2026.10.23 セキュリティ

ランサムウェアの初動対応：感染発覚から隔離・証拠保全・報告・復旧までの手順

社内のファイルサーバーで拡張子が一斉に変わり、開けなくなったファイルの横に脅迫文が置かれていた。ランサムウェアの初動対応は、この瞬間からの数時間で被害の大きさが決まります。この記事では、JPCERT/CCが被害組織向けに公開しているFAQと、警察庁が2026年9月に公表した令和8年上半期の統計、個人情報保護委員会の報告ルールをもとに、隔離・証拠保全・報告・復旧の順番と、それぞれで迷いやすい判断を整理します。情報システム担当者がいない会社が外部に任せる範囲も、最後に示す内容です。

まとめ：ランサムウェア初動対応で最初の数時間に決める隔離・保全・報告の順番

初動の方針は、JPCERT/CCが示す3つに集約されます。被害の拡大を止めること、考えられる侵入経路を塞ぐこと、攻撃者の要求には応じずバックアップから戻すこと。この順番を崩さないのが原則です。

具体的には、侵害された端末やサーバーをネットワークから切り離し、電源は落とさずに残します。被害を免れたバックアップは真っ先に切り離してください。ログと暗号化ファイル、脅迫文は消さずに保全し、時刻つきの記録を取り始めます。

個人データが暗号化されて戻せない場合は、流出が確認できていなくても個人情報保護委員会への報告対象です。発覚から3〜5日で速報、60日以内に確報を出します。警察への相談も並行して進めます。身代金は払わず、侵入経路を塞いでから業務を再開する。ここを急いで逆にした組織が、同じ経路から再び攻撃を受けています。

ランサムウェア被害の発覚パターンと2026年上半期123件に表れた侵入型の実態

初動の遅れは、異常に気づいてから「これはランサムウェアだ」と判断するまでの時間で生まれます。先に典型的な兆候と、いま主流の攻撃の進み方を押さえます。

拡張子の変化・脅迫文・リークサイト掲載など被害を疑う4つの兆候

JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」は、被害に気づくきっかけとして次の4つを挙げています。

ネットワーク内の複数のシステムで、ファイルの拡張子が変わり開けなくなった
暗号化によってシステムが止まり、業務に障害が出た
攻撃者から脅迫文や連絡が届いた
自組織から盗まれたとみられるファイルを暴露する投稿が見つかった

4つ目は、暗号化より先に外部から知らされる形です。取引先や報道機関からの問い合わせで発覚することもあり、その時点では社内に異常が見えていない場合があります。内部での不審な探索や管理者権限の取得、外部への大量送信も、暗号化の前段階として扱います。

VPN機器が侵入経路の約5割を占める侵入型ランサムウェアと二重恐喝の流れ

警察庁の令和8年上半期の情勢報告によると、2026年1〜6月のランサムウェア被害の報告件数は123件で、統計を取り始めた2020年下半期以降、半期として過去最多でした。被害組織へのアンケートでは、侵入経路はVPN機器が約5割を占めています。

攻撃は数日から数週間かけて進みます。未修正の脆弱性や漏れた認証情報でネットワークに入り、管理者権限を奪い、重要データとバックアップの場所を探します。データを外部へ持ち出してから暗号化を実行し、「復号」と「公開しない」の両方を材料に支払いを迫る。暗号化に気づいた時点で、情報はすでに外に出ている前提で動く必要があります。

感染発覚直後の初動対応で端末とネットワークを隔離する手順と電源の扱い

隔離は早いほど効果がありますが、やり方を誤ると調査の手がかりを消し、かえって復旧を遅らせます。作業の順番と、止めてよいもの・止めてはいけないものを分けて考えます。

侵害された端末とサーバーをLANから切り離し電源は落とさない判断の根拠

JPCERT/CCのFAQは、侵害されたシステムのうち切り離せるものはすぐにネットワークから隔離するよう求めています。理由は2つで、攻撃が続いている場合の被害拡大を防ぐことと、調査・保全のためです。

隔離はLANケーブルを抜く、無線LANを切る、スイッチのポートを閉じるといった方法で行います。電源を切るのは避けてください。実行中のプロセスや通信先、メモリ上の暗号鍵の手がかりは、電源を落とすと失われます。一方で、ネットワーク全体を一律に止めるのも得策ではありません。被害の出ていない拠点まで止めると業務の代替手段まで失い、範囲の見極めも難しくなります。

