記事の概要を読む
ランサムウェア感染が疑われたら、調査完了を待たず隔離と報告を並行します。最初の1時間に確認する端末・共有領域・バックアップ、電源断と証跡保全の判断、責任者へ上げる条件を解説。情シスと発見者の役割、報告テンプレート、復旧を急ぐ前の確認点を公式情報に基づき整理します。
この記事の目次 9項目から選ぶ
発見直後から隔離・報告・記録を並行する
ランサムウェア感染が疑われる場面では、最初に目に入るのは暗号化されたファイルや身代金メモだ。しかし、実務で最初に決めるべきことは「復号できるか」ではない。感染が広がっているのか、共有領域やバックアップに触られているのか、証跡を残せているのかを見極めることだ。
この1時間で、慌てて電源を切る、端末を初期化する、暗号化ファイルだけ削除する、バックアップをすぐ本番へ戻す、といった動きをすると、調査と復旧の選択肢を狭める。ランサムウェアは暗号化だけでなく、認証情報の窃取、横展開、データ持ち出し、バックアップ破壊を伴うことがある。
この記事は、発見した従業員、情シス、対応責任者向けの判断ガイドだ。「最初の1時間」は整理の目安であり、隔離や報告を始めるまで待つ時間ではない。原因特定や証拠収集の完了を待たず、社内の緊急手順に沿って封じ込めと連絡を並行する。実作業の記録にはランサムウェア初動テンプレートを使う。
隔離・報告と並行して影響範囲を確認する
ランサムウェアの初動で最初にやることは、対象端末だけを見ることではない。暗号化が見えた端末は、すでに攻撃の最終段階かもしれない。先に侵入され、認証情報を奪われ、別の端末やファイルサーバーへ横展開された後に、最後に暗号化が起きている可能性がある。
まず、次の情報を同じメモに集める。
| 確認項目 | 見る理由 |
|---|---|
| 発見時刻と発見者 | タイムラインの起点になる |
| 対象端末・ユーザー・部署 | 影響範囲と連絡先を特定する |
| 身代金メモや拡張子の変化 | ランサムウェア疑いの根拠になる |
| EDR・AV・SIEMのアラート | 他端末や横展開の有無を見る |
| 共有フォルダの書き換え状況 | ファイルサーバー被害の広がりを見る |
| 直近のログイン・VPN・RDP利用 | 初期侵入や不正ログインの手がかりになる |
ここで重要なのは、原因を断定しないことだ。「このPCだけ」「社員が変なメールを開いた」「バックアップがあるから大丈夫」と早く結論を出すと、見落としが増える。発見者は追加のファイルを開いて再現せず、担当者が管理画面や保全したログで観測範囲を広げる。
隔離と電源断の判断
感染疑い端末は、社内で認められた方法でネットワークから切り離す。カナダの公的ガイドは、速やかな隔離と、隔離後は証拠保全のため電源を落とさないことを推奨している。電源断ではメモリ上の情報が失われるためだ。
一方、隔離できず被害が広がり続ける場合まで「絶対に電源を切らない」とは決めない。被害拡大と証跡喪失の両方を踏まえ、緊急手順に基づき責任者が判断する。医療・制御設備などは人の安全と設備固有の手順を優先する。判断した人、時刻、理由、実施した操作を残す。
発見者はCSIRT・SOC・情シス窓口へ連絡する。全社ネットワーク停止や証拠採取を、訓練されていない利用者が自己判断で行わない。連絡には感染疑い端末を使わず、事前に決めた電話などの別経路を使う。
担当者は次の項目を分担して判断する。
| 行動 | 目的 | 注意点 |
|---|---|---|
| ネットワーク隔離 | 横展開と外部通信を止める | 端末の電源断とは別の判断として扱う |
| 証跡メモ | 後の調査で時系列を再現する | 画面、時刻、ユーザー操作、アラート名を残す |
| 関連アカウント確認 | 認証情報悪用を止める | 同一ユーザーのVPN、SaaS、管理者権限を見る |
| 共有領域確認 | 被害範囲の拡大を止める | ファイルサーバーやNASを後回しにしない |
