はじめに
ランサムウェア被害が発覚した場合、企業はまず被害をこれ以上広げないための初動対応を行うことが重要です。
「突然ファイルが開けなくなった」
「サーバー上のデータが暗号化されている」
「身代金を要求するメッセージが表示された」
このような状況が発生した場合、ランサムウェアに感染している可能性があります。
ランサムウェア被害が発生した直後は、どうしても「早くシステムを元に戻したい」と考えてしまいます。
しかし、ここで慌てて端末の電源を切ったり、初期化したりすると、攻撃の痕跡や調査に必要な情報が失われる可能性があります。
ランサムウェア被害では、最初の対応がその後の被害範囲の特定や復旧に大きく影響します。
この記事では、企業がランサムウェアに感染した、または感染が疑われる場合に、何をすべきかを順番に解説します。
ランサムウェア被害発覚後にまず行うこと
被害を確認したら、まず重要なのは「復旧」ではなく、「被害をこれ以上広げないこと」です。
1. 感染した端末をネットワークから隔離する
感染が疑われるパソコンやサーバーは、可能な限り速やかにネットワークから切り離します。
例えば、次のような対応です。
- LANケーブルを抜く
- Wi-Fi接続を切る
- ネットワーク側で通信を遮断する
ランサムウェアによっては、1台の端末から社内ネットワークを通じて別の端末やサーバーへ被害が広がる可能性があります。
警察庁も、感染したパソコン等についてLANケーブルを抜く、無線接続をオフにするなどしてネットワークから隔離するよう案内しています。
2. むやみに電源を切らない
ここは特に注意が必要です。
「感染したので、とりあえずパソコンの電源を切る」という対応は避けた方がよい場合があります。
端末のメモリやログなどには、攻撃経路や攻撃者の行動を調査するために必要な情報が残っている可能性があるためです。
警察庁やIPAも、調査に必要なログや証拠が失われる可能性があることから、安易に電源を落とさないよう案内しています。
ネットワークから隔離したうえで、その後の対応について専門家へ相談することが重要です。
3. ファイルやログを削除しない
ランサムウェアにより作成された脅迫文、暗号化されたファイル、不審なメール、ログなどを削除しないようにします。
これらは、次のような点を調べる手掛かりになります。
- どこから侵入されたのか
- いつ侵入されたのか
- どの端末まで侵害されたのか
- 情報が外部へ持ち出された可能性があるか
IPAでも、ランサムウェア発生時には証拠保全が必要であり、メールやファイルを削除しないことなどを初動対応例として挙げています。
ランサムウェア被害時の社内対応体制を立ち上げる
端末を隔離したら、担当者だけで対応を続けるのではなく、社内でインシデント対応体制を立ち上げます。
情報システム部門だけではなく、状況に応じて次のような関係者への共有が必要になります。
- 経営層
- セキュリティ担当
- 法務担当
- 広報担当
- 個人情報保護担当
- 事業部門
特にランサムウェア被害では、「システムを止めるか」「取引先へ連絡するか」「外部へ公表するか」といった経営判断が短時間で必要になる場合があります。
IPAも、被害発生時には経営者への報告、対応体制の立ち上げ、ネットワーク遮断などの初動対応を行うことを示しています。
この段階から、次のような内容を時系列で記録しておくことも重要です。
- いつ被害を発見したか
- 誰が何を確認したか
- どの端末を隔離したか
- どのような判断をしたか
ランサムウェア被害の範囲を調査する
次に必要なのが、被害範囲の確認です。
確認したいのは、単に「どのファイルが暗号化されたか」だけではありません。
現在のランサムウェア攻撃では、データを暗号化する前に企業内部の情報を窃取し、「公開されたくなければ金銭を支払え」と要求する二重恐喝も行われています。
そのため、次のような点を調査します。
- 感染した端末
- 感染したサーバー
- 侵入経路
- 攻撃が始まった時期
- 不正利用されたアカウント
- アクセスされたシステム
- 外部へ送信された可能性のあるデータ
- 個人情報や機密情報が含まれていたか
ランサムウェアの暗号化を確認した時点では、すでに攻撃者が一定期間ネットワーク内部で活動していた可能性もあります。
ランサムウェア被害では、「暗号化された端末だけを直せば終わり」と考えず、侵入経路や情報持ち出しの有無まで確認することが重要です。
ランサムウェア被害では外部の専門会社への相談も検討する
自社だけで原因や被害範囲を特定することが難しい場合は、インシデント対応やデジタルフォレンジックを行う専門会社への相談を検討します。
専門的な調査では、次のような内容を確認します。
- 侵入経路の特定
- 攻撃者の行動調査
- マルウェアの解析
- ログ解析
- 情報持ち出しの有無
- 安全な復旧方法
特に、情報漏えいの可能性を判断するためには、「ファイルが暗号化されたかどうか」だけではなく、攻撃者がどのような操作を行ったのかを調べる必要があります。
警察へ相談・通報する
ランサムウェア被害が確認された場合は、警察への相談も検討します。
警察庁では、ランサムウェア被害について最寄りの警察署またはサイバー犯罪相談窓口への通報・相談を案内しています。
場合によっては、初動対応の支援や利用可能な復号ツールなどについて情報提供を受けられる可能性があります。
