ランサムウェアに感染したらどうする？事業を止めない初動対応・バックアップ・復旧手順

「ファイルが開けない」「身代金を要求する画面が表示された」――。

ランサムウェア感染が疑われる場合、初動対応の遅れは被害範囲と復旧コストを大きく拡大させます。

重要なのは、侵入を完全に防ぐことだけではありません。万が一の感染を前提に、被害を隔離し、使えるバックアップから安全に復旧する体制を整えておくことです。

この記事では、情報システム部門・セキュリティ担当者向けに、以下を解説します。

• 感染発覚直後に実施すべき初動対応
• やってはいけないNG対応
• ランサムウェアに強いバックアップの設計
• RPO・RTOを踏まえた復旧シナリオ
• 事業継続力を高める多層防御の考え方
• 自社の対策状況を確認できるチェックリスト

ランサムウェアは、企業のデータを暗号化して利用不能にし、復号や情報公開の停止と引き換えに身代金を要求するサイバー攻撃です。

近年は、データを暗号化するだけでなく、事前に窃取した機密情報を公開すると脅す「二重恐喝（ダブルエクストーション）」が主流です。そのため、業務停止だけでなく、顧客情報・取引先情報の漏えい、信用低下、損害賠償、取引停止など、経営全体に深刻な影響が及ぶ可能性があります。

警察庁によると、令和6年上半期に警察へ報告されたランサムウェア被害は114件でした。これは報告された件数であり、実際の被害はさらに多いと考えられます。 npa.go.jp

ランサムウェア対策は、情報システム部門だけの課題ではありません。事業継続を左右する経営課題として、復旧可能なバックアップと実行できる復旧計画を準備する必要があります。

ランサムウェア感染時に最優先で行う初動対応5ステップ

感染が疑われる場合、自己判断で復旧を始める前に、被害の拡大防止を優先してください。

まず、感染した可能性があるPC・サーバーをネットワークから切り離します。

• LANケーブルを抜く

• Wi-Fiをオフにする

• VPN接続を切断する

• 外部ストレージとの接続を外す

ランサムウェアは、ネットワーク内の共有フォルダ、サーバー、バックアップ先へ感染を広げることがあります。特に重要なのは、バックアップ環境へのアクセス経路を早急に遮断することです。

次に、以下を確認します。

• 暗号化された端末・サーバーはどこか

• 共有フォルダやクラウドストレージに影響があるか

• 基幹システム、メール、顧客管理システムは稼働しているか

• 不審なアカウント利用や管理者権限の悪用がないか

• 情報窃取の可能性を示す痕跡がないか

この段階では、確定していない情報を断定しないことが重要です。「確認済み」「調査中」「未確認」を分けて記録しましょう。

ランサムウェア被害は、情シスだけで完結する問題ではありません。経営層、法務、広報、人事、事業部門などを含めた対策本部の立ち上げを検討します。

報告時は、次の形式で簡潔に共有すると判断が早くなります。

• 発覚日時

• 発覚経緯

• 現時点の影響範囲

• 停止している業務・システム

• 実施済みの封じ込め措置

• 次回報告予定時刻

• 外部支援の要否

自社だけで調査・封じ込め・復旧を進めることは危険です。契約中のセキュリティベンダー、フォレンジック調査会社、法務・保険会社などへ早期に連絡してください。

必要に応じて、警察やIPAへの相談も検討します。被害状況の調査、証拠保全、対外説明、再発防止策の検討には専門的な知見が必要です。

感染端末を安易に初期化・再起動・廃棄すると、原因究明に必要なログやメモリ上の情報が失われるおそれがあります。

以下を時系列で記録しましょう。

• 発見者と発見日時

• 表示されたメッセージや脅迫文

• 暗号化されたファイルの拡張子

• 不審なログインや通信の記録

• 実施した隔離・停止措置

• 関係者への連絡履歴

ランサムウェア感染時にやってはいけないNG対応

焦ってバックアップを確認しようとすると、バックアップ環境まで暗号化・削除される可能性があります。

バックアップへのアクセスは、感染していないことを確認した端末・隔離環境から実施してください。

身代金を支払っても、データが確実に復号される保証はありません。また、窃取データが公開されない保証もありません。

支払いは攻撃者の活動を助長する可能性があるほか、「支払いに応じる企業」として再び狙われるリスクもあります。支払いの判断は、経営・法務・外部専門家と連携して慎重に行うべきです。

