ランサムウェアに感染したら会社はどう動く？最初の1時間⁠の手順書を公開

ランサムウェアに感染したら、電源は切らずに端末をネットワークから切り離し、責任者へ報告して、バックアップを守り、警察と専門の窓口へ連絡します。この順番を、紙で手元に置いておくことが初動の準備です。

今日やることは、この記事を印刷して、下の「連絡先」⁠の表を埋めることです。被害が起きると、社内のネットワークやメールを使えないかもしれません。紙なら、その中でも見られます。

0〜5分：見つけた人は何をする？

画面に脅迫文が出た、複数のファイルの拡張子が変わって開けない。こうしたときに、見つけた人がやることは4つです。

1. 電源は切らない。 警察庁は、調査に必要なログ等が消失する場合があるとして、パソコンやネットワーク機器の電源を落とさないよう案内しています
2. ネットワークから離す。有線はLANケーブルを抜き、無線はオフにします。政府広報オンライン⁠は機内モードか、Wi-Fiルーターの電源を落とす方法を挙げています
3. 画面をスマートフォンで撮り、気づいた時刻と端末名をメモする。発覚の日時と経過は、あとの報告で必要になります
4. 情報セキュリティの責任者へ、電話か口頭で報告する

脅迫文のファイルや暗号化されたファイルは、消さずに残します。警察庁は通報時に提供を求める情報の例としてランサムノートを挙げ、JPCERT/CCは将来の復号に備えて暗号化ファイルを保管する選択肢を示しています。

5〜20分：責任者は何を確かめる？

責任者は、広がりの範囲を確かめながら、切り離しとバックアップの保護を進めます。JPCERT/CCは、暗号化の被害が確認された段階では、バックアップの保護を優先するとしています。

• 何台で起きているか。共有サーバーや基幹システムに及んでいるか
• 切り離せるものは、すぐにネットワークから隔離する
• 無事なバックアップのサーバーや媒体を、切り離すか退避する
• 自動で動くバックアップがあれば、上書きされないよう確かめる
• 別の拠点やVPNでつながる経路を確かめ、必要なら接続を制限する
• 発覚の日時、見つけた人、やったことを時刻つきで記録する

バックアップの項目を急ぐのは、JPCERT/CCが、自動のバックアップで無事なファイルが上書きされて失われる恐れを挙げているからです。戻せるデータが残っているかどうかで、その後の選択肢が変わります。

複数のシステムで同時に暗号化が起きている場合は、管理サーバーの管理者アカウントが乗っ取られた恐れがあります。JPCERT/CCは、管理者アカウントの侵害の有無を調べ、パスワードの変更なども行うとしています。自社でできなければ、次の連絡先に相談しながら進めます。

20〜40分：社長は何を決める？

責任者から報告を受けたら、社長は対応の体制を立てます。IPAの手引きは、責任者と担当者を定めて役割を明確にするよう書いています。

社員には、社外やSNSで話さないよう伝えてください。JPCERT/CCは、関係者のSNSへの書き込みなどから被害の事実が推測されることがあると書いています。

業務を止める範囲は、情報システムの担当者だけで決めません。IPAの教訓集は、システムの停止や復旧の判断には事業部門の関与が欠かせないとしています。

製造業の場合、たとえば生産管理のサーバーに脅迫文が出たとします。工場の設備を止めるかどうかは、現場の責任者が加わって決めます。ネットワークのケーブルを抜く前に、加工中の設備や炉など、安全に止める手順があるものを確かめてください。人の安全に関わる停止手順は、通常の手順を優先します。

40〜60分：社外のどこへ連絡する？

目標は、1時間以内⁠に最初の連絡を済ませることです。伝える内容がそろっていなくても、分かっている範囲で構いません。

警察への連絡をためらう会社もありますが、警察庁は、警察から公表を求めることはなく、被害情報の保秘を徹底するとしています。発生の直後はログの保存などだけを依頼して、詳しい話は後で聞くこともあるとも説明しています。復号ツールの案内を受けられる場合もあります。

調査会社は、被害の範囲と侵入経路を調べるときに要ります。JNSAの緊急対応企業一覧に、受付時間や対応地域が載っています。IPAの相談窓口でも専門業者の一覧を紹介しています。平時にフォレンジック調査サービスの比較を見て、候補を1〜2社決めておくと、当日の迷いが減ります。

最初の1時間⁠にやってはいけないことは？

慌てたときにやりがちな行動を挙げます。

• 攻撃者へ連絡する、支払いの話を進める。JPCERT/CCは交渉を通常推奨しておらず、やり取りが公開される可能性も挙げています
• 残っているバックアップを、感染した環境につなぐ
• 脅迫文、暗号化されたファイル、ログを整理して消す
• 怪しいファイルを、規約を確かめずにオンラインの検査サービスへ上げる。JPCERT/CCは、解析結果から未公表の被害が推測された例を挙げています
• 侵入経路を確かめないまま、元のネットワークへ戻す

最後の項目には理由があります。JPCERT/CCは、侵入経路を塞がないと、復旧後に別の攻撃を受ける可能性があるとしています。復旧の前に、考えられる侵入経路はすべて対処します。

1時間⁠のあとは何が待っている？

個人情報が含まれていれば、報告の期限が動き始めます。個人情報保護法の施行規則は、不正の目的をもって行われたおそれがある行為による漏えい等を、人数にかかわらず報告の対象にしています。

個人情報保護委員会のガイドライン（通則編）⁠は⁠、ランサムウェア等で個人データが暗号化されて復元できなくなった場合を、報告が要る例に挙げています。流出が確かめられていない段階でも、「おそれ」⁠で対象になることがあります。実際の要否は、弁護士や委員会の窓口で確かめてください。

このほか、IPAの手引きは、ウイルス感染や不正アクセスのIPAへの届け出と、業法などで求められる場合の所管省庁への報告を挙げています。国家サイバー統括室は、報告の負担を減らすためのランサムウェア事案共通様式⁠を公開しています。

取引先への説明も続きます。IPAの教訓集は、情報漏えいがなかったことの証明は極めて困難だとして、調査で分かった事実と経過を丁寧に伝えていくよう書いています。「漏えいはありません」⁠と早く言い切らないことです。

復旧の土台は、事前の準備で大きく変わります。感染の前に見直すなら、入口・拡大・復旧の3段の点検表とVPNとRDPの点検手順を、攻撃の全体像はランサムウェアとは何かをまとめた記事⁠をご覧ください。侵入後の動きを見つける手段はEDRの製品比較、復旧の手段は法人向けバックアップの製品比較で確かめられます。ほかのテーマはランサムウェア対策のカテゴリ⁠にあります。