RIKENTOKYOはオフィス環境と仕組みのご提案である日突然、パソコンの画面に見慣れないメッセージが表示され、ファイルが開けなくなる——ランサムウェア感染は、企業規模を問わず誰にでも起こり得ます。
特に情シス担当者が不在・兼任の中小企業では、いざという時に何から手をつければよいかわからず、対応が遅れて被害が拡大するケースも少なくありません。
この記事では、ランサムウェアに感染してしまった場合に、まず取るべき初動対応と復旧までの流れを解説します。
ランサムウェアとは、感染した端末のファイルを暗号化し、復元と引き換えに金銭を要求する不正プログラムです。
近年は単なる暗号化だけでなく、データを盗み取ったうえで「支払わなければ公開する」と脅す二重恐喝型が増えています。
大企業に比べてセキュリティ投資が手薄になりやすく、取引先経由の攻撃の踏み台にされるケースもあります。
「うちは狙われない」という思い込みが、対応の遅れにつながりやすい点に注意が必要です。
以下のような症状が見られた場合、ランサムウェア感染を疑う必要があります。
これらのサインに気づいた時点で、すでに社内ネットワークへの感染拡大が始まっている可能性があります。
初動対応は、被害の拡大を防ぎ、その後の復旧をスムーズにするための重要な工程です。
焦って個別に対応するのではなく、決められた順番で進めることが被害を最小限に抑えるポイントです。
感染が疑われる端末は、直ちにLANケーブルを抜く、Wi-Fiをオフにするなどしてネットワークから切り離します。
ランサムウェアはネットワーク経由で他の端末にも感染を広げるため、この初動の速さが被害範囲を左右します。
身代金要求画面に表示されているランサムウェアの名称、要求金額、連絡先、期限などを写真やメモで記録します。
これらの情報は、ランサムウェアの種類の特定や、警察への相談、保険会社への報告にも使用します。
発見者から直属の上長、情シス担当、経営層へと速やかに報告する流れをあらかじめ決めておくことが重要です。
発見日時、影響を受けている端末、現時点で判明している被害範囲、取った対応を整理して共有します。
自己判断で復旧を進める前に、契約中のITベンダーや専門家に相談します。
サイバー事案については、警察庁が全国統一のオンライン相談窓口を設けています。
公的機関の一次情報として、IPA(独立行政法人情報処理推進機構)のランサムウェア対策特設ページや、警察庁のサイバー事案に関する相談窓口も確認しておくと安心です。
どの端末・システムが影響を受けているか、個人情報や取引先情報が含まれていないかを確認します。
この段階での確認が甘いと、後になって想定外の範囲まで被害が広がっていたと判明することがあります。
RIKEN TOKYOの視点
RIKEN TOKYOにご相談いただく東京の中小企業の中にも、「感染に気づいたが、何をどの順番で進めればよいかわからず数時間動けなかった」というお声がありました。
初動対応の流れを事前に社内で共有しておくだけでも、実際の被害を大きく抑えられます。
初動対応でよくある失敗を整理します。焦りから、かえって被害を広げてしまう行動には注意が必要です。
| 状態 | やるべきこと | やってはいけないこと |
|---|---|---|
| 感染直後 | ネットワークから切り離す | 感染端末をそのまま使い続ける |
| 証拠確認 | 画面や状況を記録する | 焦って再起動・初期化してしまう |
| 復旧判断 | 専門家に相談してから判断する | 自己判断ですぐ身代金を支払う |
| 報告 | 決められた体制で速やかに共有する | 発見者が一人で抱え込む |
再起動や初期化は、感染の痕跡や復号に必要な情報を消してしまう可能性があるため、専門家の確認前には行わないことが原則です。
バックアップがあれば安心、というわけではない点に注意が必要です。
同一ネットワーク上に保存されたバックアップは、ランサムウェアによって一緒に暗号化・削除されてしまうことがあります。
復旧を行う際は、次の順番で進めるのが基本です。
オフライン保存やクラウドへの分散保存など、バックアップ自体を守る設計も、平時のうちに見直しておく必要があります。
無料相談をご希望の方へ
ランサムウェア感染時は、初動の判断スピードが被害の大きさを左右します。
RIKEN TOKYOでは、感染発生時のご相談から、バックアップ体制の見直し、機器選定まで一貫してご案内しています。
身代金の支払いは推奨されていません。
支払いが攻撃者の資金源となり、次の攻撃を助長する可能性があるためです。
また、支払ってもデータが正しく復元される保証はなく、専門家に相談したうえで判断することが重要です。
取引先や顧客の個人データが漏えいした「おそれ」がある場合、個人情報保護法に基づく報告義務が発生する可能性があります。
詳細が判明していなくても、まずは把握している範囲で速やかに速報を行うことが求められます。
自社だけで判断が難しい場合は、早めに専門家や顧問弁護士に確認することをおすすめします。
RIKEN TOKYOでは、ランサムウェアをはじめとするセキュリティインシデントについて、発生時のご相談から平時の予防体制づくりまで支援しています。
| 支援内容 | 具体例 |
|---|---|
| 発生時の相談 | 初動対応の整理、専門家への橋渡し |
| 現状整理 | セキュリティ診断、弱点の洗い出し |
| 予防体制 | UTM・EDR・バックアップの見直しと導入 |
| 運用 | 社内報告体制の整備、再発防止の提案 |
セキュリティ対策の優先順位については、中小企業のセキュリティ対策、何から始める？UTM・EDR・バックアップの優先順位を解説、自社の弱点を確認したい場合は中小企業のセキュリティ診断｜経営者が今すぐ確認すべき自社の弱点と対策の優先順位もあわせてご覧ください。
また、メールアカウントの乗っ取り対策としては、多要素認証(MFA)とは？中小企業が今すぐ導入すべき理由と進め方も参考になります。
ランサムウェア感染時に押さえるべきポイントを整理します。
「もしもの時にどう動けばよいかわからない」という方は、平時のうちに対応の流れを整理しておくことが被害の抑制につながります。
自社の課題を整理したい方は、課題から探すページや導入事例もあわせてご確認ください。
ランサムウェア対策やインシデント対応でお悩みの方は、RIKEN TOKYOにお気軽にご相談ください。
現状の困りごとを伺ったうえで、無理のない進め方をご提案します。
機器やバックアップ体制の見直しを具体的に検討されている方は、スピードお見積りを依頼することもできます。
まず感染が疑われる端末をネットワークから切り離してください。その後、状況を記録し、決められた体制で社内に報告したうえで、専門機関・専門家に相談する流れが基本です。
バックアップが感染前の状態で、かつ感染経路の封じ込めが完了していれば復旧できる可能性が高くなります。ただし、同一ネットワーク上のバックアップも暗号化されている場合があるため、事前の確認が必要です。
相談できます。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも進めやすいように、感染時のご相談から平時の予防体制づくりまで段階的に支援しています。
漏えいの「おそれ」がある場合は、個人情報保護法に基づく報告義務が発生する可能性があります。詳細が不明でも、まずは速報を行うことが求められるため、早めに専門家へ確認することをおすすめします。
