社内のパソコンやサーバーの画面に身代金を要求するメッセージが表示された、ファイルの拡張子が見慣れないものに変わって開けない、あるいは「感染したかもしれない」という報告が上がってきた——。ランサムウェアの被害は、起きたその瞬間から時間との勝負になります。最初の数十分の行動を間違えると、被害がネットワーク全体に広がったり、原因調査や復旧に必要な痕跡が失われたりすることがあります。
この記事では、企業がランサムウェアに感染した（または感染が疑われる）ときに、まず何を・どの順番で行うべきか、逆に何をしてはいけないのか、どこに届け出・相談すればよいのかを、警察庁や個人情報保護委員会などの公的な情報にもとづいて手順の形で整理します。身代金を支払うべきかの判断材料、データの復旧手順、そして二度と同じ被害に遭わないための備えまでを順に見ていきます。
急ぐ方のために結論を先にお伝えすると、初動でまず行うのは感染端末をネットワークから切り離すこと、そのとき電源は切らないこと、そして身代金は支払わないことの3点です。まず押さえるべきは、落ち着いて初動を進めることです。慌てて電源を切ったり、犯人と交渉したりする前に、やるべきことの順番を確かめてください。
目次
一括ダウンロードする
ランサムウェア感染（疑い）直後にまず行う初動対応【手順】
ここからは、感染に気づいた直後に取るべき行動を、順番に沿って解説します。被害の拡大を止めることと、原因調査・復旧に必要なデータを守ることの2つを同時に進めるのが、初動の基本的な考え方です。
感染端末をネットワークから物理的に切り離す（電源は切らない・再起動しない）
最初に行うのは、感染した端末をネットワークから切り離すことです。LANケーブルを抜く、無線LANをオフにするといった方法で、ほかの端末やサーバーへ被害が広がるのを食い止めます。このとき、端末の電源は落とさず、再起動もしないでください。警察庁は、被害が疑われた際の対応として次のように案内しています。
被害拡大を防止するため、感染したパソコン等のＬＡＮケーブルを抜く・無線をオフにするなどして、ランサムウェアに感染したパソコン等をネットワークから隔離してください。感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさないでください。
出典：ランサムウェア被害防止対策｜警察庁（https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html）
電源を切らないのは、感染の原因や侵入経路を調べるためのログなどの痕跡が、電源オフによって失われることがあるためです。警察庁も、慌てて電源をオフにするとログなどの侵入の痕跡が失われ、その後のフォレンジック調査（コンピューターに残された記録を解析して原因を調べる調査）が難しくなる可能性があると注意を促しています。まずは切り離しによる被害拡大防止と、データ保全を優先します。
切り離しと同時に、画面に表示された身代金要求のメッセージやランサムノート（脅迫文）、開けなくなったファイルの拡張子を、スマートフォンなどで写真に撮って残しておきます。これらは、後で警察やセキュリティの専門家に状況を正確に伝えるための資料になり、ランサムウェアの種類の特定や、復号ツールが使えるかどうかの判断にも役立ちます。
出典・参考資料（2件）
感染した端末を特定して隔離する
切り離しと並行して、どの端末が感染しているのかを特定します。暗号化されたファイルがある端末、見慣れない身代金要求の画面が出ている端末を洗い出し、ネットワークから隔離します。感染端末が共有フォルダやファイルサーバーに接続していた場合は、そこを経由して被害が広がっている可能性があるため、サーバー側の状況も確認します。
判断に迷う場合でも、まずは疑わしい端末を広めに隔離し、安全を確認してから戻すほうが、被害の取りこぼしを防げます。
被害範囲と侵入経路を確認する
隔離が済んだら、被害がどこまで及んでいるか、どこから侵入されたのかを確認します。暗号化されたファイル・サーバーの範囲、データが外部に持ち出された形跡の有無を調べます。
近年のランサムウェアは、インターネットに接続されたVPN機器などの弱点や、盗まれた認証情報を悪用して社内に侵入する手口が主流です。警察庁の令和7年の調査では、侵入経路が判明したもののうち6割超（令和7年は約66％）をVPN機器が占め、リモートデスクトップがこれに次いでいます。メールの添付ファイルによる感染はごく一部にとどまります。
