【被害拡大】ランサムウェア感染時に絶対やってはいけないNG行動7選

ランサムウェアに感染？その対応、被害を広げていませんか？

「まさか自社が…」ある日突然、PCの画面に見慣れない要求メッセージが表示され、ファイルが全て暗号化されていることに気づく。それは、情報システム担当者にとって悪夢の始まりです。ランサムウェアに感染した瞬間、頭が真っ白になり、冷静な判断ができなくなるのも無理はありません。しかし、そのパニックからくる焦りが、取り返しのつかない事態を招くことがあります。

パニックが招く致命的なミスとは？初動対応の重要性

ランサムウェア攻撃は、もはや他人事ではありません。感染してしまったという事実は変えられませんが、その直後の「初動対応」が、被害を最小限に食い止められるか、あるいは会社全体のシステムを麻痺させ、事業継続を脅かすほどの致命的な事態に陥るかの分かれ道となります。

良かれと思って取った行動が、実はさらなる感染拡大の引き金になったり、原因究明を困難にしたりするケースは後を絶ちません。情シス担当者として、また組織の一員として、今まさに求められているのは、パニックに陥らず、冷静に、そして「正しい手順」で対処する知識です。

この記事でわかること：情シス担当者が知るべきNG行動と正しい対処法

この記事では、ランサム-ウェアに感染した際に「絶対やってはいけないNG行動」を7つ、具体的な理由とともに徹底解説します。さらに、被害を最小限に抑えるための正しい初動対応3ステップと、そもそも感染しないための予防策までを網羅的にご紹介します。

万が一の事態に備え、この記事をブックマークし、冷静に対応するための「お守り」としてご活用ください。

【本題】ランサムウェア感染時に絶対やってはいけないNG行動7選

ここからは、本題であるランサムウェア感染時のNG行動を7つ、深掘りして解説します。一つひとつの行動がなぜ危険なのかを理解し、最悪の事態を回避しましょう。

「データを人質に取られているのだから、支払うしかない…」そう考える気持ちは痛いほど分かります。しかし、身代金を支払うことは、最も避けるべき選択肢の一つです。

第一に、身代金を支払ってもデータが復旧する保証はどこにもありません。 復号キーが送られてこない、送られてきたキーが壊れていて使えない、といったケースは頻繁に報告されています。さらに、攻撃者はデータを暗号化するだけでなく、事前に窃取していることがほとんどです。これは「二重脅迫（ダブルエクストーション）」と呼ばれ、支払いに応じなければ窃取した情報を公開すると脅迫してきます。

実際に、日本の警察庁もこの手口が主流であると警告しています。

令和６年上半期に確認したランサムウェアによる被害のうち、約８割の事案で、データを暗号化して身代金を要求する手口に加え、窃取したデータを対価を支払わなければ公開するなどと脅迫する「二重脅迫」の手口が確認された。

出典: 警察庁「令和６年上半期におけるサイバー空間をめぐる脅威の情勢等について」

身代金を支払う行為は、こうしたサイバー犯罪組織に活動資金を与え、さらなる犯罪を助長させるだけです。

海外では、大手企業が数億円規模の身代金を支払ったにもかかわらず、システムの完全復旧に数ヶ月を要し、最終的にブランドイメージの失墜と莫大な復旧コストに苦しんだ事例があります。一度「支払う企業」だと認識されれば、再び攻撃のターゲットになるリスクも格段に高まります。安易な支払いは、問題を先送りするどころか、より深刻な事態を招く危険な賭けなのです。

「どのファイルがやられたんだ？」「サーバーは無事か？」と状況を確認したくなる気持ちは分かりますが、感染した端末をネットワークに繋いだままにするのは絶対にやめてください。

ランサムウェアの多くは、ネットワークに接続されている他のコンピューターやサーバーに自動的に感染を広げる「ワーム機能」を持っています。感染したPCを一台でもネットワークに繋いだままにしておくと、そこを起点として、ファイルサーバー、基幹システム、さらにはバックアップサーバーまで、あっという間に被害が拡大してしまいます。

ランサムウェアの感染が疑われる端末を発見したら、まず最初にやるべきことは、LANケーブルを抜く、Wi-Fiをオフにするなど、物理的にネットワークから切断（隔離）することです。一刻も早い隔離が、被害の拡大を食い止める最も効果的な手段です。

「バックアップがあるから大丈夫」と安心するのはまだ早いです。慌ててバックアップからの復旧作業を始めてしまうと、事態をさらに悪化させる可能性があります。

攻撃者は、時間をかけてネットワークに潜伏し、バックアップシステムまで掌握してから攻撃を開始するケースが増えています。そのため、リストアしようとしているバックアップデータ自体が、すでにランサムウェアに感染している可能性があるのです。感染したバックアップで復旧を試みれば、クリーンなはずのシステムに再度ウイルスをばら撒くことになりかねません。

