マルウェアに感染した時にやってはいけないこと 現場の担当者向けに解説

マルウェアへの感染を疑ったときにやってはいけないのは、電源を切る、再起動する、フルスキャンをかける、自分の判断でファイルを消すことです。どれも善意の行動ですが、原因と被害の範囲を調べる手がかりを消すおそれがあります。やることはLANケーブルを抜き、無線を切り、電源は入れたまま担当者へ連絡する、この3つです。

今日やることは、この3つ⁠と連絡先を書いた紙を、各自のパソコンに貼ることです。総務省のテレワークセキュリティのページには、端末に貼る緊急時対応カードがWord形式で用意されています。自社の連絡先を入れればそのまま使えます。

やってはいけない行動の一覧

ここで挙げる内容の多くは、ランサムウェアを想定した公的機関の案内から取りました。国家サイバー統括室のサイトで公開されている共通様式の記載例に、初期対応の留意事項がまとまっています。

パソコン1台⁠のマルウェア感染で、いつも同じ対応になるとは限りません。JPCERT/CCも、状況や攻撃の進行段階に応じて対応を検討するとしています。現場の担当者が迷ったら、この表の側に倒して、判断は担当者か専門家に渡してください。

電源を切ってはいけないのはなぜ？

パソコンは、動いている間に調査の手がかりを持っています。警察庁のランサムウェア対策の案内は、感染原因などの調査に必要なログが消える場合があるとして、パソコンやネットワーク機器の電源を落とさないよう求めています。2025年⁠の情勢資料でも、慌てて電源を切ると侵入の痕跡が失われ、フォレンジック調査が難しくなる可能性があると説明しています。

個人情報保護法サイバーセキュリティ連絡会が2026年1月⁠に出した資料も、ネットワークの隔離はしてよい措置、電源オフや再起動はしてはいけない措置に分けています。

なお、電源を切らないのは「そのまま使い続ける」という意味ではありません。隔離したら、触らずに置いておきます。

自分で消すと何が困る？

いちばん起こりやすい失敗は、怪しいファイルを見つけて消す、ウイルス対策ソフトの駆除ボタンを押す、という動きです。画面の警告が消えると、解決したように見えます。

ところが、消したあとに知りたいことは残っています。入口はどこか、同じ攻撃が別のパソコンに及んでいないか、何の情報が持ち出されたかです。

JPCERT/CCのEmotetのFAQは、1種類のマルウェアについての案内ですが、順番の考え方が分かります。感染を確認したあとの対処は次の順です。

1. 感染端末の隔離、証拠保全、被害範囲の調査
2. 利用していたメールアカウントなどのパスワード変更
3. 同じネットワークの全端末の調査
4. 通信ログの監視
5. ほかのマルウェアの感染有無の確認
6. 関係者への注意喚起
7. 感染した端末の初期化

初期化は最後です。パソコンを早く戻したい気持ちは分かりますが、代替機があるなら、そちらで仕事を続けるほうが調査の余地を残せます。

調査を外部に頼む場合、費用は安くありません。JNSAの2025年⁠の講演資料では、事故原因と被害範囲の調査を300万〜400万円としています。手がかりが残っているほど調査は進めやすくなります。業務と費用の全体はサイバー攻撃を受けると会社はどうなるか⁠に時系列でまとめました。

ほかに見落としやすいこと

バックアップをつないだままにする

感染に気づいたら、無事なバックアップを先に守ります。JPCERT/CCのFAQは、自動でバックアップする仕組みの場合、被害を免れたファイルが上書きされて消える恐れがあるとして、安全が確認できるまで切り離しや退避を検討するよう案内しています。外付けディスクがつながったままなら、担当者に伝えてください。

ただし、切り離しの判断はバックアップの方式で変わります。担当者か保守会社へ連絡するときに、最初に伝える項目にします。

隠す、様子を見る

自分のクリックが原因かもしれないと思うと、報告をためらいます。どの時点で何を開いたかを早く聞けるほど、調べる範囲を絞れます。会社としては、報告した人を責めない決まりを先に伝えておくことです。

個人データに関わる場合は、期限も動き始めます。個人情報保護委員会は、速報を発覚から3〜5日以内としています。

社内のチャットで広く知らせる

感染の疑いのある端末で連絡を続けるのは避け、電話か別の端末を使います。全社へ知らせるかどうかは担当者が決めます。憶測が広がると、取引先への説明と食い違うことがあるためです。

警察に話すと大事になると思う

警察庁の案内は、通報によって公表を求めることはないこと、復旧作業や業務継続に配慮して、発生直後はログの保存だけを頼む場合もあることを示しています。初動の助言や復号ツールの案内を受けられる場合もあります。

工場の機械につながったパソコンの場合

たとえば、検査装置や加工機につないだパソコンで感染を疑った場合を考えます。事務のパソコンと違い、ケーブルを抜くと装置が止まったり、工程に影響したりすることがあります。

安全に関わる機械は、まず機械の停止手順と安全の確認を優先します。そのうえで、生産の責任者と情報の担当者が一緒に、どのネットワークを切るかを決めます。現場の判断で電源を落とす前に、誰に電話するかを工程ごとに決めておくと迷いません。装置メーカーの保守窓口も、連絡先に入れておきます。

工場の機械まわりの話は、機種や契約で扱いが違います。保守の範囲は、平時にメーカーへ確かめてください。

担当者に伝えること、相談先

電話で担当者へ伝える内容をメモしておきます。

• いつ気づいたか、時刻
• 使っていた端末と、使っていた人
• 画面に出ていること。可能ならスマホで撮る
• 直前に開いたメールやファイル
• ケーブルを抜いたか、電源は入っているか

社内で判断できない場合の相談先は、次のとおりです。

依頼先を平時に決めておきたい場合は、インシデント対応・フォレンジックの比較で受付時間と調査の範囲を見比べられます。

次に同じ迷いを減らすには

事後に検討する話として、検知のしくみも見直せます。IPAの2026年⁠の教訓集は、従来型のウイルス対策ソフトだけでは攻撃者の活動を十分に検知できない場合があるとして、EDRなどの導入と監視体制、定期的なログの確認を挙げています。比べるならEDRの製品比較とセキュリティソフトの製品比較です。EDRは入れて終わりではなく、警告を誰が見るかまで決めて選びます。

基本の対策はサイバーセキュリティの基礎⁠にまとめています。