社内SEのトラブル対応

ランサムウェアに感染したら最初に何をする？中小企業・児童館向け初動対応

nasubi

パソコンのファイルが突然開けなくなった、見慣れない拡張子へ変わった、身代金を要求する画面が表示された。

このような症状が出た場合、ランサムウェアに感染している可能性があります。

ランサムウェアは、パソコンやサーバーに保存されているデータを暗号化し、元に戻すことと引き換えに金銭を要求する不正プログラムです。

最近では、データを暗号化するだけでなく、事前に個人情報や機密情報を盗み出し、「身代金を支払わなければ公開する」と脅迫する攻撃も増えています。

中小企業、児童館、学童保育、福祉施設などでは、専任の情報システム担当者がいないことも多く、感染が疑われたときに何をすればよいのか分からないケースがあります。

しかし、感染直後の対応を誤ると、被害が他のパソコン、NAS、サーバー、バックアップへ広がる可能性があります。

今まさに感染が疑われている場合

  1. パソコンの操作を止める
  2. LANケーブルを抜く、またはWi-Fiを切る
  3. 管理者・施設長・保守会社へ連絡する
  4. 画面や時刻、直前の操作を記録する
  5. 自己判断で初期化やファイル削除をしない

感染端末をネットワークから切り離し、被害を広げないことを優先してください。

この記事では、ランサムウェア感染が疑われたときに最初に行うこと、電源を切るべきか、NASやバックアップをどう守るか、どこへ連絡するかを、中小企業や児童館、福祉施設の目線で解説します。

Contents
  1. ランサムウェア感染で見られる主な症状
  2. 最初の10分で行うこと
  3. 1．パソコンの操作を止める
  4. 2．LANケーブルを抜き、Wi-Fiを切る
  5. 3．USBメモリーや外付け機器を外す
  6. 4．責任者と保守会社へ連絡する
  7. 5．画面、時刻、操作内容を記録する
  8. 電源はすぐに切るべきか
  9. NASや共有フォルダーはどうすればよいのか
  10. バックアップを最優先で保護する
  11. やってはいけない対応
  12. 他のパソコンも感染していないか確認する
  13. パスワードを変更する
  14. 侵入経路を塞ぐまで復旧しない
  15. 身代金は支払うべきか
  16. バックアップから復旧する際の注意点
  17. 中小企業で当日中に決めること
  18. 児童館・福祉施設で特に確認すること
  19. 個人情報保護委員会への報告が必要になる場合
  20. 警察や専門機関へ相談する
  21. 初動対応チェックリスト
  22. 平常時に準備しておきたいこと
  23. まとめ
  24. よくある質問
  25. 参考資料

