ランサムウェアの復旧業者の選び方　頼む前に確かめる質問と注意点を解説

ランサムウェアの復旧業者は、復旧率の高さではなく、復旧の定義と作業内容を書面で示せるか、攻撃者と交渉も支払いもしないと合意できるかで選びます。

今日やることは2つです。「身代金は払わない、交渉しない」という自社の方針案を1行⁠で書くこと。調査を頼む会社の候補を2社選び、受付時間を連絡表に写すことです。被害が起きてから探すと、比べる時間がありません。

復旧業者と呼ばれる会社は何をする？

同じ「復旧」⁠で⁠も⁠、仕事は大きく3つ⁠に分かれます。どれが必要かで、声をかける先が変わります。

IPAの教訓集（2026年9月）⁠は⁠、専門会社の活動範囲は幅広く、会社ごとに対応できる範囲も異なると説明しています。ファイルだけ戻せても、侵入経路が残っていれば再び被害を受ける可能性があります。JPCERT/CCのFAQも、復旧の前に、侵入経路として考えられる原因はすべて対処するよう求めています。

「必ず復旧できます」⁠をどう聞く？

根拠を確かめるまで、そのまま受け取らないでください。JPCERT/CCのFAQは、暗号化に使う鍵は攻撃者が管理しており、暗号化されたファイルの復号は一般的に難しいとしています。バックアップがないファイルは、復旧が難しい想定で事業継続を考えるのが一般的だとも書いています。

業者の広告については、業界団体の資料が具体的です。日本データ復旧協会、デジタル・フォレンジック研究会、JNSAなど5団体が編集したデータ被害時のベンダー選定チェックシート（2022年12月）⁠は⁠、次の点を挙げています。

• 1つ⁠のファイルや、ファイル名だけが戻っても「復旧できた」⁠とする場合がある
• データ復旧率には定まった基準がなく、定義は各社で異なる
• 必ず復旧できると保証していない契約では、「やはり復旧できませんでした」⁠で⁠も契約違反にならない可能性がある

配布元の説明には、合理的な根拠のないまま高い復旧率を広告している事業者への言及もあります。「復旧率◯％」⁠を見たら、何を分母にした数字か、自社のどのファイルが戻る話かを聞いてください。

業者が裏で身代金を払うと何が問題？

依頼する側も、攻撃者に資金を渡したとみなされるおそれがあります。IPAの10大脅威2026 解説書は、業者が攻撃者と裏取引をして身代金を支払った場合について、被害組織が知らなくても、実質的に業者経由で資金提供をしたとみなされるおそれがあると注意しています。

海外との取引がある会社は、もう1点あります。同じ解説書は、身代金を支払った場合の報告義務や、支払いの禁止を定める国があると紹介しています。

だから方針を先に決めます。チェックシートのランサムウェア版は、身代金と交渉の方針を社内で合意したうえで、交渉しないこと、支払わないことを業者と契約書やメールで合意するよう求めています。合意がないと、復旧方法の一つとして交渉や支払いをされる可能性を否定できないからです。

依頼する前に聞く質問は？

問い合わせのときに、次の質問をそのまま使えます。チェックシートと教訓集の内容を、私たちが質問の形にしました。答えはメールか書面でもらいます。

作業と結果について

• 御社の言う「復旧」⁠は⁠、どの状態を指しますか
• 「復旧できます」⁠の根拠を、文書か、復旧できるファイルの一覧で示せますか
• 作業内容と経緯を書いた報告書はもらえますか
• 復旧できなかったときは、何を調べた結果なのかを出してもらえますか

攻撃者との関わりについて

• 攻撃者と交渉しないことを、契約書かメールで合意できますか
• 身代金を支払わないことも、同じように合意できますか

お金と機器について

• 着手金、成功報酬、固定金額のどれですか。追加費用が出るのはどんなときですか
• 支払いは機器の返却後ですか。費用で揉めたときも機器は返してもらえますか
• 契約前に機器を送る場合、いつどう返却されますか
• 機器が破損した場合の責任はどうなりますか

