ速やかに事故報告を行います。多くの保険契約には、事故発生から一定期間内に報告しなければ補償が受けられないという通知義務条項が定められています。

報告の際は、発生日時、被害の状況、実施済みの初動対応などを伝え、保険会社の指示に従います。保険会社によっては、フォレンジック調査会社や弁護士といった専門業者を紹介するサービスが付帯している場合があるため、早期に連携することで、調査や復旧にかかる費用負担を軽減し、専門的な支援を受けることが可能になります。

被害拡大を防ぐ7つの禁止事項

1. 感染端末・サーバーの再起動

感染が疑われる端末やサーバーを安易に再起動することは絶対に避けてください。再起動が引き金となってデータの暗号化が開始・加速されたり、システムの復旧を妨げるマルウェアも存在します。また、再起動すると、攻撃経路の特定に不可欠なメモリ上の情報（揮発性データ）が全て消去され、原因究明が著しく困難になります。必ず電源を入れたままネットワークから隔離し、専門家の指示を待ってください。

2. 安易なバックアップからの復元

業務を急いで復旧させようと、安全性を確認せずにバックアップデータから復元を試みるのは危険です。攻撃者はネットワークに長期間潜伏し、バックアップデータ自体にマルウェアを仕込んでいる場合があります。汚染されたバックアップから復元すると、クリーンなはずのシステムにマルウェアを再感染させることになり、被害を繰り返す原因となります。復元作業の前には、必ずバックアップデータの健全性を専門ツールで入念に検査する必要があります。

3. 自己判断での復号ツールの使用

インターネット上で見つかる出所不明な復号ツールの使用は極めて危険です。これらの多くは、攻撃者が別のマルウェアを仕込むために用意した偽物であったり、効果がないばかりかデータを完全に破壊してしまったりする恐れがあります。復号を試みる場合は、「No More Ransom」プロジェクトなど、警察機関や信頼できるセキュリティ機関が提供する正規のツールや情報に限定し、必ず専門家の助言のもとで進めてください。

4. 攻撃者との直接的な接触・交渉

専門知識のない担当者が攻撃者と直接接触・交渉することは厳禁です。相手は犯罪組織であり、交渉に長けている場合もあり、不用意な発言から企業の弱みを引き出され、交渉を著しく不利に進められるリスクがあります。また、企業の対応状況が外部に漏洩し、レピュテーション（評判）を大きく損なうことにもつながります。攻撃者からの接触には一切応じず、対応は警察や交渉を専門とする弁護士に一任してください。

5. 身代金要求への即時支払い

事業停止による焦りから身代金を支払うという判断は、最も避けるべき選択肢です。支払ってもデータが復元される保証はなく、犯罪組織に資金を提供することで、さらなるサイバー犯罪を助長する結果となります。また、「支払いに応じる企業」としてリスト化され、別の攻撃グループから繰り返し狙われるリスクが高まります。さらに、テロ資金供与対策法などの法令に抵触する可能性もあり、企業に多大な法的・社会的リスクをもたらします。

6. 社内での安易な情報共有・拡散

インシデント発生直後、未確認の情報を社内のチャットやメールで安易に共有・拡散してはいけません。不正確な情報が従業員の不安やパニックを煽り、冷静な初動対応を阻害します。また、従業員が善意でSNSなどに投稿した情報が、結果的に外部への情報漏洩となり、企業の信用を失墜させる原因にもなります。情報は公式な発表に一本化し、厳格に管理する必要があります。

7. 証拠となりうるデータの削除・上書き

システムを正常な状態に早く戻したいという思いから、感染ファイルを削除したり、端末をフォーマットしたりする行為は絶対にしないでください。感染ファイルや各種ログは、攻撃手口を解明し、再発防止策を講じるための極めて重要なデジタル証拠です。これらの証拠が失われると、侵入経路の特定が不可能になるだけでなく、警察への被害届提出やサイバー保険の請求手続きにも支障が生じます。専門家による調査が完了するまで、被害状況をありのままの状態で保全することが鉄則です。

事業復旧に向けた具体的な計画

外部専門家（調査会社・弁護士）との連携

事業復旧を正確かつ迅速に進めるためには、自社の力だけでなく、高度な専門知識を持つ外部パートナーとの連携が不可欠です。技術的な問題と法的な問題を同時に解決していく必要があります。

これらの専門家と緊密に連携することで、ステークホルダーへの説明責任を果たしつつ、復旧プロセスを適切に進めることができます。

詳細な被害調査と原因究明

システムの本格的な復旧に着手する前に、被害の全容と根本原因を徹底的に究明します。原因が特定されないままシステムを再稼働させると、攻撃者が仕掛けたバックドア（裏口）が残存しており、即座に再攻撃を受けるリスクが非常に高いからです。

この調査結果は、効果的な再発防止策を策定するための基礎情報となります。

バックアップの健全性確認と復旧手順

原因が特定され、ネットワークの安全が確保された後、バックアップデータからの復旧作業を開始します。ただし、バックアップデータ自体がマルウェアに汚染されている可能性があるため、慎重な手順が求められます。

システムのクリーンアップと再構築

感染が確認された全ての端末やサーバーは、マルウェアを完全に排除するため、クリーンな状態に再構築します。単にファイルを削除するだけでは、見えない場所に不正プログラムが残存するリスクがあります。

外部への報告と情報開示

個人情報保護委員会への報告義務

ランサムウェア攻撃により個人データの漏洩、またはその恐れが生じた場合、個人情報保護法に基づき、個人情報保護委員会への報告が義務付けられています。これは「不正の目的をもって行われた漏えい等」に該当するためです。

