ランサムウェアに感染したら最初に何をする？中小企業・児童館向け初動対応

パソコンのファイルが突然開けなくなった、見慣れない拡張子へ変わった、身代金を要求する画面が表示された。

このような症状が出た場合、ランサムウェアに感染している可能性があります。

ランサムウェアは、パソコンやサーバーに保存されているデータを暗号化し、元に戻すことと引き換えに金銭を要求する不正プログラムです。

最近では、データを暗号化するだけでなく、事前に個人情報や機密情報を盗み出し、「身代金を支払わなければ公開する」と脅迫する攻撃も増えています。

中小企業、児童館、学童保育、福祉施設などでは、専任の情報システム担当者がいないことも多く、感染が疑われたときに何をすればよいのか分からないケースがあります。

しかし、感染直後の対応を誤ると、被害が他のパソコン、NAS、サーバー、バックアップへ広がる可能性があります。

今まさに感染が疑われている場合

1. パソコンの操作を止める
2. LANケーブルを抜く、またはWi-Fiを切る
3. 管理者・施設長・保守会社へ連絡する
4. 画面や時刻、直前の操作を記録する
5. 自己判断で初期化やファイル削除をしない

感染端末をネットワークから切り離し、被害を広げないことを優先してください。

この記事では、ランサムウェア感染が疑われたときに最初に行うこと、電源を切るべきか、NASやバックアップをどう守るか、どこへ連絡するかを、中小企業や児童館、福祉施設の目線で解説します。

ランサムウェア感染で見られる主な症状

ランサムウェアに感染しても、必ず分かりやすい警告画面が表示されるとは限りません。

次のような症状が見られた場合は、ランサムウェアや不正アクセスの可能性を考えます。

• Word、Excel、PDF、写真などが突然開けなくなった
• ファイル名の末尾に見慣れない拡張子が付いた
• フォルダー内に身代金を要求する文書が作成された
• デスクトップの背景が脅迫文へ変わった
• ファイルが短時間に大量に変更されている
• 共有フォルダーやNASのデータも開けなくなった
• 複数のパソコンで同じ症状が出ている
• 管理者アカウントへログインできなくなった
• ウイルス対策ソフトやバックアップが停止している
• 身に覚えのない管理者アカウントが作成されている
• 会社や施設のデータを公開すると脅すメールが届いた
• 業務システムやサーバーへ接続できなくなった

ファイルが開けない原因は、ランサムウェアだけではありません。

パソコン、NAS、ストレージの故障や、ネットワーク障害、ソフトウェアの不具合でも似た症状が出る場合があります。

しかし、原因が分からない段階では、ランサムウェアの可能性も想定して対応した方が安全です。

最初の10分で行うこと

1．パソコンの操作を止める

感染が疑われるパソコンでは、まず作業を止めます。

慌ててファイルを何度も開いたり、インターネットで対処方法を検索したり、新しいUSBメモリーを接続したりしないでください。

ランサムウェアが動作中の場合、操作を続けている間にもファイルの暗号化や情報の送信が続く可能性があります。

また、感染端末から社内の共有フォルダーやNASへアクセスすると、他の場所に保存されたデータまで暗号化される可能性があります。

その場で確認すること

• どのような画面が表示されているか
• ファイルが開けなくなった時刻
• 直前に開いたメールや添付ファイル
• 直前に接続したUSBメモリー
• 直前にインストールしたソフトウェア
• 同じ症状が出ている他の端末がないか