感染経路や侵害されたアカウントを放置したまま復旧すると、再感染につながります。

復旧は「データを戻す作業」ではなく、侵入経路を封じ、認証情報を見直し、安全な環境を再構築する作業です。

ランサムウェアに強いバックアップ戦略

バックアップがあっても復旧できない企業の共通点

次のような環境では、バックアップも同時に被害を受けるおそれがあります。

• 常時ネットワーク接続されたNASだけに保存している
• 業務システムとバックアップ環境が同一の管理者権限で運用されている
• バックアップの世代数が少ない
• バックアップデータの復元テストを実施していない
• バックアップの保存先や認証情報を十分に分離していない

「バックアップを取得している」ことと、「ランサムウェアから復旧できる」ことは同義ではありません。

バックアップ設計の基本は、3-2-1ルールです。

3：データを3コピー保持する

本番データに加え、少なくとも2つのバックアップを保持します。1つのバックアップが破損・暗号化されても、別のコピーから復旧できる状態を作ります。

2：異なる2種類の媒体に保存する

NAS、クラウド、テープ、オブジェクトストレージなど、異なる媒体へ保存します。単一の保存先や同一障害に依存しないことが重要です。

1：1つはオフサイトに保管する

少なくとも1つは、本社・拠点とは離れた場所に保管します。クラウドや遠隔地データセンター、物理的に隔離した媒体などが該当します。

ランサムウェア対策では、3-2-1ルールに加えた「3-2-1-1-0」も有効です。

• 3：データコピーを3つ持つ
• 2：2種類の媒体に保存する
• 1：1つをオフサイトに保管する
• 1：1つをオフラインまたはイミュータブルにする
• 0：復旧テスト時のエラーをゼロにする

特に重要なのが、攻撃者による削除・改ざんを防ぐ「イミュータブル」と、ネットワーク経由の攻撃を遮断する「オフライン保管」です。

イミュータブルとは「変更・削除できない」という意味です。

設定した保持期間中は、管理者権限を奪われてもバックアップデータを削除・改ざんしにくい仕組みを作れます。ランサムウェアによるバックアップ破壊対策として有効です。

ネットワークから物理的・論理的に切り離されたバックアップは、ランサムウェアの横展開を受けにくくなります。

代表例は以下のとおりです。

• 保管時は接続しない外付けストレージ
• テープバックアップ
• 隔離されたバックアップネットワーク
• インターネットから到達できない保管領域

バックアップ管理者と業務システム管理者を同一権限で運用すると、アカウント侵害時に被害が一気に広がります。

以下を徹底してください。

• バックアップ専用アカウントの利用
• 多要素認証の設定
• 最小権限の原則
• 管理者アカウントの共用禁止
• 業務ネットワークとバックアップネットワークの分離
• 操作ログの取得と定期確認

バックアップから安全に復旧するための5ステップ

すべてを同時に復旧することはできません。事前に業務影響を整理し、優先順位を決めておきます。

一般的には、次のようなシステムが優先対象です。

認証基盤・ネットワーク基盤
販売管理・生産管理などの基幹システム
顧客対応に必要なCRM・メール・問い合わせ管理
ファイル共有・社内ポータル
その他の業務システム

侵害された可能性のあるネットワークに、そのままシステムを戻してはいけません。

クラウドや隔離ネットワークなどに、クリーンな復旧環境を準備します。OS・ミドルウェア・アプリケーションは、信頼できるイメージから構築し、最新のセキュリティパッチを適用します。

バックアップ内にも、感染前からマルウェアが潜伏している可能性があります。

復旧前に、以下を確認してください。

• バックアップ取得日時

• 暗号化前の世代か

• 不審なファイルやプロセスがないか

• マルウェアスキャンの結果

• データ整合性

• 復旧対象として必要なデータが揃っているか

検証済みのバックアップを、クリーンな環境へリストアします。

このとき、データだけでなく、アカウント設定、アクセス権、連携設定、証明書、APIキーなども見直してください。侵害された認証情報を引き継ぐと、再侵入を許す可能性があります。

