この記事の要点
- 感染した機器はLANケーブルを抜く・無線を切るなどしてネットワークから切り離し、調べるための記録が消えないよう、電源はすぐには切らないようにします。
- 警察庁は、身代金を払っても暗号化されたデータが戻る保証はなく、犯罪グループの資金になるおそれがあるとしています。
- 被害に遭ったら、最寄りの警察署やサイバー犯罪の相談窓口に通報・相談し、個人データが関わる場合は個人情報保護委員会への報告が要るかを確かめます。
ランサムウェアの被害に遭ったときの初動は、感染した機器をネットワークから切り離し、記録を残し、社内の責任者と外部の窓口に連絡することです。慌てて電源を切ったり、すぐに初期化して元に戻そうとしたりすると、原因を調べる手がかりが消え、同じ入り口から再び侵入される危険が残ります。最初の数時間にすることを、順に説明します。
ランサムウェアの被害とは
ランサムウェアとは、パソコンやサーバーのデータを暗号化して使えなくし、元に戻すことと引き換えに金銭を求める不正なプログラムです。警察庁は、データを盗んだうえで「支払わなければデータを公開する」と迫る二重恐喝の手口が被害の多くを占めるとしています。そのため、暗号化されたデータを戻すことだけでなく、情報が外に出たかどうかも考える必要があります。
IPAの「情報セキュリティ10大脅威 2026」の組織編でも、「ランサム攻撃による被害」が1位に挙げられています。
出典：情報セキュリティ10大脅威 2026（IPA、2026年1月29日）
最初にすること：切り離す
感染が疑われる機器は、すぐにネットワークから切り離します。警察庁は、LANケーブルを抜く、無線をオフにするなどして、感染したパソコンなどをネットワークから隔離するよう案内しています。
切り離すのは、社内の別のパソコンやサーバー、共有のフォルダ、バックアップの保存先へ広がるのを防ぐためです。画面に脅迫の文面が出ている場合は、スマートフォンで写真を撮っておくと、後で相談するときに役立ちます。
電源は、すぐには切らないようにします。警察庁は、調べるために必要な記録が失われるおそれがあるため、感染した機器の電源を切らないよう案内しています。IPAの手引きも、初動の対応では、記録が消えるおそれのある操作を避けるよう示しています。どの機器を止めるかは、手順書で決めた責任者が判断し、判断した時刻と理由を記録します。
出典：ランサムウェア被害防止対策（警察庁）／中小企業のためのセキュリティインシデント対応の手引き（IPA）
感染が疑われるときに、最初にすること
- ネットワークLANケーブルを抜く・無線をオフにするなどして、すぐに切り離す
- 電源すぐには切らない（調べるために必要な記録が失われるおそれがある）
- 脅迫の文面画面に出ている場合は、スマートフォンで写真を撮っておく
- 止める判断どの機器を止めるかは、手順書で決めた責任者が判断し、時刻と理由を記録する
次にすること：連絡と相談
切り離したら、社内の責任者に報告し、外部の窓口に相談します。社内で決めておいた連絡網に沿って動けるよう、セキュリティ事故に備える、初動の手順書のつくり方で説明した手順書を用意しておくことをおすすめします。
外部の相談先には、次のようなところがあります。
- 警察：警察庁は、被害に遭った場合は最寄りの警察署かサイバー犯罪相談窓口に通報・相談するよう案内しています
- IPA：企業や組織向けに、事故の初動についての相談の窓口と、ウイルスや不正アクセスの届け出の窓口があります（相談の窓口は助言が中心で、調査や解析は行っていません）
- 専門の会社：原因の調査（デジタルフォレンジック）や復旧の支援をする会社に依頼する場合もあります
- 保守を頼んでいる会社・保険会社：サーバーやネットワークの保守の委託先、サイバー保険の契約先
出典：ランサムウェア被害防止対策（警察庁）／サイバーセキュリティ 相談・届出窓口一覧（IPA）
身代金は、どう考えればよいですか
警察庁は、身代金を支払っても暗号化されたデータの復号が保証されるわけではなく、犯罪グループなどの活動資金になることが懸念されるとしています。支払いを前提にせず、バックアップからの復旧と、原因の調査を進めることが基本になります。