法令遵守の観点から、法務部門や弁護士と連携し、定められた期間内に誠実に対応することが不可欠です。

警察への通報・相談の手順

サイバー犯罪の被害者として、管轄の警察署または各都道府県警察のサイバー犯罪相談窓口へ速やかに通報・相談してください。早期の通報は、証拠保全や犯人特定の可能性を高めるだけでなく、他の企業への注意喚起にもつながります。通報したからといって、直ちにサーバーを押収されるなど、事業継続が困難になることは通常ありません。警察は企業の状況に配慮しながら捜査を進めます。

取引先・顧客への適切な情報開示

情報漏洩の可能性やシステム障害により影響が及ぶ取引先や顧客に対しては、速やかかつ誠実な情報開示が求められます。事実を隠蔽したり、公表が遅れたりすると、企業の信用を根本から失うことになります。

身代金支払いの重大なリスク

データが復旧される保証はない

身代金を支払っても、データが復元される保証は一切ありません。相手は犯罪者であり、約束を守る義務も意思もありません。実際、身代金を支払ったにもかかわらず、復号キーが送られてこなかったり、送られてきたキーが機能しなかったりするケースが多発しています。身代金の支払いは、単に資金を失うだけの非常にリスクの高い賭けです。

反社会的勢力への資金提供となる可能性

身代金の支払いは、サイバー犯罪組織やテロリストといった反社会的勢力への直接的な資金提供につながります。これにより、彼らの犯罪活動を助長し、新たな被害を生み出す負の連鎖に加担することになります。また、テロ資金供与対策法などの法令に抵触し、企業自身が経済制裁や処罰の対象となるリスクもあります。

再攻撃の標的になるリスクの増大

一度でも身代金を支払った企業は、「脅せば支払う企業」として犯罪者グループのリストに載り、再攻撃の標的となるリスクが飛躍的に高まります。異なる攻撃グループから次々と狙われたり、同じ攻撃者からシステム内にバックドアを残されたまま、後日再び身代金を要求されたりする事例も報告されています。支払いに応じることは、長期的なセキュリティリスクを自ら高める行為に他なりません。

法的・倫理的な問題点

身代金の支払いは、企業のガバナンス上、深刻な法的・倫理的問題をはらんでいます。経営判断として犯罪者に資金を提供することは、株主の利益を損なうとして善管注意義務違反に問われ、株主代表訴訟に発展する可能性があります。また、顧客情報が漏洩した状況で、被害者への対応よりも犯罪者への支払いを優先したと見なされれば、厳しい社会的非難を浴びることは避けられません。

恒久的な再発防止策

インシデント対応体制（CSIRT）の見直し

今回のインシデントを教訓に、組織内のインシデント対応体制（CSIRT: Computer Security Incident Response Team）を抜本的に見直し、実効性を高める必要があります。指揮命令系統を明確にし、有事の際に各部門が何をすべきかを具体的に定めたマニュアルを整備します。

セキュリティ対策の脆弱性診断と強化

システムの復旧後、ネットワーク全体のセキュリティレベルを向上させるため、技術的な対策を多層的に強化します。攻撃者の手口は常に進化しているため、継続的な対策が不可欠です。

全従業員を対象としたセキュリティ教育

技術的な対策だけでは防ぎきれない、人的な脆弱性を最小化するために、全従業員を対象とした継続的なセキュリティ教育が不可欠です。多くの攻撃は、従業員の不用意な行動が起点となるためです。

従業員一人ひとりが「セキュリティの最前線である」という意識を持つ組織文化を醸成することが、最も効果的な防御策となります。

よくある質問

感染が疑われる初期兆候とは？

ランサムウェア感染の初期には、以下のような兆候が現れることがあります。これらの現象に気づいたら、直ちに端末をネットワークから隔離し、システム管理者に報告してください。

バックアップも暗号化された場合の対処法

ネットワークに接続されていたバックアップサーバーごと暗号化されてしまった場合、自力での復旧は非常に困難です。その際は、以下の手順を検討してください。

警察への通報・相談の適切なタイミング

社内で被害の事実を確認し、感染端末の隔離といった初動対応を終えた後、できる限り速やかに警察へ通報・相談することが推奨されます。被害の全容が解明されていなくても、早期に相談することで、捜査機関から専門的な助言を得られる場合があります。また、企業として社会的責任を果たす姿勢を示すことにもつながります。

サイバー保険の適用範囲と注意点

サイバー保険は、インシデント対応で発生する様々な費用を補償します。ただし、契約内容によって範囲は異なるため、事前の確認が重要です。

まとめ：ランサムウェア被害を最小化する初動対応と復旧計画

ランサムウェア感染が疑われる場合、初動対応が被害の規模を左右します。最優先すべきは感染端末のネットワーク隔離と、原因究明に不可欠なログなどの証拠保全です。自己判断による端末の再起動や安易なバックアップからの復元は、証拠を消し去り被害を拡大させる危険があるため、絶対に行ってはいけません。また、身代金の支払いはデータが復旧される保証がなく、再攻撃のリスクを高めるため、原則として応じるべきではありません。被害の初期調査と並行して、速やかに警察、サイバー保険会社、そしてフォレンジック調査や法務を支援する外部専門家へ連絡し、連携して対応を進めることが極めて重要です。本記事で解説した内容は一般的な手順であり、個別の事案に最適な対応を行うためには、必ず専門家の具体的な助言を仰いでください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