管理者アカウントとVPN・RDPの経路を止める順番とパスワード変更の範囲

複数のサーバーが同時に暗号化されていれば、ドメインコントローラーなどの管理者アカウントが奪われていると考えます。FAQが示す作業は、管理者アカウントの侵害有無の確認、パスワード変更、攻撃者が変えた設定やポリシーの無効化です。

並行して、外部や他拠点から入れる経路を洗い出します。SSL-VPN、リモートデスクトップ（RDP）、SSHのそれぞれについて、ファームウェアの版、深刻な脆弱性への対応、多要素認証の有無を確かめ、不要な経路は止めます。パスワードの変更は、侵害が疑われるアカウントだけでなく、サービス用アカウントとVPNのアカウントまで広げてください。VPNのアカウントが悪用された例は両毛システムズのVPNアカウント悪用の事例で詳しく扱っています。

被害を免れたバックアップを切り離し自動バックアップの上書きを止める作業

暗号化に気づいた段階では、バックアップを守ることが最優先です。FAQは、無事なバックアップのサーバーやファイルを、安全が確認できるまで切り離すか退避させるよう勧めています。

見落とされやすいのが自動バックアップのジョブです。世代数の少ない設定のまま動き続けると、暗号化されたファイルで健全な世代が上書きされます。ジョブを止め、NASやクラウドのバックアップ先への書き込み権限も一時的に外してください。書き換えも削除もできない保存方式を使っていれば、この段階の不安は大きく減ります。仕組みはイミュータブルバックアップの実装手順と保持期間の決め方を参照してください。

調査と復旧に備えた証拠保全で残すログ・暗号化ファイル・脅迫文の範囲

保全の目的は、侵入経路と流出範囲を後から特定できるようにすることです。報告書の確報も、取引先への説明も、ここで残した材料が根拠になります。

認証ログ・VPN機器ログ・EDRの記録が上書きされる前に確保する優先順位

ログには保存容量の上限があり、古い記録から消えていきます。FAQは、暗号化でログそのものが使えなくなっている場合もあると注意しています。確保する優先順位は次のとおりです。

VPN機器・ファイアウォールの接続ログ（外部からの侵入経路の特定に使う）
Active Directoryの認証ログ（管理者権限の奪取と横展開の追跡に使う）
EDRやウイルス対策ソフトの検知記録
ファイルサーバーのアクセスログとプロキシの通信ログ（持ち出しの量と宛先の推定に使う）

VPN機器のログは、パスワード変更やファームウェア更新に取りかかる前にエクスポートしておきます。あわせて、発見者・時刻・見た事象・誰が何をしたかを1行ずつ残す時系列の記録を、初動の最初から付け始めてください。

暗号化ファイルと脅迫文を消さずに保管し検体のアップロードを控える理由

暗号化されたファイルは、いまは開けなくても削除しないでください。攻撃グループの摘発や鍵の公開によって、後から復号ツールが出ることがあります。警察庁の令和8年上半期報告にも、警察が暗号化データの復号に成功し被害企業に返した事例が載っています。脅迫文は攻撃グループの特定と、交渉用の連絡先の把握に使うための資料です。

見つけた不審なファイルを、オンラインのウイルス判定サービスに安易に上げるのも控えてください。FAQは、検体に被害組織から盗まれたアカウント情報が含まれており、解析結果から公表前の被害を推測された例を紹介しています。判定サービスを使うかどうかは、調査を依頼する専門会社と相談して決めます。

警察・IPA・JPCERT/CC・個人情報保護委員会への報告と相談の期限と窓口

報告と相談は、隔離や保全と並行して進めます。期限が法令で決まっているものと、早く相談するほど支援を受けやすいものがあります。

個人データの暗号化だけでも報告対象になる不正目的の類型と60日の期限

個人情報保護委員会の漏えい等報告のページは、報告対象を4つの類型で定めています。要配慮個人情報、財産的被害のおそれ、不正の目的による行為、本人の数が1,000人を超えるもの、の4つで、「おそれ」の段階から対象です。

