ランサムウェアとは、端末やサーバー上のデータを暗号化する、あるいはロックしたうえで、復旧と引き換えに金銭を要求するマルウェアの一種です。
データを暗号化せず、窃取したデータの公開だけを材料に金銭を要求する「ノーウェアランサム」と呼ばれる手口も広がっています。
被害発覚直後の初動対応を誤ると、被害範囲が拡大したり、復旧までの期間が長引いたりするおそれがあります。
なお、本記事は企業・組織における対応を想定しています。
【結論】 ランサムウェア被害では、被害発覚直後の初動対応がその後の被害範囲と復旧期間を大きく左右します。
最優先は、侵害・感染が疑われる端末・サーバーをネットワークから隔離すること。電源は原則として落とさず、隔離できない場合を含めて社内責任者・専門家の指示に従う
証拠保全と被害範囲の確認を並行して行い、攻撃者の要求にその場で応じない
社内責任者を起点に、専門ベンダー・警察・JPCERT/CC・保険会社・行政機関等への連絡を並行して進める
バックアップを早期に保護したうえで、復旧に着手する前にバックアップの健全性と侵入経路への対処状況を確認する
本記事では、ランサムウェア被害に遭った際の初動対応と復旧の考え方を解説します。
1. ランサムウェア被害に遭ったら、まず何をすべきか？
JPCERTコーディネーションセンター(JPCERT/CC)は、侵入型ランサムウェア攻撃を受けた際の初動対応の方針として、以下の3点を示しています。
(A)被害範囲を把握し、被害を最小化する
(B)侵入経路を塞ぎ、原因を解消する
(C)攻撃者の要求には応じず、バックアップから復旧する
（出典：JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」）
多くの企業では、ランサムウェア対策というと、感染を防ぐための入口対策に意識が向きがちです。
しかし、どれだけ対策を講じても、侵害・感染の可能性を完全にゼロにすることは困難です。
ランサムウェア被害や侵害が疑われる状況になったとき、初動対応の早さと的確さが、被害の広がり方や復旧までの期間を大きく左右します。
実際のランサムウェア被害の経緯や対応の難しさについては、以下の記事でも取り上げています。
ここからは、被害を認知した直後に行うネットワーク隔離、電源の扱い、証拠保全について具体的に解説します。
ランサムウェア被害や侵害が疑われる状況になったら、以下の3点を並行して進めます。
ネットワークからの隔離(2.1)
電源は原則として維持(2.2)
証拠保全と被害範囲の確認(2.3)
侵害・感染が疑われる端末を見つけた場合、まず行うべきはネットワークからの隔離です。
侵入型のランサムウェア攻撃では、暗号化の前段階で攻撃者が内部に侵入し、認証情報の窃取や権限昇格、他システムへの横展開を行っているケースがあります。
LANケーブルを抜く、無線LANをオフにするなどして、攻撃者による操作の継続や他システムへの横展開、追加の情報窃取・暗号化を防ぐことが最優先になります。
攻撃者の侵害範囲が社内ネットワーク全体に広がると、業務システムやバックアップサーバーまで被害が及び、復旧の難易度が一気に高まります。
侵害・感染が疑われる端末は、まずLANケーブルを抜く、無線LANを無効化するなどしてネットワークから隔離します。
電源を切ると、メモリ上に残っている攻撃の痕跡など、原因調査に必要な情報が失われる可能性があるため、原則として電源操作は行わず、社内のインシデント対応責任者や専門家の指示を仰ぎます。
ただし、端末をネットワークから隔離できず、攻撃の継続や被害拡大を止める手段が他にないときは、電源を落とす対応が必要になることもあります。
現場の担当者が一律に判断せず、あらかじめ定めた基準や責任者の指示に従うことが重要です。
（出典：CISA「I've Been Hit By Ransomware!」）
並行して、どの端末・どのサーバーが、いつ頃から影響を受けているのか、被害範囲の確認を進めます。
ランサムウェアの種類によっては、暗号化されたファイルの拡張子や、デスクトップに残された脅迫文(ランサムノート)から、ランサムウェアの種類や関連する攻撃情報をある程度推定できる場合があります。
この段階の記録は、後の原因調査や警察への相談、保険会社とのやり取りで役立つ場合があるため、可能であれば別端末で画面を撮影するなどして、ログとあわせて保全しておくことが重要です。
初動対応では、次のような行動は避ける必要があります。
侵害・感染が疑われる端末の電源を安易に切る
