ランサムウェア感染・不正アクセスの初動対応｜ネットワークからの隔離、電源を切らない理由、警察・IPA・個人情報保護委員会への連絡
パソコンの画面に身代金を要求するメッセージが出た、ファイルが開けなくなった。ランサムウェアや不正アクセスが疑われるときは、端末をネットワークから切り離し、ログを残すために電源は切らずに、責任者と外部の窓口に連絡します。IPAの「中小企業のためのセキュリティインシデント対応の手引き」と警察庁の案内をもとに、最初の数時間でやることと報告先を整理します。
- 対象読者
- 情報システムを兼任する、従業員30〜300名の企業の総務担当者
- 難易度
- 実務
- 所要時間
- 読了8分
- 最終確認日
この記事のポイント
- 感染が疑われる端末は、LANケーブルを抜く・無線をオフにするなどしてネットワークから隔離する。調査に必要なログが消えるおそれがあるため、電源は落とさない
- 警察（最寄りの警察署または都道府県警察のサイバー犯罪相談窓口）に通報・相談し、IPAの届出窓口にも届け出る。個人データの漏えいのおそれがあれば個人情報保護委員会への報告と本人への通知を検討する
- 警察庁は、身代金の支払いについて犯罪グループの活動資金となるおそれがあり、データの復号も保証されないと説明している。復旧はバックアップからの復元を基本に考える
朝、出社した社員から「パソコンの画面に英語の脅迫文が出ている」「共有フォルダのファイルが全部開けない」と連絡が入る。ランサムウェア（データを暗号化して使えなくし、復元の対価を要求する不正プログラム）の被害は、規模の小さな会社でも起きています。警察庁は、データを暗号化したうえで盗み、「払わなければ公開する」と脅す二重恐喝が被害の多くを占めていると説明しています。
この記事では、IPA（情報処理推進機構）の手引きと警察庁の案内をもとに、被害が疑われたときの最初の数時間でやることを整理します。日ごろの対策は情シス兼任総務の情報セキュリティ最低限チェックを参照してください。
最初の1時間でやること
| 順番 | やること | ポイント |
|---|---|---|
| 1 | 端末をネットワークから隔離する | LANケーブルを抜く、無線LANをオフにする。Wi-Fiルーターごと止めるかは被害範囲で判断 |
| 2 | 電源は切らない | 調査に必要なログが消えるおそれがある。再起動もしない |
| 3 | 画面を記録する | 脅迫文（ランサムノート）や警告画面をスマートフォンで撮影する |
| 4 | 情報セキュリティ責任者・経営者に報告する | 発見者、発見日時、端末名、症状を伝える |
| 5 | 被害範囲を確認する | 同じネットワークの端末、共有フォルダ、サーバー、クラウドに異常がないか |
| 6 | 外部に連絡する | 保守ベンダー、警察、IPAなど（後述） |
警察庁も、被害拡大を防ぐために感染した端末をネットワークから隔離し、ログが消失する場合があるためパソコンやネットワーク機器の電源は落とさないよう呼びかけています。
従業員に周知しておく一文：「画面に脅迫文が出たら、電源は切らずにLANケーブルを抜き、すぐ総務（担当者名・内線）に電話する」。慌てて電源を切ったり、自分で直そうとしたりするのを防ぎます。
社内の対応体制を立ち上げる
IPAの手引きは、インシデント（情報セキュリティ上の事故）の対応を「検知・初動対応」「報告・公表」「復旧・再発防止」の3段階で示しています。情報セキュリティ責任者が対応すべき事案と判断したら、経営者に報告し、経営者が責任者と担当者、役割分担を決めます。
手引きは、対応時に次の事項を整理しておくよう勧めています。
- インシデントの分類（情報漏えい、ウイルス感染、システム停止など）
- 発覚日時と、調査でわかった発生日時
- 発生した事象と影響、時系列の対応経過
- 想定される原因
- 被害を受けたシステムの概要（所在地、OS、アプリケーションとバージョン、構成図）
時系列のメモは、最初から1つのファイル（または紙）にまとめて記録していきます。後の警察への相談、取引先への説明、保険の請求のすべてで使います。
連絡・報告先
| 連絡先 | どんなとき | 内容 |
|---|---|---|
| 警察 | ランサムウェア被害、不正アクセスなど犯罪性がある場合 | 最寄りの警察署または都道府県警察のサイバー犯罪相談窓口に通報・相談。警察庁にはオンラインの受付窓口もある |