復旧後は、システム担当者だけで判断せず、実際の業務部門と連携して確認します。

• データに欠損・不整合がないか

• 業務処理が正常に実行できるか

• 外部システム連携に問題がないか

• 監視・ログ取得が機能しているか

• セキュリティ対策が再適用されているか

問題がないことを確認したうえで、優先度の高い業務から段階的に再開します。

RPO・RTOを定めて、現実的な復旧計画を作る

バックアップと復旧計画では、RPOとRTOの設定が欠かせません。

RPO（目標復旧時点）とは、どの時点までのデータを復旧できればよいかを示す目標です。

たとえばRPOを24時間とする場合、最大24時間分のデータ損失を許容することになります。RPOを短くするほどバックアップ頻度や運用コストは上がります。

RTO（目標復旧時間）とは、障害発生から業務再開までに許容される時間です。

「基幹システムは8時間以内」「メールは24時間以内」「社内ポータルは3日以内」など、システムごとに優先順位を設けて定義します。

RPO・RTOは情シス部門だけで決めず、経営層や各事業部門と合意することが重要です。

バックアップは、取得できているだけでは不十分です。実際に復元できること、想定時間内に業務を再開できることを定期的に確認してください。

復旧テストでは、以下を検証します。

• 手順書どおりに復旧できるか
• 担当者が変わっても対応できるか
• RTO以内に復旧できるか
• 必要なデータが揃っているか
• 復旧後に業務が正常に動作するか
• バックアップ環境へのアクセス権が適切か

年1回だけでなく、重要システムは半期ごと、変更があったシステムは変更後にテストすることが理想です。

バックアップと合わせて実施すべきランサムウェア対策

バックアップは最後の砦ですが、侵入を防ぎ、早期に検知する仕組みも必要です。

EDRは、PCやサーバーの不審な挙動を監視し、検知・調査・対応を支援する対策です。XDRは、端末だけでなくネットワーク、メール、クラウドなどの情報を横断して分析します。

従来型のウイルス対策ソフトだけでは検知が難しい攻撃もあるため、重要システムや端末の状況に応じて導入を検討しましょう。

VPN機器、Webサーバー、OS、ミドルウェア、業務アプリケーションの脆弱性は、ランサムウェアの侵入経路になり得ます。

定期的な脆弱性診断と、優先度に応じた迅速なパッチ適用の運用を整備してください。

特権アカウントやVPN、クラウドサービス、メールには、多要素認証を適用します。また、退職者アカウントの無効化、不要な管理者権限の削除、共有アカウントの廃止も重要です。

標的型メールや不正な添付ファイルは、今も主要な侵入経路です。定期的な教育と標的型攻撃メール訓練により、従業員が不審なメール・リンク・添付ファイルに適切に対処できる状態を作りましょう。

以下に1つでも「いいえ」があれば、改善を検討する必要があります。

• ランサムウェア感染時の初動対応手順が文書化されている
• 緊急連絡先と判断権限者が明確になっている
• バックアップは3-2-1ルールを満たしている
• バックアップの1つがオフラインまたはイミュータブルで保護されている
• バックアップ環境の管理権限が業務環境と分離されている
• バックアップデータの復旧テストを定期実施している
• システムごとのRPO・RTOが定義されている
• EDRまたは同等のエンドポイント対策を導入している
• VPN、メール、管理者アカウントに多要素認証を設定している
• 定期的な脆弱性診断とパッチ適用を実施している
• 従業員向けのセキュリティ教育・訓練を実施している

まとめ：ランサムウェア対策の成否は「復旧できるか」で決まる

ランサムウェア対策では、侵入防止だけに依存してはいけません。侵入される可能性を前提に、被害を封じ込め、バックアップから安全かつ迅速に復旧できる体制を作ることが重要です。

特に確認すべきポイントは、次の5つです。

• 感染時の初動対応が決まっているか
• バックアップが攻撃者から保護されているか
• RPO・RTOが事業部門と合意されているか
• クリーンな環境で復旧する手順があるか
• 定期的な復旧訓練で実効性を確認しているか

「バックアップはあるが、本当に復旧できるかわからない」

「ネットワークやVPNに脆弱性がないか不安」

「自社の現状を第三者の目で確認したい」

そのような場合は、まず現在のリスクを可視化することが重要です。

InfiniCore株式会社では、ネットワーク・公開資産・脆弱性対策の状況を確認し、貴社の事業継続リスクに応じた改善の方向性をご提案します。

ランサムウェアに感染してから慌てる前に、まずは自社のセキュリティ状況をご確認ください。