ファイルが一斉に開かなくなったり、身代金を要求する画面が出たりした場合は、他の端末や共有先への拡大を抑える初動を取ってください。
端末の隔離、証拠保存、報告、復旧は別の判断です。
感染が疑われる直後の隔離と証拠保存
感染が疑われる端末では、他の兆候を待たずに次の順で対応します。
- 端末をネットワークから切断し、共有フォルダー、サーバー、外部記憶媒体との接続を止めます。
- 画面、ファイル名、拡張子、要求文、発生時刻を、可能なら別の安全な端末で記録します。
- 組織管理端末なら、社内のインシデント窓口へ報告します。
- 個人端末なら、端末を隔離した状態で警察の相談窓口を確認します。技術的な情報提供が必要な場合は、JPCERT/CCの公式案内を確認します。
- 身代金の送金、再起動、ファイル削除、初期化、バックアップからの復元は、相談先の案内を確認してから行います。
電源断や再起動は、メモリ上の情報やログを失う可能性があります。
組織端末では、社内手順または専門家の指示がないまま電源を切りません。
ランサムウェアは、感染端末から共有フォルダー、サーバー、接続中の外部記憶媒体へ影響を広げる可能性があります。
ランサムウェアの兆候
ランサムウェアは、ファイルを使えない状態にしたり、データを公開すると脅したりするマルウェアの総称です。
単独でも隔離と報告を優先する兆候
次のいずれかを確認した場合は、他の兆候を待たずに端末を隔離し、組織端末は社内窓口へ報告します。
- デスクトップやフォルダーに身代金要求文が残っている
- 複数のファイル名や拡張子が、身に覚えのない文字列へ変わっている
- 短時間に多数の文書、画像、データベースが開けなくなっている
- 共有フォルダーやサーバーのファイルにも同じ変更が出ている
- セキュリティ機能が、暗号化や大量変更に関係する警告を表示している
一つの兆候だけでも、原因確認のために端末の操作を続けると被害範囲の把握を遅らせる可能性があります。
単発のエラーと区別する
一つのファイルだけが開けない、特定のアプリだけがエラーになるという状態は、それだけでランサムウェア感染を確定できません。
ファイルの変更範囲、発生時刻、直前の操作、表示された文面を記録し、他の兆候がないかを確認します。
単発のエラーでも、身代金要求文、拡張子の変更、ファイルの大量変更が見つかった場合は、単発エラーとして扱い続けません。
身代金と復号をどう判断するか
身代金の支払いを判断する
身代金を支払っても、復号鍵やデータが戻る保証はありません。
攻撃者が追加の支払いを求めたり、盗み出したデータの公開を止めなかったりする可能性もあります。
支払いの可否をその場で決めず、組織の責任者、警察、セキュリティ専門家へ相談します。
支払いを避ける理由は、被害者側の事情を軽視するためではありません。
復旧を約束する相手の正当性や技術力を確認できず、支払った結果が復旧につながるとは限らないためです。
復号ツールを確認する
ランサムウェアの種類によっては、セキュリティ機関が復号ツールを公開していることがあります。
No More Ransomで該当するツールがあるか確認できますが、すべての感染に使えるわけではありません。
感染端末へ不明な復号ソフトをダウンロードしたり、要求画面のリンクを開いたりせず、クリーンな端末から公式サイトを確認します。
相談先を選ぶ
個人端末
犯罪被害として相談する場合は、警察庁のサイバー警察局または警察相談専用電話（#9110）の案内を確認します。
サイバー攻撃に関する技術的な相談や情報提供は、JPCERT/CCのインシデント報告システムから直接報告します。
JPCERT/CCへの報告では、インシデント報告、相談、情報提供の区分を選べます。
組織管理端末
組織管理端末では、社内のインシデント窓口への報告を優先します。
報告には、感染が疑われる端末の識別情報、発生時刻、利用者、表示された文面、直前の操作、接続していた共有先を含めます。
利用者が自分で他の端末を停止したり、サーバーを初期化したりすると、証拠の保存や影響範囲の把握を難しくすることがあります。