むやみに復旧作業を行うと、ディスク上に残っていた攻撃の痕跡（ログ）が上書きされ、消えてしまいます。これらの痕跡は、いつ、どこから、どのように侵入されたのかを特定し、被害の全容を解明するための重要な「証拠」です。証拠が失われれば、根本的な原因究明ができず、有効な再発防止策を立てることも不可能になります。

PCの動作がおかしいと感じたとき、つい反射的に電源を落としたり再起動したりしがちですが、ランサムウェア感染時はそれが命取りになることがあります。

コンピューターのメモリ（RAM）上には、OSがシャットダウンされると消えてしまう「揮発性」のデータが多数存在します。これには、実行中の不審なプロセスの情報や、通信履歴など、フォレンジック調査（デジタル鑑識）において極めて重要な証拠が含まれています。慌てて電源を落とすと、これらの貴重な手がかりが全て失われてしまうのです。

ランサムウェアの種類によっては、再起動をトリガーとして暗号化のプロセスが再開されたり、さらに悪質なプログラムが実行されたりするよう設計されているものもあります。不用意な再起動は、被害を拡大させるリスクをはらんでいることを認識してください。

「自分の責任問題になるかもしれない…」「事を荒立てたくない…」という思いから、感染の事実を報告せず、内密に処理しようと考えるのは最も危険な行為です。

ランサムウェア対応は、情シス担当者一人で抱え込める問題ではありません。経営層、法務、広報など、関係部署が連携して初めて、組織として適切な対応が可能になります。報告が遅れれば、それだけ組織的な初動対応が遅れ、被害範囲の特定や復旧計画の策定も後手に回ります。結果として、事業停止期間が長引き、ビジネスに甚大な損害を与えることになります。

個人情報保護法では、個人データの漏えい等が発生した場合、速やかな報告が義務付けられています。隠蔽が発覚すれば、法的な責任を問われるだけでなく、顧客や取引先からの信用も完全に失墜します。一人の判断が、会社全体の未来を左右する可能性があることを肝に銘じてください。

「もうこのPCは諦めて、初期化してしまおう」という判断も危険です。クリーンな状態に戻したいという気持ちは理解できますが、それは原因究明の道を自ら閉ざす行為に他なりません。

端末を初期化すると、侵入の経路、攻撃手法、被害範囲といった、攻撃に関するあらゆる痕跡が消去されてしまいます。なぜ攻撃を許してしまったのか、他に侵入されている端末はないのか、といった根本的な原因が分からなければ、同じ手口で再び攻撃されるリスクが残ったままになります。

専門家によるフォレンジック調査を行えば、残されたデジタルデータから攻撃の全容を解明できる可能性があります。そのためには、感染した端末の状態を可能な限り「そのまま」保全しておくことが不可欠です。自己判断で初期化する前に、必ず専門家の指示を仰いでください。

画面に表示された身代金の要求メッセージ（ランサムノート）や、暗号化されたファイルには、不用意に触れないでください。

ランサムノート内に記載されているURLや、暗号化されたファイルそのものに、別のマルウェアが仕込まれている可能性があります。興味本位でクリックしたり、開こうとしたりすると、キーボードの入力情報を盗む「キーロガー」や、他のPCを攻撃するための「ボット」など、第二、第三のマルウェアに感染する危険性があります。

感染が確認された端末では、これ以上の操作は行わず、現状を維持することが鉄則です。全ての操作は、さらなるリスクを生む可能性があると認識し、専門家の調査が始まるまで静観してください。

被害を最小限に！ランサムウェア感染が疑われる際の正しい初動対応3ステップ

では、実際に感染が疑われる際、どのように動けばよいのでしょうか。パニックにならず、以下の3つのステップを順番に、かつ迅速に実行してください。

何よりも優先すべきは、被害の拡大を防ぐことです。

まず、感染が疑われるPCやサーバーを特定します。特定したら、前述の通り、LANケーブルを抜く、Wi-Fiを無効にするなどして、直ちにネットワークから物理的に切り離してください。

次に、隔離した端末以外に同様の症状（ファイルが暗号化されている、不審なファイルがある等）が出ている端末がないか、迅速に確認します。特に、重要なデータを保管しているファイルサーバーや基幹システムが影響を受けていないか、慎重にチェックしてください。

