ランサムウェアの身代金は、払っても戻る保証がないため、払わずに済む状態を事前に作るのが基本です。JPCERT/CCは支払いを選択するべきではないと考えると明言し、警察庁も犯罪グループの活動資金になる懸念と、復号が保証されないことを被害者に説明しています。
今日やることは、「払わないなら何日で業務を戻せるか」を情報システムの担当者に聞くことです。あわせて、最寄りの警察署、顧問弁護士、保険会社の連絡先を1枚にまとめます。要求の画面が出てから探すと、判断の時間を削ることになります。
なぜ判断が経営の問題になる？
国家サイバー統括室のQ&Aハンドブック Ver.3.0（2026年10月）は、経済産業省の2020年の注意喚起を引いて、身代金への対応を「経営者が判断すべき経営問題そのもの」と紹介しています。情報システムの担当者に任せて済む話ではありません。
支払いの是非は、法律、取引先、再発の恐れにまたがります。社長が平時に一度、次の節の材料に目を通しておくだけでも、当日の議論は変わるはずです。ランサムウェア全体の話はカテゴリの記事一覧にあります。
払えばデータは戻る？
保証はありません。JPCERT/CCが挙げる理由は3つです。
- 暗号化されたファイルが復元される保証がない
- 被害の原因や、侵害による他の被害は解消されないまま
- 支払いの後に、別の攻撃や支払い要求を受ける恐れがある
2つ目は見落とされがちです。鍵を受け取れたとしても、侵入された経路や奪われた認証情報はそのまま残ります。調査と安全確認の工程は、払っても省けません。
データを公開すると脅されている場合も同じです。ハンドブックは、支払っても攻撃者が暗号化を解除し、公表を中止する保証はないと整理しています。
国内のアンケートもあります。JIPDECの企業IT利活用動向調査2026について、ハンドブックは1,107社のうち身代金を支払った企業が222社、そのうち復旧に成功したのは83社、できなかったのは139社と紹介しています。企業の回答をまとめた調査で、警察の統計とは性格が違う点に注意してください。
法律で禁じられている？
法律の個別判断について
この節はハンドブックの整理を紹介するものです。私たちは法律事務所ではありません。実際の判断は弁護士に確かめてください。
ハンドブックのQ60によると、身代金の支払いを直接禁止する法令はありません。ただし、論点は4つあります。
| 論点 |
ハンドブックの整理 |
| 資金提供の規制 |
具体的な状況次第で、テロ資金提供処罰法、犯罪収益移転防止法、外為法などに抵触する可能性 |
| 役員の責任 |
判断は経営判断の問題になり得るが、安易な支払いは善管注意義務違反を構成し得る |
| 開示 |
金額次第では、上場会社は適時開示や臨時報告書が必要になり得る |
| 米国の規制 |
攻撃者が制裁対象の場合など、OFAC規制に違反し、知らなくても制裁金の対象となり得る |
米国の規制については、OFACの2021年の勧告が、米国政府は民間企業や市民による支払いを強く勧めないと書いています。適用の有無は取引関係などで変わるので、海外取引のある会社は弁護士に確かめます。
国際的にも動きがあります。日本も参加した2023年の声明では、参加国がランサムウェアによる金銭の支払いを避けることなどで意見が一致したと公表されました。2024年の会合では、支払いを検討する前に組織が取る手順のガイダンスも出ています。
払っても、報告の義務は別に残る
個人データが暗号化や窃取の被害を受けた場合、その報告の要否は支払いとは別の問題です。ハンドブックは、ランサムウェア攻撃による個人データの漏えい等は内容や件数に関係なく、個人情報保護委員会への報告と本人への通知が必要になると整理しています。
速報は知ってから概ね3〜5日以内、確報はサイバー攻撃等の場合で60日以内とされています。身代金の議論をしている間も、この期限は進みます。
判断するときの材料は？
ハンドブックの脚注は、考慮する要素を並べています。会議でそのまま使える問いに言い換えると、次のようになります。
| 問い |
確かめる相手 |
| 払わずに復旧できるか |
情報システムの担当者、調査会社 |
| 復旧にいくらかかるか |
調査会社、保守業者 |
| 要求額と得られる効果は釣り合うか |
社長、経理 |
| 払っても解除や公表中止の保証がないことを織り込んだか |
弁護士 |
| 犯罪組織の資金になることを、社として説明できるか |
社長、弁護士 |
| 当局や取引先からどう評価されるか |
弁護士、警察 |
| 再び狙われる可能性をどう見るか |
調査会社 |
判断の根拠を記録に残すことも大切です。ハンドブックが引く判例では、経営判断は決定の過程と内容に著しく不合理な点がない限り、善管注意義務違反にならないとされています。誰に相談し、何を比べて決めたのかが後から説明できる形にします。
製造業の場合は、もう1つ確かめる点があります。たとえば、取引先から預かった図面を社内サーバーに置いている金型メーカーの場合です。これは説明のための例です。公開すると脅されているデータに預かり品が含まれるなら、秘密保持契約に沿った連絡が必要か、弁護士と確かめます。払うかどうかとは別に、取引先に伝える準備を進めます。
誰に、どの順で相談する？
順番は次のようになります。JPCERT/CCは、攻撃者との交渉は通常は推奨しないとし、脅迫のメッセージが届いても交渉を検討するべきではないとしています。交渉の事実が第三者に知られる恐れもあります。相談が先です。
- 警察：最寄りの警察署かサイバー犯罪相談窓口へ通報します。初動の支援や復号ツールの案内が可能な場合があり、警察から公表を求めることはないと説明されています
- 弁護士：報告の義務、取引先への説明、支払いの論点を確かめます
- 調査会社：侵入経路と被害の範囲を調べます。フォレンジック調査サービスの比較で、平時に依頼先の候補を挙げておけます
- 保険会社：加入していれば、最初の段階で連絡します。専門家の紹介がつく商品もあります
- 情報の入口：国家サイバー統括室のSTOP! RANSOMWAREに、各機関の案内がまとまっています
保険で身代金は賄える？
賄えないと考えて準備します。日本損害保険協会は、ランサムウェアの被害で支払った身代金はサイバー保険の対象にならないと明記しています。ハンドブックも、日本の保険会社のサイバー保険では対象外の扱いが一般的と整理しています。
一方で、ハンドブックは利益の損害の補償や、外部の専門家の紹介サービスがついた商品にも触れています。補償の範囲は商品ごとに違うので、サイバー保険の比較で確かめてください。
払わない選択を現実にするには？
公表事例では、攻撃者の要求に応じなかったと明記した会社があります。アスクルは攻撃者と接触せず、支払いも交渉も行っていないと公表し、カシオ計算機は捜査機関や弁護士、専門家に相談し、要求に一切応じていないとしています。どちらも情報の流出は別に確認されており、払わなければ被害がなくなるという話ではありません。
選択肢を広げるのは、戻せるデータです。JPCERT/CCは、バックアップが残されていないファイルは復旧が困難と想定し、別の手段による事業継続を考えるのが一般的としています。法人向けバックアップの製品比較で、業務のネットワークから切り離して保管できるかを確かめてください。
バックアップに限らず、事例から備えを見直すなら公式発表でわかる事例の共通点、受注と出荷が止まった実例はアサヒのサイバー攻撃の経過と教訓が参考になります。