ランサムウェアで押さえるべきは3つ目です。同じページは、ランサムウェアなどで個人データが暗号化され復元できなくなった場合を、不正の目的による事態の例として挙げています。流出の証拠がなくても報告が要るということです。期限は、発覚から3〜5日以内の速報と、60日以内の確報です。ランサムウェア事案は、2025年10月1日から関係省庁の共通様式をメールで提出する方法も使えます。起算日の数え方や委託先で起きた場合の扱いは個人情報保護委員会への報告義務と速報・確報の実務にまとめました。

警察のサイバー犯罪相談窓口とJPCERT/CC・IPA・JNSA加盟企業の使い分け

相談先は役割で分かれます。初動で迷ったら、まず警察とJPCERT/CCに連絡し、調査はJNSAの一覧から専門会社を選ぶ流れが現実的です。

窓口	相談できること	使う場面
都道府県警察のサイバー犯罪相談窓口	被害の届出・捜査・復号の支援	被害判明後できるだけ早く
JPCERT/CC インシデント対応	初動の技術的な助言・関係先との調整	対応方針に迷ったとき
IPA 情報セキュリティ安心相談窓口	一般的な相談・届出	被害か判断がつかないとき
JNSA 緊急対応企業一覧	フォレンジック調査の依頼先探し	侵入経路と流出範囲の調査

警察の窓口は警察庁のサイバー事案に関する相談窓口一覧から所在地の都道府県警を選びます。調査会社はJNSAのサイバーインシデント緊急対応企業一覧に、対応地域や受付時間とあわせて載っています。

取引先・委託元・顧客への第一報で書く事実と書かない推測の線引き

リークサイトに社名が載ると、問い合わせが一気に増えます。FAQは、攻撃への対応とは別に、事実確認と広報の体制を早い段階で整えるよう勧めています。

第一報に書くのは、確認できた事実だけです。発覚日時、止まっているシステムと業務、外部機関への相談状況、次回の報告予定日の4点で足ります。「個人情報の流出はない」といった調査前の断定は避けてください。後から覆ると、最初の説明全体が信用を失います。取引先のデータを預かっている場合は、委託元への連絡を契約の期限内に済ませます。

身代金を支払わずにバックアップから復旧する手順と業務再開前の確認項目

復旧は、元に戻すことと同じ攻撃を受けない状態にすることの両方が揃って完了です。片方だけで再開すると、数週間後に同じ事態を繰り返します。

身代金の支払いを選ばない理由とNo More Ransomでの復号ツールの確認

JPCERT/CCは、支払いを選ぶべきではないとしています。払っても復元される保証がないこと、侵入の原因や他の被害が残ったままになること、支払った組織として別の攻撃や再度の要求を受けるおそれがあること、が理由です。攻撃者との交渉も通常は勧めていません。支払いの判断を迫られた企業の経緯はKADOKAWAのサイバー攻撃で身代金は払ったかの記事で追っています。

復号の可能性を確かめる先は、各国の警察とセキュリティ企業が運営するNo More Ransomです。脅迫文や暗号化ファイルの拡張子から種類を判定し、公開済みの復号ツールがあれば入手できます。IPAのランサムウェア対策特設ページも、このプロジェクトのサポーティングパートナーとして関連情報を載せています。

侵入経路を塞がずに業務を再開した組織が再び攻撃を受ける失敗パターン

早く戻したい気持ちから、バックアップを戻してすぐネットワークにつなぐのが典型的な失敗です。FAQは、侵入経路を塞がなければ、復旧後に別の攻撃グループから再び攻撃を受けるおそれがあると明記しています。

再接続の前に確認する項目は4つです。マルウェアとバックドア、攻撃者が作ったアカウントや不正な設定が除去されていること。侵入経路と疑われるVPN機器などに修正版が適用され、多要素認証が有効になっていること。戻すバックアップの世代が、侵入より前の時点であること。再開後の監視の担当が決まっていること。外部に公開している機器の残りの弱点を第三者の目で洗い出すなら、脆弱性診断・セキュリティ診断を再開前の点検に組み込む方法があります。

復旧に1,000万円以上を要した組織が6割という費用と期間の見込み

警察庁の同じ報告によると、2026年上半期の被害組織のうち、復旧に総額1,000万円以上を要した組織は6割を占めました。1か月未満で復旧できた組織は5割に届いていません。