このため、被害範囲の確認と並行して、社外からの接続に使うVPN機器を優先的に点検し、既知の弱点や不正なアクセスの形跡がないかを調べます。侵入経路の特定は、後述する復旧や再発防止の出発点になります。
出典・参考資料（1件）
この段階では、電源を落とさずにログを保全したまま確認します。社内に対応できる担当がいない場合は、無理に自社で調べようとせず、ネットワークから切り離した状態を保ったまま、次に述べる警察やセキュリティの専門家に連絡して、ここから先を任せて構いません。
情報システム部門・経営層へ報告する（誰が・いつ・何を）
初動の技術的な対応と並行して、社内への報告も進めます。ランサムウェアの被害は、復旧の意思決定・取引先への連絡・場合によっては公表まで関わるため、現場の判断だけで抱え込まず、早い段階で情報システム部門と経営層に上げることが大切です。誰が・いつ・何をするかを、下の表のように整理しておくと、混乱した状況でも抜け漏れを防げます。
| 担当（タイミング） | 最初に行うこと |
|---|---|
| 発見した従業員 （発覚直後・最初の数分） | 自分で復旧を試みたり再起動したりせず、感染端末のLANケーブルを抜く・無線LANをオフにして切り離す（電源は切らない）。画面の脅迫文を撮影し、すぐに情報システム部門へ連絡する |
| 情報システム部門 （発覚直後〜当日） | 感染端末の特定と隔離、被害範囲・侵入経路（VPN機器など）の確認、ログの保全。自社で対応しきれなければ警察・JPCERT/CC・専門事業者へ相談し、経営層へ報告する |
| 経営層 （当日〜数日以内） | 対応体制の立ち上げと復旧方針の決定。サイバー保険に加入していれば保険会社へ早めに連絡し、調査会社手配の支援や補償条件を確認する。個人データ漏えいの有無を確認し、該当すれば個人情報保護委員会へ速報（発覚から概ね3〜5日以内）。取引先・顧客への説明を検討する |
この表はあくまで一般的な目安です。自社の体制や被害の状況に合わせて、担当と手順をあらかじめ決めておくと、いざというときに動きやすくなります。
感染時にやってはいけないこと
初動では「やること」と同じくらい「やってはいけないこと」が重要です。良かれと思って取った行動が、かえって被害を広げたり、原因調査や復旧の可能性を奪ったりすることがあります。ここでは、特に避けたい4つの行動を理由とともに整理します。
感染端末を再起動・シャットダウンしない
感染端末の再起動やシャットダウンは避けてください。前述のとおり、電源を落とすと、侵入の痕跡やログなどの原因調査に必要なデータが失われ、その後のフォレンジック調査が難しくなることがあります。画面がおかしいからといって反射的に再起動するのではなく、ネットワークから切り離したうえで電源は入れたまま保全するのが基本です。
感染後にバックアップを接続・取得しない
感染が疑われる状況で、外付けHDDやバックアップ用のストレージを接続するのは危険です。接続したバックアップまで暗号化されてしまうおそれがあります。警察庁も、ランサムウェアによってバックアップデータも暗号化されてしまう事例が多数確認されていると注意を促しています。
感染後に慌ててバックアップを取りに行くのではなく、まず安全を確認してから、既存のオフラインバックアップを使います。
出典・参考資料（1件）
暗号化されたファイルや痕跡を削除しない
暗号化されて開けなくなったファイルや、不審なプログラム、ログを「不要だから」と削除しないでください。これらは、原因や侵入経路を調べるための重要な手がかりであり、後から復号ツールが提供されたときに復元できる可能性も残されています。被害の片付けを急ぐより、現状をそのまま保全することを優先します。
攻撃者と直接交渉しない
身代金要求のメッセージに記載された連絡先へ、自社で直接連絡を取るのは避けてください。交渉や支払いは、相手の活動を助けることにつながるうえ、支払ってもデータが戻る保証はありません。やり取りの過程で、かえって不利な状況に追い込まれることもあります。対応は自社だけで抱え込まず、警察やセキュリティの専門家に相談したうえで判断します。