可能であれば、表示されている画面をスマートフォンなどで撮影します。

ただし、撮影した画像に個人情報や機密情報が含まれる場合は、個人のSNSや私用クラウドへ自動保存されないよう注意してください。

2．LANケーブルを抜き、Wi-Fiを切る

感染が疑われるパソコンは、できるだけ早くネットワークから切り離します。

有線LANを使用している場合は、パソコンに接続されているLANケーブルを抜きます。

無線LANを使用している場合は、Wi-Fiをオフにします。

切断する主な通信

• 有線LAN
• Wi-Fi
• モバイル通信
• VPN接続
• Bluetooth

ネットワークから隔離する目的は、感染端末から他のパソコン、NAS、サーバーへ被害が広がることを防ぐためです。

また、攻撃者が遠隔操作を続けている場合に、通信を止める意味もあります。

重要

ランサムウェア感染が疑われる端末を隔離する場合、ルーターや施設全体のWi-Fiを最初からすべて停止するのではなく、まず感染が疑われる端末を個別に切り離します。

複数端末で同時に異常が出ている場合は、保守会社や専門業者と相談し、拠点全体のネットワーク停止も検討します。

3．USBメモリーや外付け機器を外す

感染端末にUSBメモリーや外付けハードディスクが接続されている場合は、追加の書き込みや暗号化を防ぐため、取り外すことを検討します。

ただし、取り外した機器は安全とは限りません。

別のパソコンへすぐに接続して、中身を確認しないでください。

取り外したUSBメモリーや外付けハードディスクには、次の情報を記載して保管します。

• 接続されていたパソコン
• 取り外した日時
• 取り外した職員名
• 機器の名称や管理番号
• 感染前から接続されていたか

調査が必要になる可能性があるため、自己判断で初期化やフォーマットをしないようにします。

4．責任者と保守会社へ連絡する

現場の職員だけで解決しようとせず、決められた責任者へ連絡します。

連絡先の例

• 施設長・所属長
• 法人本部
• 情報セキュリティ責任者
• 社内システム管理者
• パソコンの保守会社
• ネットワーク・サーバーの保守会社
• 利用しているクラウドサービスの管理者
• サイバー保険の窓口

中小企業や児童館では、パソコンを購入した販売店が、ランサムウェア調査や復旧まで対応できるとは限りません。

日頃から、感染時にどの範囲まで対応してもらえるか確認しておくことが重要です。

連絡時に伝える内容

• 感染が疑われる端末名
• 異常に気付いた日時
• 表示されている症状
• ファイルが暗号化されているか
• 他の端末にも症状があるか
• NASやサーバーへ接続していたか
• 個人情報を保存していたか
• ネットワークから切り離したか
• 電源が入ったままか

5．画面、時刻、操作内容を記録する

感染時の状況は、原因調査や被害範囲の確認に役立ちます。

職員の記憶が薄れないうちに、時系列で記録してください。

記録する項目

• 異常を発見した日時
• 発見した職員
• 利用していたパソコン
• 表示されたメッセージ
• 開けなくなったファイル
• 直前に行っていた作業
• 開いたメールの送信者と件名
• クリックしたリンク
• 接続したUSBメモリー
• 実施した対応
• 連絡した相手と時刻

脅迫文や身代金要求画面が表示されている場合は、内容を記録します。

ただし、攻撃者が記載したメールアドレスやチャットへ、現場の職員が直接連絡してはいけません。

電源はすぐに切るべきか

ランサムウェア感染時に迷いやすいのが、「パソコンの電源をすぐに切るべきか」という問題です。

基本的には、最初にネットワークから切り離し、可能であれば電源を入れたまま専門業者へ相談します。

電源を切ると、パソコンのメモリー上に残っている情報、実行中のプログラム、通信状況など、調査に役立つ情報が失われる場合があるためです。

一方で、ファイルの暗号化が現在も進んでおり、ネットワークを切断できない場合などは、被害を止めるために電源を切る判断が必要になることもあります。

電源に関する基本的な考え方

• まずLANケーブルを抜き、Wi-Fiを切る
• 可能であれば電源を入れたまま専門業者へ相談する
• 自己判断で再起動しない
• 状況が分からない場合は保守会社の指示に従う

感染したパソコンを何度も再起動すると、ランサムウェアが再度動作したり、調査に必要な情報が失われたりする可能性があります。

「再起動すれば直るかもしれない」という感覚で操作するのは避けましょう。

NASや共有フォルダーはどうすればよいのか

中小企業や児童館、福祉施設では、複数の職員が共同で利用するため、NASや共有フォルダーにデータを保存していることがあります。

感染したパソコンからNASへアクセスできる状態だった場合、NASのデータも暗号化される可能性があります。

確認すること

• NAS内のファイルが開けるか
• ファイル名や拡張子が変わっていないか
• 大量のファイルが同じ時刻に更新されていないか
• 身代金を要求するファイルが作成されていないか
• NASの管理画面へログインできるか
• スナップショットやバックアップが残っているか

ただし、感染が疑われるパソコンからNASを確認してはいけません。

別の安全が確認された管理端末から確認するか、保守会社へ依頼します。

NASの電源を切るべきか

NASでも暗号化が進行している場合は、被害拡大を防ぐためにネットワークから切り離す必要があります。

ただし、突然電源コードを抜くと、NASのファイルシステムを破損させる可能性があります。

可能であれば、保守会社やメーカーへ相談したうえで、安全な方法でネットワーク切断やシャットダウンを行います。

相談する時間がなく、暗号化が明らかに進行している場合は、事業者側で緊急停止を判断しなければならないこともあります。

バックアップを最優先で保護する

ランサムウェア感染時は、被害を受けていないバックアップを守ることが非常に重要です。

自動バックアップが動作していると、暗号化されたファイルによって、正常なバックアップが上書きされる可能性があります。

確認するバックアップ

• NAS内のバックアップ
• 外付けハードディスク
• クラウドバックアップ
• サーバーのバックアップ
• Microsoft 365やGoogle Workspaceのバックアップ
• 別拠点に保管しているバックアップ
• NASのスナップショット

