ランサムウェアに感染したら？まずやるべき初動対応と平時の備えを解説

企業の規模を問わず、サイバー攻撃による被害が連日のように報道されています。なかでも、データを暗号化して身代金を要求するランサムウェアは、業務の停止や機密情報の漏えいを引き起こす脅威といえます。

業種を問わず1名体制で社内ITを支える「ひとり情シス」や、総務・管理部門がIT業務を兼任している組織では、緊急時に相談できる相手がおらず、対応に苦慮する担当者の方も少なくありません。

この記事では、ランサムウェアへの感染が疑われる事態が発生した際に「最初に何をすべきか」という初動対応の手順から、被害状況の確認ポイント、日常運用の備えについて解説します。

ランサムウェアに感染したら最初に何をする？

ランサムウェアへの感染が発覚した直後、最優先で取りたい初動の手順を解説します。

①関係者へ報告し、対応体制を立ち上げる

感染の事実や疑いを発見した際、やってはいけないのが「担当者が単独で復旧を試みようとする」ことです。

ランサムウェアの被害は、一担当者の手に負えるものではありません。あらかじめ定められた社内のエスカレーションルート（報告経路）に従い、経営層やセキュリティの責任者、関連部門へ速やかに報告します。

夜間や休日であっても、経営リスクとして直ちに緊急対策チームを立ち上げ、全社的な対応へと移行することが不可欠です。

②感染端末や疑わしい機器をネットワークから切り離す

ランサムウェアの多くは、感染した端末を踏み台にして、社内ネットワーク（LAN）を通じてほかのシステムにも感染します。

そのため、被害の拡大を防ぐための確実な物理的措置として、感染が疑われる端末を直ちに社内ネットワークから切り離してください。具体的には、有線LANケーブルを抜く、Wi-Fi接続をオフにする、といった操作です。このとき、ネットワークからは切断しても、端末の電源自体は切らないように注意が必要です。

③再起動や電源断を急がない

パソコンの動作がおかしくなった場合、再起動や強制終了をすることがありますが、ランサムウェア感染時にこの操作を行うのは危険です。

パソコンを再起動したり電源を切ったりすると、メモリ上に残っていた「暗号化を解くための鍵」や、感染経路を特定するための重要なログ（証跡）が消失してしまう可能性があります。

また、再起動をきっかけに新たな暗号化プロセスが走り出し、さらに被害が悪化するケースも報告されています。ネットワークから切り離したあとは、画面をそのままの状態にして一切の操作を停止してください。

④自社だけで判断できない場合は専門機関へ相談する

少人数の情シス体制では、高度なマルウェア解析や感染経路の特定を自社内だけで完結させることが困難な場合があります。速やかに外部の専門機関やセキュリティベンダーに支援を要請します。

また、各都道府県の警察本部に設置されているサイバー犯罪相談窓口へ通報することも重要です。さらに、独立行政法人情報処理推進機構（IPA）などでも、情報セキュリティに関する相談窓口を設けており、今後の対応に向けた助言を得ることができます。

独立行政法人情報処理推進機構（IPA）『ランサムウェア対策特設ページ』

警察庁『サイバー事案に関する相談窓口』

ランサムウェア感染時に確認したいポイント

初動対応によって被害の拡大を一時的に食い止めたら、次は「何が起きているのか」を客観的に把握するための調査に移ります。

どの端末・サーバ・共有領域に影響が出ているか確認する

ランサムウェアの感染被害が、発見された端末1台にとどまっているのか、それともネットワークを通じてファイルサーバや基幹システム、さらにはほかの端末へ感染しているのか、被害状況を確認します。

ほかの従業員に対しても、パソコンの動作に異常がないか、開けなくなったファイルがないかを確認するようアナウンスし、被害の範囲の特定を急ぎます。被害状況の全容が見えない段階で、安易に業務を再開させることは二次被害につながる可能性があります。