どこに届け出・相談すればよいか（窓口・連絡先）
ランサムウェアの被害は、自社だけで対応を完結させる必要はありません。公的な相談窓口や専門機関に早めに連絡することで、初動対応の支援や復号ツールの案内を受けられる場合があります。ここでは、相談・通報できる窓口と、法的な報告義務の有無を分けて解説します。
警察・IPA・JPCERT/CC への相談・通報（窓口名・連絡先一覧）
まず相談・通報できる主な窓口を一覧にまとめます。警察への通報は、被害拡大防止のための初動対応支援や復号ツールの案内につながることがあります。
| 窓口 | 連絡先・受付方法 | 主な役割 |
|---|---|---|
| 都道府県警察のサイバー犯罪相談窓口／最寄りの警察署 | 都道府県ごとに異なる（窓口一覧から確認）。緊急時は110番 | 被害の通報・相談。初動対応支援や復号ツールの案内が可能な場合がある |
| 警察相談専用電話 #9110 | 電話「#9110」（緊急でない相談用の全国共通番号。接続先は発信地を管轄する都道府県警察。受付時間は各都道府県で異なる） | 緊急を要しない相談の総合窓口 |
| IPA 情報セキュリティ安心相談窓口 | 電話 03-5978-7509（10:00〜17:00、土日祝・年末年始を除く）／メール相談も受付 | ウイルス・不正アクセスなど技術的な相談へのアドバイス |
| JPCERT コーディネーションセンター（JPCERT/CC） | Webフォームまたはメール info@jpcert.or.jp（原則として電話での報告は受け付けていない） | インシデントの初動対応・調査のサポート |
警察の相談窓口は都道府県ごとに連絡先が異なるため、上記の一覧ページから自社の所在地を管轄する窓口を確認してください。IPAの窓口は技術的なアドバイスが中心で、個別のログ調査の代行や法的判断までを担うものではありません。JPCERT/CCは、Webフォームまたはメールでインシデント報告を受け付けています。
今まさに被害が進行していて自社だけでは対応しきれないときは、まず警察（緊急時は110番、または最寄りの警察署・サイバー犯罪相談窓口）やJPCERT/CCのWebフォームに連絡します。初動対応の支援や、対応できる専門事業者の紹介につながることがあります。IPAの窓口は平日の日中（10〜17時）のみのため、夜間・休日はこれらの窓口を使います。
出典・参考資料（3件）
個人データ漏えいの疑いがあるときは個人情報保護委員会へ報告（法的義務）
相談・通報とは別に、見落としやすい法的な義務があります。ランサムウェアの感染で個人データが漏えいした、またはそのおそれがある場合、個人情報保護法にもとづき個人情報保護委員会への報告と、本人への通知が必要になることがあります。個人情報保護法第26条は、次のように定めています。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。
出典：個人情報の保護に関する法律 第26条第1項｜e-Gov法令検索（https://laws.e-gov.go.jp/law/415AC0000000057）
個人情報保護委員会は、ランサムウェアなどにより個人データが暗号化され、復元できなくなった場合も、不正の目的で行われたおそれがある行為による漏えい等として報告の対象になり得ると案内しています。データが外部に持ち出されていなくても、暗号化によって復元できなくなった時点で対象になり得る点に注意が必要です。
報告には、速報（発覚から概ね3〜5日以内）と確報（原則30日以内。不正目的の場合は60日以内）の2段階があります。自社の状況が報告対象に当たるかの判断は専門的なため、早い段階で確認しておくことをおすすめします。
出典・参考資料（2件）
個人データの漏えいが疑われるケースでは、報告義務の対象となる4つの類型や速報・確報の期限、本人への通知まで対応の幅が広がります。漏えい発覚時の初動から個人情報保護委員会への報告・再発防止までの流れを、個人情報保護法や施行規則の該当箇所とあわせて確認したい場合は、次の記事で詳しく整理しています。
身代金は支払うべきか
結論から述べると、身代金の支払いは推奨されません。警察庁は、身代金を要求された場合について、次のように説明しています。
