ランサムウェアの感染画面はどう見える？社員が気づく兆候と連絡の例

ランサムウェアの感染画面に決まった形はなく、身代金を求める表示のほか、ファイルの拡張子が変わって開けなくなる形で気づくこともあります。

今日やることは、異変を見た社員が電話する相手を決めることです。担当者と代理の2人⁠の電話番号を紙に書き、各部署に配ります。社員に感染かどうかを判断させる必要はありません。迷ったら連絡する、と決めるだけで動きが変わります。

画面にはどんな内容が出る？

警察庁の相談事例には、次の2つ⁠の形が載っています。

• パソコンの画面が急に制御できなくなり、ファイルを暗号化したので戻すためにビットコインを支払え、という内容が表示された
• 会社のシステムが使えなくなり、確かめるとファイル名が改ざんされ、暗号化されていた。支払わなければデータを外部のサイトへ公開するとも脅された

ここから分かるのは、内容の共通点です。暗号化したという通知、元に戻す対価の要求、攻撃者への連絡方法、盗んだデータを公開するという脅しが、組み合わせて示されます。

もっとも、画面いっぱいの表示だけを覚えると見逃します。JPCERT/CCのFAQは、感染端末に残る痕跡として、暗号化されたファイルの拡張子、脅迫メッセージのファイル、デスクトップの壁紙を挙げています。警察庁の2025年の資料にも、脅迫状をデスクトップなどに置いて、連絡と支払いを求める流れが書かれています。

表示の文面や見た目は攻撃グループごとに違います。社員に見本の画面を暗記させるより、次の節の兆候を教えるほうが実務に合います。

社員が気づく兆候は？

被害を受けた組織の多くが何で気づいたかは、JPCERT/CCのFAQ⁠に整理されています。社内で配るなら、見える場所ごとに書き直すと伝わります。

1台だけなら単なる故障にも見えます。それでも、複数のシステムで同時に起きる障害や不具合の報告から気づく場合⁠があるので、部署の間で声を集める役が要ります。

たとえば、部品メーカーの設計者が朝に図面を開けず、同じ頃に品質管理の担当者も検査記録を開けない場合です。別々に再起動を試していると、同じ原因に気づくまで時間がかかります。「開かない」⁠が2人から来た時点で、担当者が調べ始める決まりにしておけば、切り分けが早まります。

週明けの朝と連休明けは、とくに気をつけて見てください。警察庁の2024年の資料は、土日が休みの企業を狙い、金曜の営業終了後に侵入して月曜の朝までに暗号化する例を挙げています。

偽のセキュリティ警告とどう見分ける？

ブラウザの画面いっぱいに警告が出て電話番号が書かれているなら、ランサムウェアではなく偽の警告かもしれません。IPAの説明によると、偽セキュリティ警告はインターネットの閲覧中に突然表示され、書かれたサポート番号に電話すると被害につながります。画面が表示されただけであれば、ウイルスには感染していないとも説明しています。

見分ける手がかりは、ファイルの状態です。ファイルが開けない、拡張子が変わった、脅迫のファイルがある場合は、ランサムウェアを疑います。

ただ、社員にこの判定まで任せる必要はありません。どちらの場合も、画面に書かれた番号には電話せず、社内の担当者へ連絡する。これだけを共通の決まりにします。

画面を見た社員は何をする？

順番を決めて、カードに書いておきます。警察庁とIPAの手引き⁠の内容をもとに、社員向けに並べると次のようになります。

1. 画面の連絡先、支払い先、リンクには触らない
2. スマートフォンで画面を撮影し、時刻を控える
3. LANケーブルを抜く、または無線をオフにする
4. 電源は落とさない。再起動もしない
5. 決めておいた担当者へ電話し、指示を待つ

3と4は取り違えやすい点です。警察庁は、調査に必要なログなどが消える場合があるとして、電源を落とさないよう案内しています。IPAの手引きも、不用意な操作で記録を消さないよう求めています。