調査と対応について

• 調べる範囲は誰がどう決めますか。VPN機器も入りますか
• 担当者は誰で、夜間と休日の連絡はどうなりますか

調べる範囲は特に聞いておきたい質問です。教訓集は、調査範囲の検討は組織側では判断できないことが多いとして、経験のある会社による立案を重く見ています。複数の候補を選び、セカンドオピニオンの取得も検討するよう書いています。

急かされたらどうする？

「早く契約しないと復旧できる可能性が下がる⁠」⁠と急かされたら、いったん止まります。チェックシートは、この催促で適切な判断ができなくなることに注意を促しています。取り外したり電源を落としたりしたHDDやSSDなら、一般的に数か月程度で復旧の難易度は変わらないと考えられる、とも説明しています。

ただし、これは電源を切ったほうがよいという話ではありません。警察庁のページは、調査に必要なログが消える場合があるので、感染機器は隔離しても電源は落とさないよう案内しています。

契約の前に試せることもあります。No More Ransomでは復号ツールが公開されています。警察庁は、一部のランサムウェアにしか対応していない、すべてのファイルを復号できるとは限らない、といった注意点を挙げています。判断に迷うときは、JPCERT/CCのインシデント相談⁠や警察へ先に相談します。

費用と期間はどう見積もる？

相場として示せる公的な数字は確認できていません。参考になるのは警察庁の令和8年上半期の報告で、被害組織へのアンケートでは、復旧に総額1,000万円以上⁠を要した組織が全体の6割でした。1か月未満で復旧した組織は5割弱です。

費用を抑える方法として、調査対象を絞る考え方があります。教訓集は、すべての機器を調べるのが難しい場合、攻撃の起点と思われる機器を優先することを挙げています。

成功報酬だけの契約にも注意点があります。チェックシートによると、復旧できなければ無料で終わる一方で、調査報告書が得られないことがあります。取引先へ説明が要るなら、報告書の有無は金額と同じくらい大事です。教訓集は、調査で攻撃者の活動がすべて分かるわけではなく、「漏えいなし」⁠の証明は難しいとも書いています。結果の書き方も事前に聞いておくと、取引先への説明で慌てません。

サイバー保険に入っている場合は、業者と契約する前に保険会社へ連絡してください。国際的なガイダンスの文書は、保険会社が対応会社を紹介することが多いと説明し、保険の報告条項に従うよう求めています。補償の範囲はサイバー保険の比較⁠で確かめられます。

製造業ではどこを優先して頼む？

たとえば、受注から出荷までを生産管理サーバーで回している金属加工の会社の場合です。教訓集が製造業の例に挙げるとおり、このサーバーが止まると、在庫があっても納品できない事態になります。

この場合に業者へ伝えるのは「全部戻してください」ではありません。出荷に要るデータ、前日分まで残っている控え、侵入経路の調査範囲に分けて話します。バックアップから戻す場合も、戻した時点以降の受注や出荷の入力をやり直す手間が出ます。教訓集は、この手作業が現場の大きな負担になった例を紹介しています。

候補はいつ、どこで探す？

平時に探します。教訓集は、被害の発覚後に短期間で信頼できる会社を確保するのは容易ではないと書いています。途中で会社が交代した例が複数あったことにも触れています。

入口の1つがJNSAのサイバーインシデント緊急対応企業一覧（2026年4月更新）です。受付時間、対応地域、相談と見積もりの条件が並び、24時間受付の会社も平日のみの会社もあります。JPCERT/CCのFAQも調査の依頼先としてこの一覧を挙げています。

候補を選んだら、3つ⁠の準備をしておきます。インシデント対応とフォレンジックの比較で調査の範囲を見比べること、法人向けバックアップの比較で自社の控えの残し方を確かめること、そして連絡先を1枚⁠の連絡表⁠に載せることです。どの資料から読むか迷うときは公的資料の読む順番を、ほかの対策はランサムウェア対策のカテゴリ⁠を見てください。