暗号化されたデータを復号するための対価と称してランサムウェア攻撃グループから要求される金銭等を支払うことに関し、警察としては、「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」旨を被害者に対して説明している
出典：ランサムウェア被害防止対策｜警察庁（https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html）
支払いが推奨されない理由は大きく2つです。1つは、支払った金銭が攻撃グループの次の犯行の資金になりかねないこと。もう1つは、支払ってもデータの復号が保証されるわけではないことです。復号鍵が渡されない、渡されても一部しか戻らない、支払ったことで「払う相手」と見なされて再び狙われる、といったリスクも指摘されています。
海外でも、米国財務省の外国資産管理室（OFAC）が、民間企業や個人に対して身代金の支払いを強く控えるよう促しています。これは日本企業を直接規制するものではありませんが、サイバー保険会社や海外のインシデント対応事業者など米国が関与する形で支払う場合には、制裁のリスクが関わることがあります。
一方で、支払わずに自力で復旧する場合も、相応の費用と時間がかかる現実があります。警察庁の調査によると、令和7年にランサムウェア被害に遭った企業・団体等では、復旧に総額1,000万円以上を要した組織が全体の5割を超えています。1か月未満で復旧できた組織は5割強にとどまり、裏を返せば半数近くは復旧に1か月以上を要しています。
だからこそ、支払いの是非を迷う前に、後述する備え（オフラインバックアップやサイバー保険）を整えておくことが、損失を抑える現実的な手段になります。
出典・参考資料（3件）
データとシステムを復旧する手順
初動対応と報告が済んだら、データとシステムの復旧に移ります。焦って元に戻そうとすると、汚染されたデータで上書きしたり、侵入経路を残したまま再稼働させたりする危険があります。次の順番で進めるのが基本です。
バックアップが汚染されていないか確かめる
復旧の起点はバックアップですが、そのバックアップ自体が暗号化・汚染されていないかをまず確認します。ネットワークにつながったままのバックアップは、感染時に一緒に暗号化されていることがあります。切り離して保管していたオフラインのバックアップがあれば、それが最も確実な復旧元になります。
侵入時期をさかのぼって復元する時点を決める
復元する時点は、感染が起きた後ではなく、侵入が始まる前までさかのぼって決めます。攻撃者は、暗号化を実行する前から社内に潜んでいることが多いため、感染直前の時点に戻すと、潜伏していた痕跡ごと復元してしまうおそれがあります。被害範囲の確認で把握した侵入時期を手がかりに、安全な復元ポイントを選びます。
復号ツールで戻せるか確認する
有効なバックアップがない場合は、復号ツールで戻せないかを確認します。警察庁は、一部のランサムウェアについて「No More Ransom」プロジェクトのサイトで復号ツールが公開されていると案内しつつ、次の点に注意するよう促しています。
一部のランサムウェアについては、「No More Ransom」プロジェクトのウェブサイトで復号ツールが公開されています。復号ツールを利用することにより暗号化されたファイルを復号できる場合がありますが、次の点に注意してください。
出典：ランサムウェア被害防止対策｜警察庁（https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html）
・一部のランサムウェアにしか復号ツールが対応していないこと
・復号ツールが利用できるランサムウェアとして紹介されていた場合であっても、バージョン等の違いにより、復号ツールが使えないことがあること
・対応した復号ツールでも、暗号化されたファイル全てを復号できるとは限らないこと
復号ツールはすべてのランサムウェアに対応しているわけではなく、過度な期待は禁物です。警察庁も一部のランサムウェアを対象とした復号ツールを提供しており、被害の届け出をしていない場合でも利用できる旨を案内しています。実際に警察庁は、LockBitやPhobos／8Baseといった一部のランサムウェアについて、関係国の捜査機関と連携して復号ツールを開発・公開してきました。