なお、ランサムウェアに感染した場合の症状は以下が挙げられます。

• パスワードが勝手に変更されている

• 保存データが暗号化されている

• 画面がロックされる

• 警告文が出る

• 身代金を要求される

バックアップデータが無事かどうか確認する

ランサムウェア被害から業務を復旧させるためにデータを復旧します。

バックアップデータがランサムウェアに感染していないかどうかを確認し、データが無事か、また最新のデータがいつ取得されたものであるかをチェックします。

バックアップデータがある場合でも、すぐに復元作業を始めるのではなく、まずはバックアップが感染・暗号化の影響を受けていないか、取得日時がいつかを確認します。復旧は、感染原因や影響範囲を確認し、再感染のリスクを抑えたうえで、初期化した端末や安全が確認された環境に対して実施することが重要です。

バックアップがない場合も、感染端末上で不用意に駆除や復元を試みるのではなく、専門事業者や公的な相談窓口に相談し、ランサムウェアの種別確認や復号ツールの有無を確認しながら対応します。

情報窃取の可能性も視野に入れる

ランサムウェアはデータを暗号化するだけでなく、社内の機密情報を盗み出し、「身代金を払わなければ情報を公開する」「取引先や顧客に通知する」と脅迫してくるケースがあります。

そのため、データが暗号化されるだけでなく、「いつ、どのデータが外部に漏えいした可能性があるか」という調査も進めることが重要です。

なお、身代金の要求には応じないようにしてください。身代金の支払いは、データ復旧を保証するものではなく、さらなる被害や攻撃者への資金提供につながるおそれがあります。要求には安易に応じず、警察や専門事業者に相談しながら対応方針を決めることが重要です。

記録を残しておく

外部の専門機関や警察による調査、あるいは今後の復旧作業を円滑に進めるためには、被害当時の記録（証跡）が重要になります。

感染に気づいた正確な日時、脅迫画面に表示されている文面、異常な動作を起こした機器の名称やIPアドレス、発見者が実施した初動対応（LANケーブルを抜いた時間など）を、時系列で詳細に記録します。

感染後だけでなく、平時に備えることが重要

ランサムウェア対策では、感染を防ぐためのセキュリティ対策だけでなく、万が一感染した場合でも迅速に復旧できる体制を整えておくことが重要です。

被害を最小限に抑えるためには、日頃からシステムや運用体制を見直し、有事に備えた準備を進めておく必要があります。

• バックアップを定期的に取得し、復元テストを実施する

• OSやセキュリティソフトを最新の状態に保つ

• IDやアクセス権限を適切に管理する

• 初動対応手順や連絡体制を文書化する

• 標的型攻撃メール訓練などの従業員教育を実施する

• 異常を発見した際に速やかに報告できる体制を整える

情シス視点で見直したい日常運用

ランサムウェア対策では、セキュリティ製品の導入だけでなく、日々の情報システム運用を適切に行うことが重要です。特に次のような項目を定期的に見直すことが重要です。

• ログ監視や障害対応フローの整備

• IT資産・アカウント管理の徹底

• Microsoft 365をはじめとするクラウド環境のセキュリティ強化

• 必要に応じた運用業務のITアウトソーシング活用

これらの取り組みを継続することで、ランサムウェアによる被害リスクの低減につながります。

ランサムウェア対策における日常運用のポイントについては、以下の記事で詳しく解説しています。

まとめ

この記事では、ランサムウェア感染の初動対応について、以下の内容を解説しました。

• ランサムウェアに感染したら最初に何をする？

• ランサムウェア感染時に確認したいポイント

• 感染後だけでなく、平時に備えることが重要

• 情シス視点で見直したい日常運用

ランサムウェア感染時の初動対応は速やかな判断と対応が求められますが、大切なのは「有事の際に慌てず、迷わないための体制と手順」を平時から作っておくことです。

しかし、少人数の情シス体制で日々の業務に追われながら、監視や資産管理などのセキュリティ運用までカバーするのは限界があります。自社のリソースだけでは対応が難しい場合は、情シス運用の支援も含めて外部連携を検討することも重要です。

『FGLテクノソリューションズ』では、経営基盤となるITインフラを安定稼働させるための監視・管理業務を代行するインフラ管理サービスを提供しています。ネットワークやサーバの管理、監視などを行い、事業活動の基盤となる社内システムの安定した稼働を実現します。