一人で抱え込まず、直ちに組織として対応体制を整えることが重要です。

あらかじめ定められたインシデント報告ルート（通常は直属の上司やCSIRT）に従い、以下の情報を簡潔かつ正確に報告します。

• いつ： 異変に気づいた日時
• どこで： 感染が疑われる端末の場所やホスト名
• 何が： どのような事象が発生しているか（例：身代金要求画面の表示、ファイル名の変更）
• どこまで： 現時点で把握している影響範囲
• どうした： ネットワークからの隔離など、既に行った応急処置

対応を開始した時点から、「誰が」「いつ」「何をしたか」を時系列で正確に記録し始めてください。この記録（インシデントログ）は、後の原因究明や関係機関への報告において、非常に重要な資料となります。

ランサムウェア対応には高度な専門知識が要求されます。自己判断での対応には限界があることを認識し、速やかに専門家の支援を要請しましょう。

契約しているセキュリティベンダーや、インシデント対応を専門とする外部の専門業者（CSIRTやSOCサービス提供事業者）に連絡を取り、状況を説明して指示を仰ぎます。彼らは、被害の全容解明（フォレンジック調査）、復旧支援、再発防止策の策定までをトータルでサポートしてくれます。

最寄りの警察署のサイバー犯罪相談窓口や、独立行政法人情報処理推進機構（IPA）などに通報・相談することも重要です。特に、事業への影響が大きい場合や、個人情報の漏えいの可能性がある場合は、速やかに相談しましょう。警察への通報は、捜査だけでなく、復旧に関する技術的な助言を得られる場合もあります。

「感染したら」では遅すぎる！今すぐ実施すべきランサムウェア予防策

インシデント対応も重要ですが、最も理想的なのは、そもそもランサムウェアに感染しないことです。ここでは、今すぐ実施すべき予防策を「技術的対策」と「組織的対策」に分けて解説します。

一つの対策に頼るのではなく、複数の防御壁を設ける「多層防御」の考え方が基本です。

ランサムウェアの主な侵入経路は、VPN機器やOS、ソフトウェアの脆弱性です。セキュリティパッチが公開されたら、速やかに適用する体制を構築し、徹底してください。

従来のアンチウイルスソフトだけでは、巧妙化する攻撃を防ぎきれません。PCやサーバーの不審な挙動を検知・隔離するEDR (Endpoint Detection and Response) や、未知の脅威をブロックする次世代ファイアウォール（NGFW）の導入が効果的です。

• 3つのコピーを（本番データ＋2つのバックアップ）
• 2種類の異なる媒体で（例：NASとクラウド）
• 1つはオフサイト（物理的に離れた場所）で保管する

この「3-2-1ルール」に基づいたバックアップ戦略が重要です。また、バックアップは取得するだけでなく、定期的に復旧テストを行い、いざという時に確実に使えることを確認しておきましょう。

どれだけ強固なシステムを導入しても、使う「人」の意識が低ければ意味がありません。

添付ファイルやURLリンクから感染させるフィッシングメールは、古典的ですが今なお有効な攻撃手法です。従業員向けに定期的な不審メール訓練やセキュリティ教育を実施し、組織全体のセキュリティリテラシーを向上させることが不可欠です。

万が一インシデントが発生した際に、誰が、何を、どのように行うかを定めた「インシデント対応計画（IRP）」を策定しておきましょう。そして、策定するだけでなく、実際に攻撃を受けたシナリオで「机上訓練」を繰り返し行い、計画の実効性を高めておくことが重要です。

まとめ：冷静な初動と事前の備えが、あなたの会社をランサムウェアの脅威から守る

ランサムウェアの脅威は、もはや対岸の火事ではありません。しかし、万が一感染してしまっても、冷静に、そして正しい知識に基づいて行動することで、被害を最小限に抑えることは可能です。

最後に、本記事で解説した「絶対やってはいけないNG行動」を再確認しましょう。

1. 身代金を支払う
2. ネットワークに接続したままにする
3. 安易にバックアップから復旧する
4. 慌てて電源を落とす・再起動する
5. 感染の事実を隠蔽する
6. 証拠保全せずに初期化する
7. 暗号化ファイルや要求メッセージを開く

この7つのNG行動を避け、「隔離」「報告」「相談」という正しい初動対応を徹底することが、あなたの会社を守る鍵となります。

この記事を読んで、「自社の体制は大丈夫だろうか…」と少しでも不安に感じたなら、それがセキュリティを見直す絶好の機会です。

「どこから手をつければいいか分からない」「専門家の客観的なアドバイスが欲しい」 もしそうお考えでしたら、ぜひ一度、弊社の無料セキュリティ相談をご活用ください。経験豊富な専門家が、貴社の状況をヒアリングし、今本当に必要な対策をご提案いたします。

インシデントは起きてからでは手遅れです。未来の安心のために、今日から、今すぐ行動を始めましょう。