この数字は、初動の時点で「数日で戻る」前提を置かないための目安になります。FAQも、BCPやDRの計画を発動しても計画どおりに戻るとは限らないとしています。紙や表計算での代替業務を何週間続けるかを、隔離と同じ日に決めておくことが混乱を減らす方法です。短期で再開できた側の例として、事務NASが暗号化されてから4日で業務を再開した経緯を佐賀大学のランサムウェア被害と戻せるバックアップで紹介しています。

情シス不在の中小企業がランサムウェア初動で外部に任せる範囲と社内で決める判断

専任の情報システム担当者がいない会社では、手順を知っていても実行する人がいません。ここでは、外に任せる作業と社内でしか決められない判断を分けます。

フォレンジック調査は外部に任せ遮断の権限者と連絡網だけは社内で決めておく

ログの解析、侵入経路と流出範囲の特定、マルウェアの除去確認は、社内でやろうとせず調査会社に任せてください。中途半端な調査は痕跡を上書きし、後の専門調査を難しくします。

社内で決めておくべきなのは、誰がネットワークの遮断を指示できるか、夜間と休日に誰へ連絡するか、の2点です。グループ共通の基盤が止まったときの遮断と復旧の経過は京王電鉄の事例で追っています。社長の決裁を待たずに現場の責任者が切れる、と事前に決めてあるだけで初動は数時間早まります。

初動手順書を今作るべき会社と後回しでよい会社を分ける2つの条件

次の2つのどちらかに当てはまる会社は、初動手順書と連絡網を今月中に作るべきです。1つは、VPNやリモートデスクトップで社外から社内のサーバーに入れる会社。もう1つは、取引先や顧客の個人データを預かっている会社です。前者は侵入経路の約5割に当たる入口を持ち、後者は報告期限の義務を負います。

どちらにも当てはまらず、業務がクラウドのSaaSだけで完結している会社なら、詳細な手順書は過剰です。SaaS側の管理者アカウントの多要素認証と、相談先の連絡先1枚を用意すれば足ります。取引先経由で被害が及ぶ経路はサプライチェーン攻撃の起点別3類型で整理しています。

ランサムウェアの初動対応について担当者から寄せられやすいよくある質問

被害に気づいた直後の担当者から出やすい質問を5つ選び、2026年10月23日時点のJPCERT/CCのFAQと警察庁・個人情報保護委員会の公表資料に沿って答えます。

ランサムウェアに感染したパソコンの電源は切るべきですか？

切らずに、ネットワークから切り離してください。LANケーブルを抜き、無線LANを止めれば、他の端末への広がりは抑えられます。電源を落とすと、実行中のプロセスや通信先といった調査の手がかりがメモリから消えます。調査会社から指示があるまでは、画面の脅迫文を写真に残し、その状態のまま保管するのが基本です。

ランサムウェアの被害は警察に届け出る必要がありますか？

法律上の届出義務はありませんが、警察庁は被害が発生したときの速やかな通報・相談を呼びかけています。通報・相談の受付先は、所在地の都道府県警察のサイバー犯罪相談窓口です。警察は捜査だけでなく、暗号化されたデータの復号に成功して被害企業に返した例もあります。相談しても業務の再開を止められることはありません。

個人情報が漏れたか分からない段階でも報告は必要ですか？

必要になる場合が多いのは、流出の確認前でも報告対象となるためです。個人情報保護委員会は、ランサムウェアで個人データが暗号化され復元できなくなった場合を、不正の目的による漏えい等の例に挙げています。流出の確認を待たず、発覚から3〜5日以内に速報を出し、判明した事実を60日以内の確報で追加します。不明な項目は不明のまま報告して構いません。

身代金を払えばデータは確実に戻りますか？

戻る保証はありません。JPCERT/CCは、支払っても復元される保証がないこと、侵入の原因が残ること、別の攻撃や再度の要求を受けるおそれがあることから、支払いを選ぶべきではないとしています。盗まれたデータを公開しないという約束も守られる保証はありません。復号の手段は、No More Ransomで公開済みのツールがないかを確かめます。

バックアップから戻すとき何に注意すればよいですか？

戻す世代が侵入より前のものかを確かめることです。攻撃者は暗号化の数日から数週間前に侵入していることがあり、直近の世代にバックドアが含まれる場合があります。復元先はネットワークから切り離した環境とし、侵入経路を塞いでから接続します。自動バックアップのジョブは、復旧が終わるまで止めた状態にしておいてください。