社内手順に従い、必要な端末の隔離、アカウント停止、ログ保全、関係部署への連絡を組織側で進めます。
バックアップを復旧に使える条件
バックアップが存在することだけでは、復旧に使えるとは判断できません。
次の条件を確認します。
- 感染端末と同じネットワークや共有アカウントから切り離されている
- 暗号化や削除が起きる前の版を選べる
- 復元先の端末が感染していないと確認できる
- 必要なファイルが実際に開けるか検証できる
- 復元手順と権限を組織または管理者が確認している
感染端末と同期しているクラウドストレージは、暗号化されたファイルが同期されている可能性があります。
クラウドの履歴やごみ箱に以前の版が残っていても、感染していない端末から確認し、復元前に管理者へ相談します。
感染中に接続されていた外付けドライブは、バックアップとして使えると決めつけません。
クリーンな環境へ復旧する
復旧は、データを戻す作業と、感染原因を取り除く作業を分けて進めます。
- 影響端末をネットワークから隔離したまま、証拠と必要なログを保全します。
- 管理者または専門家が、感染範囲と再感染の可能性を確認します。
- クリーンな端末から、利用するバックアップの版と復元先を確認します。
- 必要に応じてOSを再インストールし、更新を適用します。
- 認証情報やアクセストークンを、感染していない端末から更新します。
- 復元したデータを検査し、段階的に業務へ戻します。
- 復旧後のログとアカウント利用を監視します。
OSの初期化や再インストールは、個人端末ではデータが失われる可能性があり、組織端末では証拠を失う可能性があります。
先に初期化するのではなく、必要な証拠の保存と復旧方針を確認してから実施します。
再発を減らすための設定
再発防止は、侵入、実行、拡大、復旧の段階を分けて整えます。
- OS、ブラウザー、業務アプリを更新し、サポートが終了したソフトを使わない
- 重要なアカウントに多要素認証を設定し、管理者権限を常用しない
- メールの添付ファイルやリンクを、送信者と別の公式経路で確認する
- マクロやスクリプトの実行を必要な業務に限定する
- 外部公開したリモート接続を見直し、組織が管理する経路だけを使う
- 端末と共有フォルダーのアクセス権を、業務に必要な範囲へ絞る
- バックアップから実際に復元できるかを定期的に確認する
セキュリティソフトやEDRは検知や封じ込めに役立つ場合がありますが、未知の攻撃や設定不備をすべて防ぐものではありません。
バックアップの選定基準
ランサムウェア対策としてバックアップを選ぶときは、容量や料金だけで決めません。
接続を切り離せること
バックアップ先を常時書き込み可能な状態にすると、感染端末から変更される可能性があります。
物理的に外せる媒体、アクセスを分けた保管先、書き換えを制限できる仕組みを組み合わせます。
過去の版を戻せること
暗号化前の版を残せる履歴機能があれば、同期された最新状態だけに依存せずに済みます。
保持期間や復元できる単位はサービスや契約で変わるため、契約前に公式仕様を確認します。
復元を試せること
バックアップは、保存できたかより、必要なデータを使える状態で戻せるかで評価します。
テスト用のファイルを使い、復元先、必要な権限、所要時間、復元後の検査方法を確認します。
管理者を分けられること
端末とバックアップを同じ管理者アカウントだけで運用すると、アカウント侵害時に両方を操作される可能性があります。
バックアップの管理権限、認証手段、復元承認の手順を分けます。
よくある質問
身代金を支払えば、ファイルを復旧できますか？
支払えば復旧できるとは限りません。
送金前に、端末の隔離、証拠保存、組織のインシデント窓口、警察、JPCERT/CCなどの公式案内を確認します。
支払いの判断、復旧、被害報告は同じ作業ではないため、相談先の指示を受けて分けて進めます。
参考資料
具体的な復旧操作は、端末の種類、組織の手順、感染したランサムウェアの種類で変わります。
最終更新日：