社内責任者や専門家の判断なく、バックアップを含む全システムを一律にシャットダウンする
社内の判断者を通さずに、独断で攻撃者の要求に応じたり身代金を支払ったりする
侵害・感染が疑われる端末を初期化・再インストールして証拠を消してしまう
SNS等で被害状況を安易に発信する
これらの行動は、被害拡大の防止や原因調査、その後の対外説明を難しくするおそれがあります。
連絡は固定的な一本道の順番で進めるものではなく、社内のインシデント対応責任者を起点に、以下の連絡先への対応を並行して進めます。
社内: 経営層・情報システム部門・法務・広報などを含めた判断体制を早期に立ち上げる
専門ベンダー: 契約中のセキュリティベンダーやインシデント対応事業者に、調査・封じ込め・復旧支援を依頼する
警察: 被害規模にかかわらず早期に通報・相談する
JPCERT/CC: 初動対応、ランサムウェアの種別、侵入経路、窃取された情報が外部に公開される可能性などについて相談する
保険会社: サイバー保険に加入している場合、契約で定められた連絡手順や利用可能な対応ベンダーを確認する
行政機関等: 個人データの漏えい・滅失・毀損またはそのおそれがある場合、個人情報保護委員会や所管省庁等への報告が必要になるか確認する
取引先・委託元: 契約で一定期限内の報告が義務付けられている場合があるため、契約内容を確認して連絡する
業務停止の影響範囲や、対外説明が必要になるかどうかは、現場の技術判断だけで決められるものではないため、早い段階で経営層を巻き込む必要があります。
JPCERT/CCは被害組織からの相談を受け付け、初動対応の助言やセカンドオピニオンを提供しています。
（出典：JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」）
個人情報保護法上の「漏えい等」には、外部への漏えいだけでなく、個人データの滅失・毀損も含まれます。
ランサムウェアによって個人データが暗号化され、復元できなくなった場合も、報告対象事態の例として挙げられています。
個人の権利利益を害するおそれが大きい事態(報告対象事態)に該当する場合は、個人情報保護委員会への報告と本人への通知が義務付けられており、報告は速報(発覚から概ね3～5日以内)と確報(原則30日以内、不正な目的で行われた行為による場合等は60日以内)の2段階で行う必要があります。
本人への通知が困難な場合は、事案の公表や問い合わせ窓口の設置など、本人の権利利益を保護するために必要な代替措置を講じることが認められています。
報告対象となる事態の判断基準や、社内の確認・報告手順は、平時のうちに整理しておくことが望まれます。
（出典：個人情報保護委員会「漏えい等報告・本人への通知の義務化について」）
攻撃者から身代金を要求された場合でも、支払いに応じることは推奨されません。
支払ったとしても、データが復号される保証はなく、支払い自体が攻撃者グループへの資金供与となり、次の攻撃を助長するおそれがあります。
JPCERT/CCも、攻撃者の要求には応じず、バックアップからの復旧を基本方針として示しています。
攻撃者とのやり取り自体が、こちらの対応状況や交渉姿勢を相手に伝えてしまうリスクもあるため、窓口を一本化し、担当者の判断で個別に返信しないことも重要です。
ただし、事業継続への影響が極めて大きい場合の最終判断は、経営層が専門家の助言を踏まえて行う必要があり、現場担当者だけで判断すべき事項ではありません。
近年は、データを暗号化するだけでなく、窃取したデータを公開すると脅す「二重恐喝」の手口も広がっています。
二重恐喝への備えについては、以下の記事で詳しく解説しています。
復旧は、次のような手順で進めるのが一般的です。
ステップ1: 被害範囲を確認し、侵害が確認された系統と、侵害されていないと判断した系統とのネットワーク分離を維持する
ステップ2: 侵入経路(脆弱性、認証情報の窃取など)を調査し、判明または推定した侵入経路について、脆弱性の修正や認証情報のリセットなどの対処を行う
ステップ3: バックアップの健全性を確認し、侵害や不正な変更が行われる前の時点まで遡れるかを確認する
ステップ4: 隔離された環境で復旧作業を行い、攻撃者が残したマルウェア・バックドア・不正な設定等が排除され、再侵害の兆候がないことを確認してから本番環境へ切り戻す
ステップ5: 復旧後も、しばらくは通常より高い頻度でログを監視し、再発の兆候がないか確認する