| バックアップ保護 | 復旧手段を守る | 本番への復元前に改ざん・暗号化有無を見る |
「暗号化された端末を一台隔離したので完了」と考えるのは危険だ。ランサムウェア対応では、端末、アカウント、共有ストレージ、バックアップ、管理ツールを同時に見る必要がある。
- 感染疑い端末を自己判断で初期化する。
- 暗号化ファイルや身代金メモを削除する。
- 原因が分からないままバックアップを本番へ戻す。
- 「報告すると怒られる」空気を作り、発見者に沈黙させる。
バックアップの保護
ランサムウェア対応でよくある誤解は、「バックアップがあるから復旧できる」というものだ。実際には、バックアップがオンライン接続されたまま暗号化されている、復元手順を誰も試していない、バックアップの世代が足りない、復元後に再感染する、という問題が起きる。
最初の1時間では、復旧作業そのものよりも、バックアップを守れるかを確認する。
- バックアップ先が本番環境から書き換え可能な状態か
- バックアップ世代に暗号化済みデータが混ざっていないか
- 重要サービスの復旧優先順位が決まっているか
- 復旧先を本番とは別の隔離環境にできるか
- 復元後に再感染しない条件を確認できるか
NCSCの対策ガイドは、バックアップを分離し、復元できることを定期的に確認するよう勧めている。緊急時に未確認のバックアップを接続せず、担当者が復旧先とバックアップの健全性を確認する。
平時に復旧手順を検証する流れは バックアップ復旧テストの始め方 にまとめた。ランサムウェア疑いの現場で初めて復元を試すのではなく、RTO/RPO、復旧先、権限、依存サービスを事前に確認しておくと、初動判断が速くなる。
社内報告とエスカレーション
最初の1時間で、すべての原因を特定する必要はない。むしろ、未確定のことを断定すると、後から説明が崩れる。社内報告では、分かっている事実、現在の封じ込め状況、未確認事項、次の確認予定を分けて書く。
次のような粒度で十分だ。
件名: ランサムウェア疑い 初動報告
検知日時:
検知経路:
影響が疑われる端末・サーバー:
現在の隔離状況:
共有領域・バックアップへの影響:
確認済みの事実:
未確認の事項:
次の30分で行う対応:
判断が必要な事項:
対応責任者 / 承認者:
次の報告時刻:この報告の目的は、きれいな文章を書くことではない。復旧チーム、法務、広報、経営、外部ベンダーが同じ状況認識を持つための土台を作ることだ。特に、個人情報や顧客データの漏えい可能性がある場合は、法務・広報・責任者への連携を遅らせない。
| 確認できた状況 | 直ちに相談する相手・判断 |
|---|---|
| 複数端末や共有領域で被害が進行 | 対応責任者とネットワーク担当へ。隔離範囲と業務影響を判断する |
| 管理者アカウント・認証基盤への影響 | ID管理担当とIR支援先へ。継続アクセスを止める範囲を判断する |
| バックアップ削除・改変の兆候 | バックアップ管理者と業務責任者へ。保護と代替運用を判断する |
| 個人情報・顧客情報の持ち出し疑い | 法務・個人情報保護責任者へ。報告義務・契約上の通知を確認する |
| 社内で隔離も影響範囲も判断できない | 事前契約した支援窓口へ。原因確定まで依頼を待たない |
表は編集部による相談条件の整理であり、法定期限や一律の重症度基準ではない。身代金要求への返信や支払いを現場の独断で進めず、責任者・法務・専門窓口へ上げる。
より詳細な報告文は ランサムウェア初動テンプレート にまとめている。現場では、この記事を読んでからテンプレートを開くより、テンプレートを先に開き、足りない判断軸をこの記事で確認する方が速い。
復旧判断は「暗号化が止まったか」だけで決めない
ランサムウェア対応で焦るのは、業務停止が目に見えるからだ。復旧を急ぎたい気持ちは自然だが、侵入経路が残ったまま復元すると、同じ被害を繰り返す可能性がある。
復旧前に少なくとも次を確認したい。