被害を最寄りの警察署やサイバー犯罪相談窓口に相談すると、これらのツールを使った被害回復作業の支援を受けられる場合があります。まずは対応するツールがあるかを確認したうえで、戻せる範囲を見極めます。
出典・参考資料（2件）
端末を初期化してシステムを再構築する
復元元が決まったら、感染した端末は初期化したうえでシステムを再構築します。暗号化されたデータを無理に残して使い続けると、潜伏したマルウェアが再び動き出すおそれがあります。初期化のうえで安全な状態に戻し、確認済みのバックアップからデータを復元するのが確実です。再構築の際には、次の再発防止策もあわせて組み込みます。
そもそもランサムウェアとは？感染すると企業に何が起きるか
初動と復旧の流れを押さえたうえで、ランサムウェアの仕組みと、感染が企業にもたらす影響を簡単に整理します。警察庁はランサムウェアを次のように定義しています。
ランサムウェアとは、端末等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価（金銭又は暗号資産）を要求する不正プログラムです。データを暗号化する（ランサムウェアを実行する）ことなくデータを窃取し対価を要求する手口「ノーウェアランサム」の被害も確認されています。
出典：ランサムウェア被害防止対策｜警察庁（https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html）
近年は、データを暗号化するだけでなく、窃取したデータを「対価を支払わなければ公開する」と脅す二重恐喝が被害の多くを占めています。実際に、企業の財務情報や個人情報がダークウェブ上のリークサイトに掲載される事例も確認されています。
感染すると、業務システムの停止による事業の中断、情報公開による信用の失墜、取引先や顧客への対応といった形で、被害は金銭面にとどまらず広がります。被害に遭った企業・団体等の多くは中小企業で、業種別では製造業が目立つことも、警察庁の調査で示されています。
実際の被害も相次いでいます。たとえば大阪の公立病院である大阪急性期・総合医療センターでは、2022年10月に取引先の給食事業者の機器経由でランサムウェアに侵入され、電子カルテなどの院内システムが暗号化されました。同センターが公開した調査報告書によると、通常診療の完全復旧までに約2か月半を要しています。
中小企業でも、社内の共有フォルダやネットワークにつないだNAS（ファイル共有用のストレージ）ごと暗号化され、業務データを一度に失う被害が報告されています。規模や業種を問わず被害が確認されています。
出典・参考資料（3件）
二度と繰り返さないための再発防止策
復旧の目処が立ったら、同じ被害を繰り返さないための備えに移ります。ここからは、被害を最小限に抑えるために有効な対策を4つの観点で解説し、あわせて自社の課題に合うサービスを紹介します。
一括ダウンロードする
バックアップの見直し（オフライン保存・イミュータブルバックアップ）
最も確実な備えは、暗号化されても戻せるバックアップを持っておくことです。警察庁は、ランサムウェアによってバックアップデータも暗号化される事例が多数あるとして、バックアップはこまめに取得し、ネットワークから切り離してオフラインで保存するよう推奨しています。
一般には、データを3つ持ち・2種類の媒体に・1つは別の場所に保管するという「3-2-1ルール」の考え方も広く知られています。加えて、保存後に書き換えられないイミュータブル（変更不可）な形での保管を組み合わせると、バックアップごと暗号化されるリスクをさらに下げられます。
出典・参考資料（1件）
脆弱性診断・侵害痕跡（IoC）の調査で侵入経路をふさぐ
被害の再発を防ぐには、どこから侵入されたのかを突き止め、その経路をふさぐことが欠かせません。警察庁も、感染が確認されていない端末やサーバーも含めて、マルウェア感染や侵害の痕跡がないか調査することを推奨しています。主要な侵入経路になりやすいVPN機器などの弱点を定期的に点検し、潜伏している痕跡（IoC＝侵害の痕跡）がないかを調べることで、再発のリスクを下げられます。
出典・参考資料（1件）
EDR・振る舞い検知による端末防御