被害を受けていないバックアップは、ネットワークから切り離す、別の安全な場所へ退避するなどの対応を検討します。

ただし、感染端末からバックアップ先へ接続して作業しないでください。

注意

バックアップが存在していても、感染前の正常なデータかどうかは別の問題です。

攻撃者が数週間前から侵入していた場合、バックアップの中にも不正プログラムや変更された設定が含まれている可能性があります。

やってはいけない対応

感染端末をそのまま使い続ける

「一部のファイルだけが開けないから」と業務を続けると、他のデータや共有フォルダーへ被害が広がる可能性があります。

感染端末を社内ネットワークへ戻す

原因や侵入経路が解消されていない状態で再接続すると、再感染や他端末への感染拡大につながります。

別のパソコンにUSBメモリーを接続する

感染端末で使用していたUSBメモリーは、不正プログラムが入っている可能性があります。

安全な端末へ安易に接続しないでください。

自己判断で初期化する

パソコンを初期化すると、侵入経路や被害範囲を確認するための証拠が失われます。

また、感染端末だけを初期化しても、VPN、サーバー、管理者アカウントなど別の侵入経路が残っていれば、再び被害を受ける可能性があります。

不審なファイルやログを削除する

脅迫文、不審なファイル、メール、Windowsイベントログ、ウイルス対策ソフトの記録などは、調査に役立つ可能性があります。

攻撃者へ職員が直接連絡する

身代金要求画面に連絡先が書かれていても、現場の職員が独断で連絡してはいけません。

情報を追加で伝えてしまったり、不適切な約束をしたりする可能性があります。

SNSへ被害状況を書き込む

未確認の情報をSNSへ投稿すると、利用者や取引先へ混乱を与える可能性があります。

外部への説明は、組織内で窓口を一本化して行います。

他のパソコンも感染していないか確認する

ランサムウェアは、最初に症状が出た1台だけに感染しているとは限りません。

攻撃者がすでに社内ネットワークへ侵入し、複数の端末やサーバーを操作している可能性があります。

他端末で確認する症状

• ファイルの拡張子が変わっていないか
• ファイルが突然開けなくなっていないか
• 身代金要求ファイルが作られていないか
• ウイルス対策ソフトが停止していないか
• 不審な管理者アカウントがないか
• 身に覚えのないリモート接続がないか
• 大量の通信が発生していないか
• バックアップが削除されていないか

ただし、職員が感染確認のためにファイルを次々と開くことは避けます。

EDRやウイルス対策の管理画面、サーバー・ネットワーク機器のログなどを利用し、管理者や専門業者が確認します。

パスワードを変更する

ランサムウェア攻撃では、パスワードや認証情報が盗まれている可能性があります。

特に、次のアカウントは優先して確認します。

• Windowsの管理者アカウント
• ドメイン管理者
• Microsoft 365の管理者
• Google Workspaceの管理者
• VPNアカウント
• リモートデスクトップ用アカウント
• NAS・サーバーの管理者
• バックアップ管理者
• 業務システムの管理者
• メールアカウント

パスワード変更は、感染端末ではなく、安全が確認された別の端末から行います。

感染端末から変更すると、新しいパスワードまで盗まれる可能性があります。

パスワード変更時の注意

• 使い回しているパスワードも変更する
• 管理者アカウントを優先する
• ログイン中のセッションを切断する
• 多要素認証を有効にする
• 不審な認証アプリや電話番号が登録されていないか確認する
• メールの自動転送設定を確認する

攻撃者が多要素認証の設定やメール転送設定を変更している場合もあるため、パスワードだけでなくアカウント設定全体を確認します。

侵入経路を塞ぐまで復旧しない

感染したパソコンを初期化し、バックアップからデータを戻せば解決するとは限りません。

侵入経路が残っていると、復旧した直後に再び攻撃される可能性があります。

主な侵入経路

• VPN機器の脆弱性
• リモートデスクトップの公開
• 弱いパスワードや使い回し
• フィッシングメール
• 不正な添付ファイル
• 古いWindowsやサーバー
• 更新されていないUTMやルーター
• 委託先や保守会社のアカウント
• 盗まれたMicrosoft 365アカウント