ランサムウェア感染で見られる主な症状

ランサムウェアに感染しても、必ず分かりやすい警告画面が表示されるとは限りません。

次のような症状が見られた場合は、ランサムウェアや不正アクセスの可能性を考えます。

ファイルが開けない原因は、ランサムウェアだけではありません。

パソコン、NAS、ストレージの故障や、ネットワーク障害、ソフトウェアの不具合でも似た症状が出る場合があります。

しかし、原因が分からない段階では、ランサムウェアの可能性も想定して対応した方が安全です。

最初の10分で行うこと

1．パソコンの操作を止める

感染が疑われるパソコンでは、まず作業を止めます。

慌ててファイルを何度も開いたり、インターネットで対処方法を検索したり、新しいUSBメモリーを接続したりしないでください。

ランサムウェアが動作中の場合、操作を続けている間にもファイルの暗号化や情報の送信が続く可能性があります。

また、感染端末から社内の共有フォルダーやNASへアクセスすると、他の場所に保存されたデータまで暗号化される可能性があります。

その場で確認すること

可能であれば、表示されている画面をスマートフォンなどで撮影します。

ただし、撮影した画像に個人情報や機密情報が含まれる場合は、個人のSNSや私用クラウドへ自動保存されないよう注意してください。

2．LANケーブルを抜き、Wi-Fiを切る

感染が疑われるパソコンは、できるだけ早くネットワークから切り離します。

有線LANを使用している場合は、パソコンに接続されているLANケーブルを抜きます。

無線LANを使用している場合は、Wi-Fiをオフにします。

切断する主な通信

ネットワークから隔離する目的は、感染端末から他のパソコン、NAS、サーバーへ被害が広がることを防ぐためです。

また、攻撃者が遠隔操作を続けている場合に、通信を止める意味もあります。

重要

ランサムウェア感染が疑われる端末を隔離する場合、ルーターや施設全体のWi-Fiを最初からすべて停止するのではなく、まず感染が疑われる端末を個別に切り離します。

複数端末で同時に異常が出ている場合は、保守会社や専門業者と相談し、拠点全体のネットワーク停止も検討します。

3．USBメモリーや外付け機器を外す

感染端末にUSBメモリーや外付けハードディスクが接続されている場合は、追加の書き込みや暗号化を防ぐため、取り外すことを検討します。

ただし、取り外した機器は安全とは限りません。

別のパソコンへすぐに接続して、中身を確認しないでください。

取り外したUSBメモリーや外付けハードディスクには、次の情報を記載して保管します。

調査が必要になる可能性があるため、自己判断で初期化やフォーマットをしないようにします。

4．責任者と保守会社へ連絡する

現場の職員だけで解決しようとせず、決められた責任者へ連絡します。

連絡先の例

中小企業や児童館では、パソコンを購入した販売店が、ランサムウェア調査や復旧まで対応できるとは限りません。

日頃から、感染時にどの範囲まで対応してもらえるか確認しておくことが重要です。

連絡時に伝える内容

5．画面、時刻、操作内容を記録する

感染時の状況は、原因調査や被害範囲の確認に役立ちます。

職員の記憶が薄れないうちに、時系列で記録してください。

記録する項目

脅迫文や身代金要求画面が表示されている場合は、内容を記録します。

ただし、攻撃者が記載したメールアドレスやチャットへ、現場の職員が直接連絡してはいけません。

電源はすぐに切るべきか

ランサムウェア感染時に迷いやすいのが、「パソコンの電源をすぐに切るべきか」という問題です。

基本的には、最初にネットワークから切り離し、可能であれば電源を入れたまま専門業者へ相談します。

電源を切ると、パソコンのメモリー上に残っている情報、実行中のプログラム、通信状況など、調査に役立つ情報が失われる場合があるためです。

一方で、ファイルの暗号化が現在も進んでおり、ネットワークを切断できない場合などは、被害を止めるために電源を切る判断が必要になることもあります。

電源に関する基本的な考え方

感染したパソコンを何度も再起動すると、ランサムウェアが再度動作したり、調査に必要な情報が失われたりする可能性があります。

「再起動すれば直るかもしれない」という感覚で操作するのは避けましょう。

NASや共有フォルダーはどうすればよいのか

中小企業や児童館、福祉施設では、複数の職員が共同で利用するため、NASや共有フォルダーにデータを保存していることがあります。

感染したパソコンからNASへアクセスできる状態だった場合、NASのデータも暗号化される可能性があります。

確認すること

ただし、感染が疑われるパソコンからNASを確認してはいけません。

別の安全が確認された管理端末から確認するか、保守会社へ依頼します。

NASの電源を切るべきか

NASでも暗号化が進行している場合は、被害拡大を防ぐためにネットワークから切り離す必要があります。

ただし、突然電源コードを抜くと、NASのファイルシステムを破損させる可能性があります。

可能であれば、保守会社やメーカーへ相談したうえで、安全な方法でネットワーク切断やシャットダウンを行います。

相談する時間がなく、暗号化が明らかに進行している場合は、事業者側で緊急停止を判断しなければならないこともあります。

バックアップを最優先で保護する

ランサムウェア感染時は、被害を受けていないバックアップを守ることが非常に重要です。

自動バックアップが動作していると、暗号化されたファイルによって、正常なバックアップが上書きされる可能性があります。