侵入を早い段階で検知し、被害が広がる前に食い止める仕組みも有効です。警察庁は、ウイルス対策ソフトやEDR（Endpoint Detection and Response＝端末上の不審な挙動を検知して対処する仕組み）、ネットワーク監視製品などの導入が有効だとしています。万一侵入されても、ネットワーク内の不審な動きを検知して遮断できれば、暗号化や情報窃取といった深刻な被害を防げる可能性が高まります。
出典・参考資料（1件）
サイバー保険で被害時の損失に備える
技術的な対策に加えて、被害が発生したときの金銭的な損失を補う備えとして、サイバー保険という選択肢があります。前述のとおり、復旧には総額1,000万円以上を要する企業が5割を超えており、調査・復旧費用や事業中断による損失は大きな負担になります。サイバー保険は、こうした費用損害や賠償損害の一部をカバーするもので、脆弱性診断やバックアップと組み合わせて提供されるサービスもあります。
ここで挙げたバックアップ・脆弱性診断・EDR・サイバー保険は、社内セキュリティ全体から見ればランサムウェアに関わる一部です。端末・ネットワーク・ID・データ・監視運用という守るべき対象ごとに、どんなソリューションがあり自社は何から検討すべきかを見渡したい場合は、次の記事で代表的なサービスを横断的に比較しています。
ここからは、これらの再発防止に役立つサービスを紹介します。まず、各サービスの特徴を一覧で比較します。
| サービス名 | CoWorker 端末侵害診断サービス | Eye「247」 Safety Zone | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|
| 主な役割 | 侵害痕跡の調査（事後フォレンジック診断） | 端末の防御（EPP＋EDR） | 予防・復旧・補償の統合対策 |
| ランサムウェア対策の主な機能 | 専用ツールで端末ログを収集し、AI「Blue Agent」と専門家がマルウェア感染・情報漏えいの痕跡を解析。攻撃経路を可視化し、速報は1週間以内に報告 | 振る舞い検知（ATC）で不審な動作を常時監視。ファイルを自動でバックアップし、暗号化されても直近のバックアップにリストア可能。フィッシングサイトも自動ブロック | 月次の内部脆弱性診断（予防）、隔離経路でセンター内NASへ自動バックアップ（復旧）、サイバー保険の自動付帯（補償）を一体で提供 |
| 料金の目安 | 初期費用20万円＋診断費用1台50万円（税別） ※複数台で台数割引あり | 要問い合わせ （導入台数・契約期間に応じた個別見積もり） | 1台あたり月額1,250円〜 ※初期費用は要問い合わせ |
| 提供形態 | スポット／定期で実施する遠隔診断 Windows・Mac対応、最大100台まで | 端末にインストールするソフト＋ ブラウザベースの管理コンソール | 最短2週間で利用開始・設置10分 月次診断と相談会で伴走 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金は2026年11月時点の各社公式情報・カタログ掲載情報によります。最新の内容は各社の情報をご確認ください。
1. CoWorker 端末侵害診断サービス（CoWorker株式会社）
すでに侵害の痕跡がないかを確かめたい企業に向くのが、CoWorker株式会社の「端末侵害診断サービス」です。対象のパソコンから専用ツールでログを収集し、自社開発のAI「Blue Agent」とセキュリティ専門家が、マルウェア感染や情報漏えい、不審なデータの持ち出しの痕跡がないかを事後に解析します。
本記事で触れた「被害範囲と侵入経路の確認」を専門家の手で行いたい場面に加え、再発防止として定期的に侵害の有無を点検したい企業にも適しています。
常時監視するタイプではなく、インシデントが疑われたときや退職者のPC確認、年1〜2回の定期点検といった形でスポット的に実施できるのが特徴です。速報レポートは1週間以内、最終レポートと報告会は1か月以内に提供され、攻撃経路の可視化やリスク優先度付きのレポートが納品されます。WindowsとMacに対応し、最大100台までの一括診断が可能です。
料金は、2026年11月時点で初期費用200,000円（ヒアリング・導入稼働費）に加え、診断費用が1端末あたり500,000円（税別）で、複数台の導入時には台数割引が用意されています。