例外も知っておくと、担当者が判断しやすくなります。米国のCISAのガイドは、ネットワークから切り離せない場合に限り、広がりを止めるため電源を落とすことを挙げています。メモリ上の証拠は失われるので、最後の手段です。この判断は社員ではなく担当者が行います。

1の理由は、JPCERT/CCが攻撃者との交渉を推奨せず、届いたメッセージに反応しないだけでなく、交渉自体を検討するべきではないとしているためです。連絡先へのメールも控えます。

連絡先はどう決める？

連絡先は紙に書きます。CISAのガイドは、対応計画を印刷した版とオフラインの版で持つよう求めています。同じガイドは、攻撃者が社内のやり取りを見ている恐れがあるとして、電話など別の経路を使う考え方も示しています。社内のメールやチャットだけに頼らないのは、そのためです。

カードは次の形で足ります。番号は自社のものに置き換えてください。

社員のカードには1と2だけを載せ、3以降は担当者の手順書に入れると読みやすくなります。

調査を頼む先は、被害の前に一度調べておきます。JNSAの緊急対応企業の一覧には、受付時間と対応地域が載っています。費用や対応範囲を比べるなら、インシデント対応・フォレンジックの比較が使えます。

警察の窓口は警察庁の相談窓口の一覧⁠で確かめられます。通報すると公表を迫られるのでは、と迷う会社もあるでしょう。警察庁のよくある質問は、警察から公表を求めることはないと答えています。

このほか、初動の相談先としてJPCERT/CC、届出先としてIPAがあり、個人情報が関わるときは個人情報保護委員会への報告が義務になる場合があります。JPCERT/CCのFAQに、窓口と注意点がまとまっています。

電話を受けた担当者は何を聞く？

電話では、次の5つ⁠を聞いて、時刻と一緒に書き留めます。

• いつ気づいたか
• 誰のどの端末か
• 何が見えたか。画面の写真はあるか
• どのファイルやシステムが使えないか
• ネットワークから切り離したか

同じ内容を複数の部署から集めると、広がりの見当がつきます。被害が複数のシステムに及んでいそうなら、次の一手はバックアップを守ることです。JPCERT/CCのFAQは、自動のバックアップが有効なデータを上書きする恐れに触れ、切り離しや退避を検討するよう書いています。取り方は一緒に暗号化されないバックアップの取り方⁠で整理しました。

経営者へは早い段階で伝えます。止める範囲と外部への連絡は、経営の判断になるからです。業務がどれだけ止まるかを前もって計算しておくと、この判断も速くなります。計算の式は復旧にかかる時間と費用の見積もり方⁠に載せました。

連絡を早くするには何を続ける？

連絡が遅れる理由の一つは、自分のミスを疑って言い出しにくいことだと私たちは見ています。「メールを開いたかもしれない」⁠と言いやすいように、早く連絡した人を責めない決まりを、経営者の言葉で伝えてください。

カードは配って終わりにせず、年に1回⁠、担当者へ電話する訓練を行います。警察庁も、関係者との連絡や警察への相談、バックアップからの復旧手順を、訓練で確かめるよう勧めています。対策の全体はランサムウェア対策のカテゴリ⁠で確かめられます。

教育の枠組みが要るなら社員向けセキュリティ教育の比較が参考になります。社員が気づく前の不審な動きを機械で見つける手段としては、EDRの製品比較があります。対策ソフトで防げる範囲はランサムウェア対策ソフトの範囲と残る穴⁠に分けて書きました。

背景として、IPAの情報セキュリティ10大脅威2026では、組織向けの1位⁠がランサム攻撃による被害です。警察庁の2026年上半期の資料では被害報告が123件で、中小企業が約6割⁠、製造業が約3割⁠を占めます。規模や業種で対象から外れるとは考えず、連絡の順番だけでも先に決めておく価値があります。