復旧前には、VPN、ルーター、UTM、サーバー、クラウドアカウントなども確認する必要があります。

パソコンだけを入れ替えても、ネットワーク機器や管理者アカウントが侵害されたままでは安全ではありません。

身代金は支払うべきか

攻撃者へ身代金を支払っても、データが確実に復旧する保証はありません。

復号用のプログラムが正常に動かない、復号に非常に長い時間がかかる、一部のファイルが壊れるなどの可能性があります。

また、身代金を支払っても、盗まれた情報が削除される保証はありません。

一度支払った組織が、再び攻撃や脅迫の対象になる可能性もあります。

身代金に関する基本方針

現場の職員や担当者が独断で支払い、交渉、返信を行ってはいけません。

経営者、法人本部、警察、弁護士、保険会社、セキュリティ専門業者などを含めて組織として判断します。

JPCERT/CCは、攻撃者の要求には応じず、侵入経路を塞いだうえでバックアップから復旧する方針を示しています。

バックアップから復旧する際の注意点

バックアップが残っている場合でも、すぐにすべてを元へ戻してはいけません。

最初に、復旧先の環境が安全であることを確認します。

復旧前に確認すること

• 侵入経路が特定・封鎖されている
• 管理者パスワードを変更している
• VPNやネットワーク機器を更新している
• 感染端末を初期化または入れ替えている
• バックアップが感染前の正常なものか確認している
• 復旧環境にウイルス対策やEDRを導入している
• Windowsやソフトウェアを最新にしている

業務を急いで再開すると、原因が残ったまま復旧してしまう場合があります。

重要なシステムから段階的に復旧し、通信やログを監視しながら再開します。

中小企業で当日中に決めること

ランサムウェア被害は、単なるパソコンの故障ではありません。

業務停止、取引先への影響、個人情報漏えい、広報対応など、会社全体の問題になります。

当日中に決めたい役割

• 全体責任者
• 技術対応担当
• 保守会社・専門業者との連絡担当
• 警察や行政機関への報告担当
• 取引先・利用者への説明担当
• 職員への連絡担当
• 記録担当

社外から問い合わせが来た際に、職員ごとに異なる回答をしないよう、窓口を一本化します。

確認する業務影響

• 停止している業務
• 利用できないシステム
• 影響を受けている施設や部署
• 紙や代替手段で継続できる業務
• 取引先や委託元への影響
• 給与、請求、支払いへの影響
• 復旧までに必要な期間

児童館・福祉施設で特に確認すること

児童館、学童保育、福祉施設では、子ども、利用者、保護者、職員に関する個人情報を保存している可能性があります。

保存されている可能性がある情報

• 氏名・住所・電話番号
• 保護者や家族の連絡先
• 緊急連絡先
• 健康状態やアレルギー情報
• 障害や支援内容に関する情報
• 利用記録
• 相談記録
• 写真や動画
• 職員の個人情報
• マイナンバー関連情報

ランサムウェアによってデータが暗号化されただけに見えても、攻撃者が事前に情報を外部へ持ち出している可能性があります。

「データが開けないだけだから、情報漏えいではない」と自己判断しないようにします。

施設内で確認すること

• どの利用者の情報が保存されていたか
• 要配慮個人情報が含まれているか
• 写真や動画が含まれているか
• 委託元である自治体への報告が必要か
• 法人本部への報告が必要か
• 保護者・本人への通知が必要か
• 個人情報保護委員会への報告対象か

自治体から委託を受けて運営している児童館や福祉施設では、委託契約や情報セキュリティに関する仕様書に報告期限や連絡先が定められている場合があります。

契約書、仕様書、個人情報取扱特記事項などを確認してください。

個人情報保護委員会への報告が必要になる場合

個人データの漏えい、滅失、毀損などが発生し、個人の権利利益を害するおそれが大きい一定の事案では、個人情報保護委員会への報告と本人への通知が必要になります。

ランサムウェアによって個人データが暗号化され、復元できない場合や、外部へ持ち出されたおそれがある場合も、報告対象になる可能性があります。

マイナンバーを含む情報が被害を受けた場合は、特定個人情報としての対応も必要です。

注意

報告が必要かどうかは、保存されていた情報、漏えい・滅失・毀損の状況、本人への影響などによって異なります。

法人本部、個人情報保護担当者、弁護士、所管機関などへ早めに相談してください。

警察や専門機関へ相談する

ランサムウェアは犯罪です。

被害を受けた場合は、都道府県警察のサイバー犯罪相談窓口への相談を検討します。

初動対応や技術的な判断に困った場合は、JPCERT/CC、IPA、セキュリティ専門企業へ相談できます。

主な相談先

• 警察庁「サイバー事案に関する相談窓口」
• JPCERT/CC「インシデント対応依頼」
• IPA「情報セキュリティ安心相談窓口」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• JNSA「サイバーインシデント緊急対応企業一覧」