フォレンジック調査がこれまで企業にとって手を出しにくいものだった事情と、定期的な診断が求められるようになった背景について、提供元のCoWorker株式会社はMCB FinTechカタログの取材で次のように語っています。
フォレンジックはこれまで、1台あたり100万円から200万円ほどの費用がかかり、専門家も少ないという課題がありました。そこにAIの発達が組み合わさって、高速化・低価格化が実現できるようになったことが、このサービスを開発した大きなきっかけです。従来のフォレンジックは、何か大きな問題が起きてから重い腰を上げて対応するというイメージが強かったのですが、問題がまだ小さいうちに、より簡易でスピーディーに診断できるものが必要だと考えました。あわせて、攻撃者側もAIを使ってランサムウェアを高速化させていますので、年に1回ではなく、より定期的な診断が不可欠になってきているという背景もあります。
2. Eye“247” Safety Zone（株式会社フーバーブレイン）
端末そのものの防御を固めたい場合に選択肢となるのが、東証スタンダード上場の株式会社フーバーブレインが提供する「Eye“247” Safety Zone」です。ウイルスを検知・隔離するEPPと、端末上の不審な挙動を検知して対処するEDRを1つの製品にまとめたエンドポイントセキュリティソフトで、Bitdefenderの検知エンジンを採用しています。
ランサムウェア対策として、不審な動作を監視しながらファイルを自動でバックアップし、万一暗号化された場合もクライアント側から直近のバックアップにリストアできる機能を標準で備えています。アプリケーションの動きを常時監視する振る舞い検知（ATC）や、フィッシングサイトの自動ブロックにも対応します。
ブラウザベースの管理コンソールで各PCの状況を一元管理でき、専任のセキュリティ担当者を置きにくい中堅・中小企業でも運用しやすい設計です。料金は導入台数や契約期間に応じた個別見積もりとなっています。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROの「KATABAMI サイバーセキュリティ対策パッケージ」は、月次の脆弱性診断による「予防」、隔離した通信経路でセンター内のNASへ自動バックアップする「復旧」、サイバー保険による「補償」の3本柱を1つにまとめたサービスです。予防から復旧、被害時の補償までをひとまとめに備えたい企業に向いています。
復旧の中心となるKATABAMI CRAは、攻撃者が到達できない隔離経路を通じてバックアップを保管するため、本記事で触れた「バックアップごと暗号化される」リスクへの直接の備えになります。補償面では、あいおいニッセイ同和損保のサイバー保険を自動付帯した安心安全パッケージを提供しています。
料金は1台あたり月額1,250円からで、公式には「最短2週間で利用開始」「設置10分」とされ、専任のセキュリティ人材を置きにくい中小企業でも導入を検討しやすい設計です。脆弱性診断では対策案の提示まで行い、実際のパッチ適用などは利用企業側での対応が基本となる点は、あらかじめ押さえておくべきポイントです。
バックアップ自体が暗号化される問題の深刻さと、その経路をどう設計したかについて、提供元の株式会社SYNCHROはMCB FinTechカタログの取材で次のように説明しています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。そこで当社は、KATABAMIを使ってバックアップを見えない経路で隠す仕組みを取り入れています。
まとめ
ランサムウェアに感染したときは、まず感染端末をネットワークから切り離し、電源は切らずに被害の拡大を止めることが初動の基本です。再起動やバックアップの接続、犯人との直接交渉は避け、警察のサイバー犯罪相談窓口やIPA、JPCERT/CCに早めに相談します。個人データの漏えいやそのおそれがある場合は、個人情報保護委員会への報告が必要になることも忘れてはなりません。
身代金の支払いは、犯罪の助長につながるうえ復号の保証もなく、推奨されません。復旧は、汚染されていないバックアップの確認から順に進め、同じ被害を繰り返さないために、オフラインバックアップ・脆弱性診断・EDR・サイバー保険といった備えを整えることが大切です。自社の課題に合うサービスの資料を取り寄せて、具体的な検討を始めてみてください。