原因や考えられる侵入経路に対処せず復旧だけを急ぐと、同じ経路から再度侵害されるおそれがあるため、ステップ2の調査・対処を省略しないことが重要です。
ステップ2(侵入経路への対処)とステップ3(バックアップの健全性確認)は、状況に応じて並行して進めることもあります。
バックアップの保護自体は、被害範囲の確定と同時に早い段階で行い、実際の復旧作業に入る前に、判明または推定した侵入経路への対処を行っておくことが重要です。
ランサムウェア対策では、ハードウェア障害や操作ミスからの復旧だけを想定したバックアップでは不十分な場合があります。
以下にて、ランサムウェアを十分に考慮していない構成例と、攻撃を考慮した構成例を比較します。
|
比較項目 |
ランサムウェアを十分に考慮していない構成例 |
ランサムウェアを考慮した構成例 |
|
保存先 |
同一ネットワーク内のストレージが中心 |
オフライン、イミュータブル、論理的に隔離された保存先などを組み合わせる |
|
世代管理 |
直近の数世代を保持 |
侵害や不正な変更が行われる前まで遡れるよう、十分な期間の世代を保持 |
|
アクセス権限 |
通常の管理者権限で操作可能 |
バックアップ自体が暗号化・削除されないよう、権限を分離・制限 |
|
復旧の前提 |
ハードウェア障害からの復旧を想定 |
復旧前に、判明または推定した侵入経路への対処を行うことを前提とする |
|
改ざん・削除への耐性 |
運用担当者が誤って削除・上書きしないよう配慮する程度 |
イミュータブル(WORM)ストレージ等、変更・削除できない設定を活用する |
|
管理アカウント |
バックアップも通常の管理者アカウントで運用 |
バックアップ管理用のアカウントを、通常業務の管理者アカウントと分離する |
|
復旧の検証 |
障害発生時に都度確認 |
復旧テストを定期的に実施し、目標復旧時点(RPO)・目標復旧時間(RTO)を満たせるか確認する |
別セグメントに保存するだけでは、攻撃者が管理者権限を取得した場合にアクセスされる可能性があります。
バックアップをネットワークから切り離してオフラインで保存するなど、暗号化されないための備えを組み合わせることが重要です。
（出典：警察庁「ランサムウェア被害防止対策」）
被害規模によって大きく異なりますが、警察庁の調査では、調査・復旧費用が総額1,000万円以上となった組織が全体の5割を超えています。
また、1か月未満で復旧した組織は全体の5割強にとどまり、調査時点で復旧中だった組織も確認されています。
ただし、これはランサムウェア被害に遭い、調査に回答した企業・団体等の分布であり、個別案件の費用や期間にそのまま当てはまるものではありません。
（出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）
費用・期間は、主に次の要因によって変動します。
調査対象となる端末数・サーバー数(フォレンジック調査費用に影響)
健全なバックアップの有無(復旧までの作業内容・期間に影響)
影響を受けた業務システムの範囲(再構築・動作確認の工数に影響)
侵入経路や侵害範囲の調査難易度(原因調査にかかる期間に影響)
健全なバックアップが残っていない場合や、業務システムが多岐にわたる場合は、調査・復旧の両面で期間・費用がさらに膨らむ傾向があります。
警察庁に報告された企業・団体等のランサムウェア被害件数は、2025年で226件となり、前年からわずかに増加し、過去2番目に多い水準となっています。
この数値は警察庁が把握・報告を受けた件数であり、実際に発生した被害の全件数を示すものではありませんが、被害件数が高止まりしている状況は、初動対応や復旧にかかる費用・期間を平時から想定しておく必要性を示唆しています。
（出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）
復旧後は、侵入経路となった脆弱性やアカウントの管理方法を見直すとともに、次のような観点で再発防止策を検討します。
VPN機器やリモートデスクトップなど、外部からアクセス可能な経路の脆弱性対応状況を棚卸しする
多要素認証の導入状況を見直す
バックアップの保存先・世代管理・アクセス権限を、ランサムウェアを意識した構成に見直す
重要フォルダへのアクセス権限を、業務に必要な範囲まで絞り込む
インシデント発生時の連絡体制・初動対応マニュアルを整備し、定期的に見直す
特にアクセス権限の見直しは、被害範囲を限定するうえで効果的な対策の一つです。
