感染が疑われる直後の隔離と証拠保存
感染が疑われる端末では、他の兆候を待たずに次の順で対応します。
- その端末のLANケーブルを抜き、Wi-Fiをオフにして、ネットワークから切り離します。接続中の外付けドライブも切り離し、新しいUSBメモリやバックアップ媒体はつなぎません。
- 会社や学校の端末は、別の電話や端末からインシデント窓口へすぐ報告します。記録をすべてそろえるまで待ちません。
- 画面、見えているファイル名や拡張子、要求文、発生時刻を記録します。別のスマートフォンで画面を撮影すれば、疑わしい端末の操作を増やさずに残せます。
- 個人端末は隔離を保ち、警察へ被害を相談します。復旧方法は端末メーカーや信頼できる専門家に相談し、一般的な技術的助言はIPAの相談窓口も確認します。
- 身代金を送金したり、要求文の連絡先へ応じたりせず、再起動、ファイル削除、初期化、復元を始める前に復旧方針を相談します。
電源断や再起動は、メモリ上の情報やログを失う可能性があります。
ネットワークから切り離せた端末は、むやみに再起動や電源断をせず、管理者や専門家へ確認します。切断できない場合は、その状態を直ちに伝え、社内手順や専門家の指示に従います。
ランサムウェアは、感染端末から共有フォルダー、サーバー、接続中の外部記憶媒体へ影響を広げる可能性があります。ネットワークを切っても、その端末内の暗号化が止まったとは限りません。切断後も操作を続けず、早く相談します。
証拠を残すために、疑わしいファイルを別の端末で開いたり、USBメモリで移したりしません。管理端末のログや媒体の保全は担当者に任せます。
ランサムウェアの兆候
ランサムウェアは、ファイルを暗号化するなどして使えなくし、元に戻す対価として金銭を要求する不正なソフトウェアです。データを盗み出し、公開すると脅す被害もあります。
単独でも隔離と報告を優先する兆候
次のいずれかを確認した場合は、他の兆候を待たずに端末を隔離し、組織端末は社内窓口へ報告します。
- デスクトップやフォルダーに身代金要求文が残っている
- 複数のファイル名や拡張子が、身に覚えのない文字列へ変わっている
- 短時間に多数の文書、画像、データベースが開けなくなっている
- 共有フォルダーやサーバーのファイルにも同じ変更が出ている
- セキュリティ機能が、暗号化や大量変更に関係する警告を表示している
一つの兆候だけでも、原因確認のために端末の操作を続けると被害範囲の把握を遅らせる可能性があります。
単発のエラーと区別する
一つのファイルだけが開けない、特定のアプリだけがエラーになるという状態は、それだけでランサムウェア感染を確定できません。
見えている範囲で、発生時刻、直前の操作、表示された文面を記録します。確認のために多数のファイルや共有先を開き直す必要はありません。
単発のエラーでも、身代金要求文、拡張子の変更、ファイルの大量変更が見つかった場合は、単発エラーとして扱い続けません。
身代金と復号をどう判断するか
身代金の支払いを判断する
身代金を支払っても、復号鍵やデータが戻る保証はありません。
攻撃者が追加の支払いを求めたり、盗み出したデータの公開を止めなかったりする可能性もあります。
支払いの可否をその場で決めず、組織の責任者、警察、セキュリティ専門家へ相談します。
復旧を約束する相手の正当性や技術力を確認できず、支払った結果が復旧につながるとは限らないためです。
復号ツールを確認する
ランサムウェアの種類によっては、セキュリティ機関が復号ツールを公開していることがあります。
No More Ransomで該当するツールがあるか確認できますが、すべての感染に使えるわけではありません。
感染端末へ不明な復号ソフトをダウンロードしたり、要求画面のリンクを開いたりせず、感染の疑いがない端末から公式サイトを確認します。適合するツールでも、元の暗号化ファイルを残し、コピーで試す方法を専門家と確認します。
種類を調べるサイトでファイルの提出を求められても、個人情報や業務の秘密を含むファイルを安易に送信しません。組織のファイルは管理者へ確認します。
相談先を選ぶ
個人端末
犯罪被害として相談する場合は、都道府県警察のサイバー事案相談窓口を確認します。緊急でない相談は、警察相談専用電話（#9110）も利用できます。
個人向けの一般的な技術的助言は、IPAの情報セキュリティ安心相談窓口で受けられます。ただし、個別端末の調査やデータ復旧の代行を依頼する窓口ではありません。
JPCERT/CCのインシデント報告システムでは攻撃の報告や相談を受け付けています。犯罪の捜査や、個人端末の修理を依頼する窓口とは役割が異なります。
組織管理端末
組織管理端末では、社内のインシデント窓口への報告を優先します。