脅迫の文面に書かれた連絡先に、慌てて連絡するのも避けたほうがよいと考えられます。やり取りの内容が後の判断や交渉に影響することがあるため、まずは警察や専門の会社に相談します。支払いの判断には、法令や契約の論点も関わるため、個別の判断は弁護士などの専門家にご確認ください。
情報が漏れたおそれがあるとき
データを盗まれたおそれがある場合は、取引先や顧客への連絡と、法令にもとづく報告が要るかを確かめます。個人情報保護委員会は、不正の目的で行われたおそれがある行為による個人データの漏えい（またはそのおそれ）を、報告の対象の一つとしています。
報告の期限について、委員会は、発覚した後、速やかに（おおむね3〜5日以内に）速報を、30日以内（不正の目的で行われたおそれがある場合は60日以内）に確報を出すよう案内しています。報告の要否や内容は事案ごとに判断が必要なため、弁護士などの専門家にご相談ください。進め方は個人データの漏えいが起きたらで説明しています。
復旧の前に確かめること
復旧は、侵入の入り口と、攻撃者が残した仕掛けがないかを確かめてから進めます。原因が分からないまま元に戻すと、同じ入り口から再び侵入されるおそれがあります。
警察庁は、主要な侵入の経路としてVPN機器を挙げ、速やかな対応が必要だとしています。侵入の入り口になりやすい機器の守り方は、VPN機器の脆弱性とランサムウェアで説明しています。
復旧の前に確かめることは、次のとおりです。
- 侵入の入り口（VPN機器、リモートデスクトップ、メールの添付ファイルなど）が分かり、ふさがれているか
- 管理者のアカウントや、機器・サーバーのパスワードを変えたか
- 戻すバックアップが、感染する前のもので、暗号化されていないか
- 戻した後に、不審な通信やアカウントの追加がないかを見る仕組みがあるか
ふだんから備えておくこと
被害を小さくする備えの中心は、ネットワークから切り離したバックアップと、手順書と、侵入の入り口をふさぐ基本の対策です。
警察庁は、ランサムウェアがバックアップのデータまで暗号化することが多いため、バックアップはなるべくこまめに取り、ネットワークから切り離してオフラインで保存するなどの対策を勧めています。どのデータを、どこに、どのくらい残すかは、バックアップと復旧の設計で説明しています。
あわせて、機器とソフトウェアの更新、多要素認証の設定、使っていないアカウントの整理を続けます。
当社のご支援
アメリア・テクノロジーのセキュリティ診断と対策では、インターネットに面した機器の確認、バックアップの見直し、事故のときの初動の手順書づくりと訓練をご支援しています。監視と初動は営業時間内で、夜間・休日の監視や専門的な調査は外部の専門の会社と連携してお受けしています。まずは無料のセキュリティの自己診断で、備えの状況をおおまかに確かめることもできます。
- ランサムウェア
- インシデント対応
- バックアップ
- 情報セキュリティ
この記事に出てくる用語
関連する法令・指針（参考情報）
- 法令
個人情報保護法 第26条（漏えい等の報告等）
個人データの漏えいなどで、個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会への報告と、本人への通知が求められます。委託を受けた事業者は、委託元への通知で足りる場合があります。
- 指針
独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」（第4.0版（2026年3月））
中小企業の経営者と実務の担当者が、情報セキュリティ対策を進めるための手順と考え方をまとめたガイドラインです。付録に、自社の状況を確かめる「5分でできる！情報セキュリティ自社診断」などがあります。
法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは法令・指針の参考情報と凡例をご覧ください。
このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。