利用環境に応じた権限設計の考え方については、以下の記事で詳しく解説しています。
バックアップは重要な復旧手段ですが、バックアップが存在するだけで復旧が簡単になるとは限りません。
判明または推定した侵入経路に対処しないまま復旧すると、同じ経路から再度侵害されるおそれがあります。
また、バックアップ自体が暗号化・削除されていないか、攻撃者による不正な変更が含まれていないかの確認も必要です。
必要です。
警察庁は、ランサムウェアをサービスとして提供する「RaaS(Ransomware as a Service)」の広がりにより、攻撃を行う側の裾野が広がっていると分析しています。
攻撃対象が特定の業種・規模に限定されているわけではないため、企業規模にかかわらず備えが必要です。
取引先とのシステム連携がある場合、自社の対策不足がサプライチェーン全体への影響につながるおそれもあります。
（出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」）
サイバー保険は、フォレンジック調査費用や損害賠償費用の一部を補償する場合がありますが、補償範囲や上限額は契約内容によって異なります。
保険に加入している場合でも、契約時に定められた初動対応の手順(指定ベンダーへの連絡等)に従う必要があるケースがあるため、平時に契約内容を確認しておくことが重要です。
必要になる場合があります。
個人情報保護法上の「漏えい等」には、外部への漏えいだけでなく、個人データの滅失・毀損も含まれます。
ランサムウェアによって個人データが暗号化され、復元できなくなった場合も報告対象となることがあるため、外部流出の有無だけで判断せず、法務担当者や専門家に確認することが重要です。
ランサムウェア被害からの復旧では、被害発覚直後の初動対応が、その後の被害範囲や復旧までの期間を大きく左右します。
ネットワークからの隔離を最優先に、電源は原則として切らず証拠を保全しながら、社内外への連絡体制を整えることが基本です。
身代金の支払いに安易に応じず、原因を調査し、判明または推定した侵入経路に対処したうえでバックアップから復旧し、復旧後は再発防止策まで見直しましょう。
初動対応の手順や連絡体制は、実際にインシデントが起きてから整えるのでは間に合わないため、平時のうちに社内マニュアルとしてまとめ、定期的に訓練しておくことが望まれます。
平時からの備えが、いざという時の対応スピードを左右します。
ランサムウェア攻撃では、データの暗号化に加えて、窃取したデータを公開すると脅す二重恐喝の手口も広がっています。
以下の製品は、被害発生後の隔離・フォレンジック調査・システム復旧そのものを代替するものではなく、平時のデータ持ち出し制御やアクセス権限管理を補強し、被害発生時の影響範囲を抑えるための選択肢です。
情報漏洩対策製品「NonCopy 2」では、保護フォルダ内のファイルに対し、設定に応じてコピー・持ち出し・インターネット利用などを制御できます。
あらゆる攻撃による情報流出を防ぐものではありませんが、端末からのデータ持ち出しリスクを低減する選択肢になります。
「CL-UMP」は、対応するクラウドストレージ上のコンテンツについて、アクセス元の端末や利用環境に応じてアクセス権限を動的に切り替える製品です。
現在提供されている「CL-UMP for Box」では、同じアカウントでも端末の状況に応じて異なる権限を適用できます。
必要以上の閲覧・編集権限を抑えることで、アカウントや端末が侵害された場合の影響範囲を限定する一要素として活用できます。
自社だけでは判断が難しい部分は、無理に運用でカバーしようとせず、専門サービスへの相談も検討するとよいでしょう。
弊社、サイエンスパーク株式会社は1994年の創業より、ソフトウェア・ハードウェアのセキュリティ対策を30年以上に渡り続けてまいりました。
セキュリティリスクの診断から対策導入・運用までのお手伝いが可能ですので、お気軽にお問い合わせくださいませ。ご相談だけでも大歓迎です。
参考情報・出典
・JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」
・警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」
・CISA「I've Been Hit By Ransomware!」
・個人情報保護委員会「漏えい等報告・本人への通知の義務化について」