一括ダウンロードする
よくあるご質問（FAQ）
Q. ランサムウェアとは何ですか？
A. ランサムウェアとは、パソコンやサーバー内のデータを暗号化して使えない状態にし、その復号と引き換えに金銭（身代金）を要求する不正プログラムです。近年は、データを暗号化せずに盗み出し「対価を払わなければ公開する」と脅す「ノーウェアランサム」や、暗号化と情報公開の両方で脅す二重恐喝も確認されています。
企業が感染すると、業務システムの停止や情報漏えいによる信用の失墜など、被害は金銭面にとどまらず広がります。
Q. ノーウェアランサムに感染した場合はどう対応すればよいですか？
A. ノーウェアランサムの被害は、データが暗号化されていなくても「情報漏えい」として扱い、侵入経路と流出範囲を調べて警察へ相談することが対応の基本です。暗号化を伴わずデータを盗み出して公開をちらつかせる手口のため、「ファイルは開けるから被害は小さい」と軽く見ないことが重要です。
個人データが外部に持ち出された疑いがある場合は、暗号化の有無にかかわらず個人情報保護委員会への報告と本人への通知が必要になることがあります。
Q. ランサムウェアの主な感染経路はどこですか？
A. ランサムウェアの主な感染経路は、インターネットに接続されたVPN機器などの弱点や、盗まれた認証情報・簡易なパスワードの悪用です。警察庁の調査でも、侵入経路の多くをVPN機器が占めています。ほかに、修正されていないソフトウェアの脆弱性や設定の不備、保守・運用を委託している事業者の回線経由なども確認されており、メールの添付ファイルだけが経路ではない点に注意が必要です。
Q. NASやクラウドストレージのデータもランサムウェアの被害を受けますか？
A. NASやクラウドストレージも、ネットワーク経由で接続されていればランサムウェアの暗号化の対象になり得ます。特に、端末のファイルを自動で同期する設定にしていると、暗号化されたデータがそのままクラウド側にも上書きされてしまうおそれがあります。世代（バージョン）管理ができる仕組みや、ネットワークから切り離したオフラインでの保管を組み合わせておくことが、被害時の備えになります。
Q. ランサムウェアの被害は警察に届け出る義務がありますか？
A. ランサムウェア被害そのものの警察への届け出は、法律上の義務ではなく任意ですが、早めに相談することで初動対応の支援や復号ツールの案内を受けられる場合があります。一方で、個人データが漏えいした、またはそのおそれがある場合は、個人情報保護法にもとづき個人情報保護委員会への報告と本人への通知が義務づけられることがあり、こちらは任意ではありません。
警察への相談と当局への報告は分けて考える必要があります。
Q. ランサムウェア被害を取引先や顧客に公表する必要はありますか？
A. 取引先や顧客への公表そのものに一律の法的義務はありませんが、個人データが漏えいした（そのおそれがある）場合は、対象となった本人への通知が必要になることがあります。本人への連絡が難しい事情があるときは、公表などの代替措置で対応する場合もあります。
法的な通知義務とは別に、取引先の業務や信用に影響する被害では、状況を早めに説明することが結果的に信頼の維持につながります。公表の要否や範囲は、被害内容を踏まえて経営層と相談して判断します。
Q. サイバー保険はランサムウェア被害でも補償されますか？
A. サイバー保険は、ランサムウェア被害に伴う調査・復旧費用や、情報漏えいによる賠償責任などの損害の一部を補償する保険です。前述のとおり復旧には総額1,000万円以上を要する企業が5割を超えており、こうした金銭的損失に備える手段になります。ただし補償の対象範囲や上限、身代金そのものの扱いは商品ごとに異なるため、加入を検討する際は各社の資料や約款で補償内容を必ず確認してください。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、ランサムウェア対策に役立つバックアップ・端末防御・脆弱性診断・サイバー保険などのサービスの最新資料を無料で一括請求できます。機能や料金、補償内容を製品ごとにまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