確認するバックアップ

被害を受けていないバックアップは、ネットワークから切り離す、別の安全な場所へ退避するなどの対応を検討します。

ただし、感染端末からバックアップ先へ接続して作業しないでください。

注意

バックアップが存在していても、感染前の正常なデータかどうかは別の問題です。

攻撃者が数週間前から侵入していた場合、バックアップの中にも不正プログラムや変更された設定が含まれている可能性があります。

やってはいけない対応

感染端末をそのまま使い続ける

「一部のファイルだけが開けないから」と業務を続けると、他のデータや共有フォルダーへ被害が広がる可能性があります。

感染端末を社内ネットワークへ戻す

原因や侵入経路が解消されていない状態で再接続すると、再感染や他端末への感染拡大につながります。

別のパソコンにUSBメモリーを接続する

感染端末で使用していたUSBメモリーは、不正プログラムが入っている可能性があります。

安全な端末へ安易に接続しないでください。

自己判断で初期化する

パソコンを初期化すると、侵入経路や被害範囲を確認するための証拠が失われます。

また、感染端末だけを初期化しても、VPN、サーバー、管理者アカウントなど別の侵入経路が残っていれば、再び被害を受ける可能性があります。

不審なファイルやログを削除する

脅迫文、不審なファイル、メール、Windowsイベントログ、ウイルス対策ソフトの記録などは、調査に役立つ可能性があります。

攻撃者へ職員が直接連絡する

身代金要求画面に連絡先が書かれていても、現場の職員が独断で連絡してはいけません。

情報を追加で伝えてしまったり、不適切な約束をしたりする可能性があります。

SNSへ被害状況を書き込む

未確認の情報をSNSへ投稿すると、利用者や取引先へ混乱を与える可能性があります。

外部への説明は、組織内で窓口を一本化して行います。

他のパソコンも感染していないか確認する

ランサムウェアは、最初に症状が出た1台だけに感染しているとは限りません。

攻撃者がすでに社内ネットワークへ侵入し、複数の端末やサーバーを操作している可能性があります。

他端末で確認する症状

ただし、職員が感染確認のためにファイルを次々と開くことは避けます。

EDRやウイルス対策の管理画面、サーバー・ネットワーク機器のログなどを利用し、管理者や専門業者が確認します。

パスワードを変更する

ランサムウェア攻撃では、パスワードや認証情報が盗まれている可能性があります。

特に、次のアカウントは優先して確認します。

パスワード変更は、感染端末ではなく、安全が確認された別の端末から行います。

感染端末から変更すると、新しいパスワードまで盗まれる可能性があります。

パスワード変更時の注意

攻撃者が多要素認証の設定やメール転送設定を変更している場合もあるため、パスワードだけでなくアカウント設定全体を確認します。

侵入経路を塞ぐまで復旧しない

感染したパソコンを初期化し、バックアップからデータを戻せば解決するとは限りません。

侵入経路が残っていると、復旧した直後に再び攻撃される可能性があります。

主な侵入経路

復旧前には、VPN、ルーター、UTM、サーバー、クラウドアカウントなども確認する必要があります。

パソコンだけを入れ替えても、ネットワーク機器や管理者アカウントが侵害されたままでは安全ではありません。

身代金は支払うべきか

攻撃者へ身代金を支払っても、データが確実に復旧する保証はありません。

復号用のプログラムが正常に動かない、復号に非常に長い時間がかかる、一部のファイルが壊れるなどの可能性があります。

また、身代金を支払っても、盗まれた情報が削除される保証はありません。

一度支払った組織が、再び攻撃や脅迫の対象になる可能性もあります。

身代金に関する基本方針

現場の職員や担当者が独断で支払い、交渉、返信を行ってはいけません。

経営者、法人本部、警察、弁護士、保険会社、セキュリティ専門業者などを含めて組織として判断します。

JPCERT/CCは、攻撃者の要求には応じず、侵入経路を塞いだうえでバックアップから復旧する方針を示しています。

バックアップから復旧する際の注意点

バックアップが残っている場合でも、すぐにすべてを元へ戻してはいけません。

最初に、復旧先の環境が安全であることを確認します。

復旧前に確認すること

業務を急いで再開すると、原因が残ったまま復旧してしまう場合があります。

重要なシステムから段階的に復旧し、通信やログを監視しながら再開します。

中小企業で当日中に決めること

ランサムウェア被害は、単なるパソコンの故障ではありません。

業務停止、取引先への影響、個人情報漏えい、広報対応など、会社全体の問題になります。

当日中に決めたい役割

社外から問い合わせが来た際に、職員ごとに異なる回答をしないよう、窓口を一本化します。

確認する業務影響

児童館・福祉施設で特に確認すること

児童館、学童保育、福祉施設では、子ども、利用者、保護者、職員に関する個人情報を保存している可能性があります。

保存されている可能性がある情報

ランサムウェアによってデータが暗号化されただけに見えても、攻撃者が事前に情報を外部へ持ち出している可能性があります。

「データが開けないだけだから、情報漏えいではない」と自己判断しないようにします。

施設内で確認すること

自治体から委託を受けて運営している児童館や福祉施設では、委託契約や情報セキュリティに関する仕様書に報告期限や連絡先が定められている場合があります。

契約書、仕様書、個人情報取扱特記事項などを確認してください。