緊急対応を依頼する専門業者は、調査内容や費用、対応開始までの時間、証拠保全の範囲を確認して選びます。

初動対応チェックリスト

平常時に準備しておきたいこと

ランサムウェア被害が発生してから連絡先やバックアップを探しても、迅速な対応はできません。

平常時に次の準備をしておきましょう。

• 緊急連絡網を紙でも保管する
• 端末・NAS・サーバーの一覧を作る
• 管理者アカウントを把握する
• 保守会社の対応範囲を確認する
• バックアップを複数用意する
• バックアップからの復元テストを行う
• VPN・ルーター・UTMを更新する
• 多要素認証を有効にする
• 職員向けの不審メール訓練を行う
• 感染時の役割分担を決める
• 個人情報漏えい時の報告先を確認する
• 紙で業務を継続する方法を考える

特に重要なのは、バックアップの復元テストです。

バックアップが正常に保存されているように見えても、実際にはデータを戻せないケースがあります。

まとめ

ランサムウェア感染が疑われたときは、ウイルスをすぐに駆除することよりも、被害を広げないことが最優先です。

最初に行うことは、次の5つです。

1. パソコンの操作を止める
2. LANケーブルを抜き、Wi-Fiを切る
3. 責任者と保守会社へ連絡する
4. 画面、時刻、直前の操作を記録する
5. 自己判断で初期化や再起動をしない

その後、他のパソコン、NAS、サーバー、バックアップへの影響を確認し、安全な端末から管理者パスワードを変更します。

バックアップから復旧する場合も、侵入経路を特定し、脆弱性や盗まれたアカウントを修正してから行う必要があります。

最終的な結論

ランサムウェア感染時に最初に行うべきことは、「駆除」や「初期化」ではなく、感染端末をネットワークから隔離し、被害状況を記録して責任者へ報告することです。

中小企業や児童館、福祉施設では、専任担当者がいないからこそ、平常時に連絡先、役割分担、バックアップ、報告手順を決めておく必要があります。

よくある質問

ランサムウェアに感染したら、すぐに電源を切るべきですか？

まずLANケーブルを抜き、Wi-Fiを切ってネットワークから隔離します。電源を切ると調査に必要な情報が失われる場合があるため、可能であれば電源を入れたまま保守会社や専門業者へ相談します。ただし、暗号化が進行しており通信も切断できない場合などは、緊急停止を判断することがあります。

再起動すれば元に戻る可能性はありますか？

再起動しても暗号化されたファイルが元へ戻ることは通常ありません。ランサムウェアが再度動作したり、調査に必要な情報が失われたりする可能性があるため、自己判断で再起動しないでください。

感染したパソコンだけを初期化すれば大丈夫ですか？

十分ではありません。VPN、サーバー、管理者アカウント、他のパソコンなども侵害されている可能性があります。侵入経路と被害範囲を確認し、原因を解消してから復旧します。

NASのデータが無事なら、そのまま使ってもよいですか？

見た目では無事でも、攻撃者がアクセスしていた可能性や、自動バックアップによって暗号化データが上書きされる可能性があります。安全が確認できるまでは、バックアップを保護し、専門業者へ確認を依頼します。

身代金を払えばデータは戻りますか？

支払ってもデータが確実に復旧する保証はありません。また、盗まれた情報が削除される保証もありません。現場担当者が独断で支払いや交渉を行わず、経営者、警察、専門業者、弁護士などを含めて判断してください。

バックアップがある場合はすぐ復旧してよいですか？

侵入経路を塞がずに復旧すると、再び感染する可能性があります。管理者パスワードの変更、VPNやネットワーク機器の更新、バックアップの安全確認を行ってから段階的に復旧します。

ファイルが暗号化されただけでも個人情報漏えいになりますか？

個人データが復元できなくなった場合は毀損・滅失に該当する可能性があり、攻撃者に持ち出されたおそれがある場合は漏えいのおそれとして対応が必要になることがあります。個人情報保護担当者や専門家へ相談してください。

児童館の場合、最初に誰へ連絡すればよいですか？

施設長、法人本部、自治体の担当課、パソコンやネットワークの保守会社など、施設で定めた連絡先へ報告します。自治体からの委託施設では、契約書や仕様書に報告手順が定められていることがあるため確認してください。

参考資料

• 警察庁「ランサムウェア被害防止対策」
• JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」
• IPA「中小企業の情報セキュリティ対策ガイドライン」
• IPA「ランサムウェア対策特設ページ」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」