報告には、感染が疑われる端末の識別情報、発生時刻、利用者、表示された文面、直前の操作、接続していた共有先を含めます。
利用者が自分で他の端末を停止したり、サーバーを初期化したりすると、証拠の保存や影響範囲の把握を難しくすることがあります。
社内手順に従い、必要な端末の隔離、アカウント停止、ログ保全、関係部署への連絡を組織側で進めます。
バックアップを復旧に使える条件
バックアップが存在することだけでは、復旧に使えるとは判断できません。
次の条件を確認します。
- 感染端末と同じネットワークや共有アカウントから切り離されている
- 暗号化や削除が起きる前の版を選べる
- 復元先の端末が感染していないと確認できる
- 必要なファイルが実際に開けるか検証できる
- 復元手順と権限を組織または管理者が確認している
感染端末と同期しているクラウドストレージは、暗号化されたファイルが同期されている可能性があります。
クラウドの履歴やごみ箱に以前の版が残っていても、感染していない端末から確認します。組織のデータは管理者へ、個人のデータはサービスの公式窓口や専門家へ、復元する版と保存期間を確認します。
感染中に接続されていた外付けドライブは、バックアップとして使えると決めつけません。無事か調べるために別の端末へすぐ接続せず、確認方法を専門家へ相談します。
クリーンな環境へ復旧する
復旧は、データを戻す作業と、感染原因を取り除く作業を分けて進めます。次は管理者や専門家と確認する流れです。個人端末でも、判断できない作業を自己流で進めません。
- 影響端末をネットワークから隔離したまま、証拠と必要なログを保全します。
- 管理者または専門家が、感染範囲と再感染の可能性を確認します。
- クリーンな端末から、利用するバックアップの版と復元先を確認します。
- 必要に応じてOSを再インストールし、更新を適用します。
- 漏えいの疑いがあるパスワードなどを、感染していない端末から変更します。組織の接続用の認証情報や権限は、管理者が必要な無効化と再設定を行います。
- 復元したデータを検査し、段階的に利用を再開します。
- 復旧後のログとアカウント利用を監視します。
OSの初期化や再インストールは、個人端末ではデータが失われる可能性があり、組織端末では証拠を失う可能性があります。
先に初期化するのではなく、必要な証拠の保存と復旧方針を確認してから実施します。ファイルを開けるようになっても、盗まれた情報や不正ログインへの対応が済んだとは限りません。
再発を減らすための設定
再発防止は、侵入、実行、拡大、復旧の段階を分けて整えます。
- OS、ブラウザー、業務アプリを更新し、サポートが終了したソフトを使わない
- 重要なアカウントに多要素認証を設定し、管理者権限を常用しない
- メールの添付ファイルやリンクを、送信者と別の公式経路で確認する
- マクロやスクリプトの実行を必要な業務に限定する
- 外部公開したリモート接続を見直し、組織が管理する経路だけを使う
- 端末と共有フォルダーのアクセス権を、業務に必要な範囲へ絞る
- バックアップから実際に復元できるかを定期的に確認する
セキュリティソフトやEDRは検知や封じ込めに役立つ場合がありますが、未知の攻撃や設定不備をすべて防ぐものではありません。
バックアップの選定基準
ランサムウェア対策としてバックアップを選ぶときは、容量や料金だけで決めません。
接続を切り離せること
バックアップ先を常時書き込み可能な状態にすると、感染端末から変更される可能性があります。
物理的に外せる媒体、アクセスを分けた保管先、書き換えを制限できる仕組みを組み合わせます。
過去の版を戻せること
暗号化前の版を残せる履歴機能があれば、同期された最新状態だけに依存せずに済みます。
保持期間や復元できる単位はサービスや契約で変わるため、契約前に公式仕様を確認します。
復元を試せること
バックアップは、保存できたかより、必要なデータを使える状態で戻せるかで評価します。
テスト用のファイルを使い、復元先、必要な権限、所要時間、復元後の検査方法を確認します。
管理者を分けられること
端末とバックアップを同じ管理者アカウントだけで運用すると、アカウント侵害時に両方を操作される可能性があります。
バックアップの管理権限、認証手段、復元承認の手順を分けます。
よくある質問
身代金を支払えば、ファイルを復旧できますか？
支払えば復旧できるとは限りません。
送金前に、端末の隔離、証拠保存、組織のインシデント窓口、警察、JPCERT/CCなどの公式案内を確認します。
支払いの判断、復旧、被害報告は同じ作業ではないため、相談先の指示を受けて分けて進めます。
参考資料
具体的な復旧操作は、端末の種類、組織の手順、感染したランサムウェアの種類で変わります。
最終更新日：