| IPA 届出窓口 | ウイルス感染、不正アクセスの場合 | コンピュータウイルス・不正アクセスの届出 |
| IPA 相談窓口 | 対応方法がわからないとき | 企業組織向けサイバーセキュリティ相談窓口 |
| 個人情報保護委員会 | 個人データの漏えい等（そのおそれを含む）で報告対象に当たる場合 | 速報・確報と本人への通知（個人情報の漏えいが起きたときの初動対応） |
| 保守ベンダー・契約先 | 機器・システムの調査や復旧 | 保守契約の範囲、フォレンジック調査（ログや記憶媒体の調査）の手配 |
| サイバー保険の保険会社 | 加入している場合 | 事故の連絡期限、費用補償の対象（会社の損害保険の見直し） |
| 取引先・委託元 | 預かっている情報や、取引先とつながるシステムに影響がある場合 | 契約に定めた報告義務の確認 |
ランサムウェアでは、暗号化されたデータの中に従業員や顧客の個人データが含まれていることが多く、データが盗まれたかどうかわからない段階でも、個人情報保護委員会への報告対象になることがあります。早い段階で漏えい対応の担当者を決めておきます。
警察への相談で聞かれること
警察庁は、警察は被害組織の復旧作業や業務継続に配慮しながら捜査を進めるとしており、発生直後はログの保存などだけを依頼し、後から詳しい状況を聞くこともあると説明しています。提供を求められる情報の例として、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図を挙げています。
身代金は支払わない前提で考える
警察庁は、ランサムウェア攻撃グループから要求される金銭等の支払いについて、犯罪グループ等の活動資金となることが懸念されること、暗号化されたデータの復号が保証されるわけではないことを被害者に説明していると案内しています。
復旧は次の順で検討します。
- 被害の範囲を特定し、侵入経路（VPN機器、リモート接続、漏えいしたパスワードなど）をふさぐ
- バックアップから復元する。バックアップ自体が暗号化されていないか、復元前に確認する
- 復号ツールが公開されている場合は試す（IPAの手引きは、No More Ransomなどから入手できる場合があるとしている。すべてに対応しているわけではない）
- 復元できない場合は、端末やシステムを再構築する
警察庁は、侵入経路として、VPN機器などインターネットに露出した箇所、修正されていない脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備を挙げています。復旧の前に侵入経路をふさがないと、再び被害に遭うおそれがあります。
業務の継続と社外への説明
- 受注・出荷・給与支払など、止められない業務を洗い出し、紙やほかの手段での代替を決める（システム障害・停電時のBCP）
- 顧客や消費者に影響がある場合は、問い合わせ窓口を決め、ウェブサイトなどでの公表の時期と内容を検討する
- 社内には、外部への問い合わせ対応を窓口に一本化することと、SNSなどで発信しないことを周知する
平時に準備しておくこと
| 準備 | 内容 |
|---|---|
| 連絡先の一覧 | 責任者、保守ベンダー、警察の相談窓口、IPA、保険会社。紙でも保管する |
| バックアップ | 複数の媒体に取り、1つはバックアップ時だけ接続するかオフサイトに保管。定期的に復元を試す |
| ログの取得 | ネットワーク機器や端末のログを取得し、バックアップと同様に保管する |
| 訓練 | 被害を想定し、連絡、警察への通報、広報、復旧手順を確認する |
| 規程 | インシデント発生時の報告ルートと権限を情報セキュリティ規程に書く |
バックアップの方法はバックアップサービスの選び方、パスワードの管理はパスワード管理のルール、不審なメールへの対策はメールセキュリティで解説しています。
まとめ
- 感染が疑われたら、ネットワークから隔離し、電源は切らずに責任者へ報告する
- 発見日時・症状・対応経過を時系列で記録し、警察・IPA・保守ベンダーに連絡する。個人データが関係すれば個人情報保護委員会への報告を検討する
- 身代金は活動資金になるおそれがあり、復号も保証されない。侵入経路をふさいだうえでバックアップから復元する
- 連絡先一覧、オフラインのバックアップ、ログの取得、訓練を平時に準備しておく