ランサムウェア被害で「情報漏えいしていない」とすぐに判断しない
ランサムウェア被害で特に注意したいポイントです。
データが暗号化されていたとしても、「暗号化されただけなので情報漏えいはない」とは限りません。
現在では、暗号化を行う前にデータを外部へ持ち出す攻撃も多く確認されています。
そのため、ログや通信履歴などを確認する前に「情報漏えいはありません」と対外発表してしまうことは避けた方がよいでしょう。
まずは調査を行い、次のように確認できている事実と確認できていない事項を区別することが重要です。
- 現時点では確認されていない
- 現在調査中である
個人情報が含まれている場合は報告義務を確認する
攻撃者にアクセスされた可能性のあるデータに個人情報が含まれている場合は、個人情報保護法上の対応について確認する必要があります。
個人の権利利益を害するおそれがある個人データの漏えい等が発生した場合には、個人情報保護委員会への報告や本人への通知が必要になることがあります。
対象となる場合、個人情報保護委員会への速報は、発覚から概ね3～5日以内が目安とされています。
また、確報については原則30日以内、不正な目的で行われたおそれがある場合には60日以内とされています。
なお、2026年10月1日以降、ランサムウェア事案については、関係省庁への報告に利用できる「ランサムウェア事案共通様式」も用意されています。
実際に報告義務が発生するかどうかは被害内容によって異なるため、必要に応じて専門家や弁護士へ確認しましょう。
顧客・取引先への連絡を検討する
ランサムウェアによって自社だけではなく顧客や取引先へ影響が及ぶ可能性がある場合には、連絡の必要性を検討します。
例えば、次のような場合です。
- 取引先から預かっている情報が含まれていた
- 自社システム停止によってサービス提供ができない
- 取引先ネットワークへの影響が考えられる
- 顧客情報が持ち出された可能性がある
この段階では、すべての原因が判明するまで待つのではなく、次の内容を分けて説明することが大切です。
- 現在判明している事実
- まだ調査中の事項
- 現在実施している対応
なお、個人情報漏えい事案について常に公表が法律上義務付けられているわけではありません。
個人情報保護委員会も、事案の内容などに応じて公表することが望ましい場合がある一方、公表によって被害が拡大する可能性にも配慮する必要があるとしています。
ランサムウェア被害で身代金を要求された場合
ランサムウェアでは、攻撃者から暗号資産などによる身代金を要求されることがあります。
しかし、支払ったからといって、次のような保証はありません。
- データが必ず復旧する
- 盗まれた情報が削除される
- 再び攻撃されない
警察庁も、身代金の支払いについて、犯罪グループの活動資金になる懸念があることや、データの復号が保証されないことを案内しています。
そのため、担当者だけで支払いを判断するのではなく、経営層、警察、専門家、弁護士、サイバー保険会社などと相談しながら対応する必要があります。
ランサムウェア被害からの復旧を急ぎすぎない
バックアップが残っている場合、「すぐに復元すれば業務を再開できる」と考えてしまうかもしれません。
しかし、侵入経路や攻撃者の残した不正な仕組みが残ったまま復旧すると、再び侵害される可能性があります。
そのため、安全を確認しながら次の流れで復旧することが重要です。
- 被害範囲を確認する
- 攻撃者をネットワークから排除する
- 侵入原因となった脆弱性などを修正する
- パスワードや認証情報を必要に応じて変更する
- 安全なバックアップであることを確認する
- システムを復旧する
- 監視を強化する
ランサムウェア感染後に避けたい対応
最後に、ランサムウェア被害が発生した直後に特に注意したい対応を整理します。
むやみに端末の電源を切る
調査に必要な情報が失われる可能性があります。
ファイルやログを削除する
攻撃経路や被害範囲を特定するための証拠が失われる可能性があります。
原因調査前に端末を初期化する
早く復旧したいからといって、調査前に初期化や再インストールを行うと、原因究明が難しくなります。
安全確認前にネットワークへ戻す
攻撃者の侵入経路が残っている場合、再び感染する可能性があります。
調査前に「情報漏えいはない」と発表する
後から情報持ち出しが判明すると、説明内容を訂正しなければならなくなる可能性があります。
身代金をすぐに支払う
支払っても復旧や情報削除が保証されるわけではありません。
まとめ：ランサムウェア被害では初動対応が重要
ランサムウェアに感染した場合、最初に考えるべきなのは「早く元に戻すこと」ではありません。
ランサムウェア被害の初動で重要なのは、次の3点です。
- 被害を広げないこと
- 調査に必要な証拠を残すこと
- 被害範囲を正確に把握すること
特に初動では、「ネットワークから隔離する」「安易に電源を切らない」「ファイルやログを削除しない」という3点を覚えておくことが重要です。
そのうえで、社内の対応体制を立ち上げ、専門会社や警察などと連携しながら、侵入経路、情報持ち出しの有無、復旧方法を確認していきます。
ランサムウェア被害は、暗号化されたファイルを復旧すれば終わりではありません。
原因を特定し、安全な状態に戻し、再発防止策まで実施して初めて「復旧」といえます。