個人情報保護委員会への報告が必要になる場合

個人データの漏えい、滅失、毀損などが発生し、個人の権利利益を害するおそれが大きい一定の事案では、個人情報保護委員会への報告と本人への通知が必要になります。

ランサムウェアによって個人データが暗号化され、復元できない場合や、外部へ持ち出されたおそれがある場合も、報告対象になる可能性があります。

マイナンバーを含む情報が被害を受けた場合は、特定個人情報としての対応も必要です。

注意

報告が必要かどうかは、保存されていた情報、漏えい・滅失・毀損の状況、本人への影響などによって異なります。

法人本部、個人情報保護担当者、弁護士、所管機関などへ早めに相談してください。

警察や専門機関へ相談する

ランサムウェアは犯罪です。

被害を受けた場合は、都道府県警察のサイバー犯罪相談窓口への相談を検討します。

初動対応や技術的な判断に困った場合は、JPCERT/CC、IPA、セキュリティ専門企業へ相談できます。

主な相談先

緊急対応を依頼する専門業者は、調査内容や費用、対応開始までの時間、証拠保全の範囲を確認して選びます。

初動対応チェックリスト

順番対応内容確認
1感染が疑われるパソコンの操作を止めた□
2LANケーブルを抜き、Wi-Fiを切った□
3USBメモリーや外付け機器を分けて保管した□
4施設長・責任者・保守会社へ連絡した□
5画面、発見時刻、直前の操作を記録した□
6自己判断で再起動や初期化をしていない□
7他のパソコンやNASへの影響を確認している□
8正常なバックアップをネットワークから保護した□
9安全な端末から管理者パスワードを変更した□
10個人情報や機密情報の保存状況を確認した□
11警察・専門機関・所管機関への相談を検討した□
12侵入経路を塞ぐ前に復旧を開始していない□

平常時に準備しておきたいこと

ランサムウェア被害が発生してから連絡先やバックアップを探しても、迅速な対応はできません。

平常時に次の準備をしておきましょう。

特に重要なのは、バックアップの復元テストです。

バックアップが正常に保存されているように見えても、実際にはデータを戻せないケースがあります。

まとめ

ランサムウェア感染が疑われたときは、ウイルスをすぐに駆除することよりも、被害を広げないことが最優先です。

最初に行うことは、次の5つです。

  1. パソコンの操作を止める
  2. LANケーブルを抜き、Wi-Fiを切る
  3. 責任者と保守会社へ連絡する
  4. 画面、時刻、直前の操作を記録する
  5. 自己判断で初期化や再起動をしない

その後、他のパソコン、NAS、サーバー、バックアップへの影響を確認し、安全な端末から管理者パスワードを変更します。

バックアップから復旧する場合も、侵入経路を特定し、脆弱性や盗まれたアカウントを修正してから行う必要があります。

最終的な結論

ランサムウェア感染時に最初に行うべきことは、「駆除」や「初期化」ではなく、感染端末をネットワークから隔離し、被害状況を記録して責任者へ報告することです。

中小企業や児童館、福祉施設では、専任担当者がいないからこそ、平常時に連絡先、役割分担、バックアップ、報告手順を決めておく必要があります。

よくある質問

ランサムウェアに感染したら、すぐに電源を切るべきですか？

まずLANケーブルを抜き、Wi-Fiを切ってネットワークから隔離します。電源を切ると調査に必要な情報が失われる場合があるため、可能であれば電源を入れたまま保守会社や専門業者へ相談します。ただし、暗号化が進行しており通信も切断できない場合などは、緊急停止を判断することがあります。

再起動すれば元に戻る可能性はありますか？

再起動しても暗号化されたファイルが元へ戻ることは通常ありません。ランサムウェアが再度動作したり、調査に必要な情報が失われたりする可能性があるため、自己判断で再起動しないでください。

感染したパソコンだけを初期化すれば大丈夫ですか？

十分ではありません。VPN、サーバー、管理者アカウント、他のパソコンなども侵害されている可能性があります。侵入経路と被害範囲を確認し、原因を解消してから復旧します。

NASのデータが無事なら、そのまま使ってもよいですか？

見た目では無事でも、攻撃者がアクセスしていた可能性や、自動バックアップによって暗号化データが上書きされる可能性があります。安全が確認できるまでは、バックアップを保護し、専門業者へ確認を依頼します。

身代金を払えばデータは戻りますか？

支払ってもデータが確実に復旧する保証はありません。また、盗まれた情報が削除される保証もありません。現場担当者が独断で支払いや交渉を行わず、経営者、警察、専門業者、弁護士などを含めて判断してください。

バックアップがある場合はすぐ復旧してよいですか？

侵入経路を塞がずに復旧すると、再び感染する可能性があります。管理者パスワードの変更、VPNやネットワーク機器の更新、バックアップの安全確認を行ってから段階的に復旧します。

ファイルが暗号化されただけでも個人情報漏えいになりますか？

個人データが復元できなくなった場合は毀損・滅失に該当する可能性があり、攻撃者に持ち出されたおそれがある場合は漏えいのおそれとして対応が必要になることがあります。個人情報保護担当者や専門家へ相談してください。

児童館の場合、最初に誰へ連絡すればよいですか？

施設長、法人本部、自治体の担当課、パソコンやネットワークの保守会社など、施設で定めた連絡先へ報告します。自治体からの委託施設では、契約書や仕様書に報告手順が定められていることがあるため確認してください。

参考資料

モバイルバージョンを終了