| 復旧前の確認 | 理由 |
|---|---|
| 初期侵入経路の仮説 | フィッシング、VPN、RDP、脆弱性、認証情報漏えいのどれかで対策が変わる |
| 管理者権限の悪用有無 | 復元後も攻撃者が戻れる状態を避ける |
| データ持ち出しの兆候 | 暗号化だけでなく二重脅迫リスクを判断する |
| バックアップの健全性 | 暗号化済みデータを戻さないために必要 |
| 監視と検知の準備 | 復旧後の再感染や再侵入を早く検知する |
インシデントレスポンスでは、封じ込め、調査、復旧準備を並行・反復することがある。全原因の解明を待つか、何も確認せず戻すかの二択ではない。復旧対象ごとに封じ込め状況、既知の侵入経路への対策、残存リスク、監視、切り戻し条件を確認し、責任者が再開を承認する。
平時に決めておくと初動が速くなるもの
ランサムウェア対応は、発生してから整えると遅い。最低限、次のものは平時に決めておくとよい。
- 感染疑い端末を誰が隔離するか
- 電源断、メモリ保全、ディスク保全の判断基準
- 連絡先一覧と休日・夜間のエスカレーションルート
- 重要システムの復旧優先順位
- バックアップの復元テスト頻度
- 外部IRベンダー、保険会社、法務、広報への連絡条件
- 従業員向けの報告テンプレート
この準備は、難しいツールを入れることより先に効く。特に中小規模の組織では、誰が何を止めるか、誰が判断するか、どこまで社内に共有するかが曖昧なままになりやすい。
決めた役割が実際の判断につながるかは、インシデント対応の机上訓練で確認できる。60分の進行例を使い、承認者が不在の場合や、復旧・外部説明の根拠が不足する場合を平時に話し合っておこう。
基礎から見直すなら ランサムウェア防御 と EDRとアンチウイルスの違い を読んでおくと、検知・封じ込め・復旧の役割分担が整理しやすい。
公式情報・参考情報
ランサムウェア対応は、組織の業務、法務、契約、個人情報の扱いによって判断が変わる。公開情報だけで断定せず、社内規程と専門家の助言に照らして進めたい。
2026年10月4日に以下の一次情報を確認した。役割分担・報告例・相談条件は編集部による実務向け整理であり、実際の侵害対応実績を示すものではない。
- Canadian Centre for Cyber Security: Ransomware — How to prevent and recover — 速やかな隔離、隔離後の電源維持、証拠保全。
- NCSC: Mitigating malware and ransomware attacks — バックアップの分離、復元テスト、事前の対応計画。
まとめ：最初の1時間は「戻す」より「広げない」
ランサムウェア初動対応の最初の1時間で優先するのは、復旧そのものではない。感染の広がりを止め、証跡を残し、バックアップを守り、事実と未確定を分けて報告することだ。
暗号化されたファイルだけを見ると、対応は「復号」と「復元」に寄ってしまう。しかし実務では、侵入経路、権限悪用、データ持ち出し、バックアップ破壊、再感染のリスクを同時に見なければならない。
次に取るべき行動は明確だ。自社向けの ランサムウェア初動テンプレート を開き、報告先、隔離判断、バックアップ確認、復旧条件を埋めておく。平時にこの準備ができていれば、発生時の1時間はかなり変わる。
この記事のよくある質問
ランサムウェアの感染が疑われたら、最初に何を確認しますか？
最初に決めるのは「復号できるか」ではありません。感染が広がっているのか、共有領域やバックアップに触られているのか、証跡を残せているのかを見極めます。隔離・報告・記録を並行して進めます。
感染が疑われる端末の電源は切るべきですか？
電源を切るとメモリ上の情報が失われるため、まず社内で認められた方法でネットワークから切り離します。ただし、隔離できずに被害が広がり続ける場合まで電源断を禁じるものではなく、緊急手順にもとづいて責任者が判断します。
