DDoS攻撃を受けたら、症状と時刻を記録しながら回線とサーバーの会社へ連絡し、一時的な遮断と利用者への案内を進めます。
今日やることは、攻撃を受けていなくても、連絡先の一覧を紙1枚に作ることです。回線の会社、サーバーかクラウドの会社、サイトの保守の会社、警察の相談先、社内の判断者を書きます。サイトもメールも止まった場面で見られるよう、社内のサーバーの外にも控えを置きます。
DDoS攻撃は、複数のコンピュータから大量のアクセスを繰り返して、サービスを提供できなくする攻撃です（警察庁 令和7年の報告）。情報セキュリティ10大脅威 2026の組織編では9位に入っています。ふだんの備えはWebサイトのセキュリティ対策の一覧にまとめています。
初動の順番は？
順番は次のとおりです。全部を1人で抱えず、連絡する人と記録する人に分けます。
| 順 |
やること |
担当の例 |
| 1 |
症状と時刻を記録する |
情シス兼任の担当者 |
| 2 |
回線とサーバーの会社へ連絡する |
情シス兼任の担当者 |
| 3 |
止まってよい機能を決める |
社長か総務の責任者 |
| 4 |
一時的な遮断を行う |
サーバーの会社、保守の会社 |
| 5 |
別の場所で案内を出す |
総務、営業 |
| 6 |
警察などへ相談する |
総務の責任者 |
| 7 |
戻して監視を続ける |
保守の会社、担当者 |
攻撃かどうかをどう見分ける？
最初の段階では決めつけず、見えている事実を記録します。
サイトが重い原因は、攻撃のほかに、サーバーの障害、回線の障害、広告やニュースからの急なアクセス、更新の失敗もあります。担当者が確かめられる範囲で、次を書き留めます。
- 何時何分に、どのURLや機能で、どんな症状が出たか
- 社内と社外のスマートフォン回線で、同じ症状か
- メールや社内システムなど、同じサーバーや回線を使う機能に影響があるか
- 最近、サイトの更新や設定の変更をしたか
- サーバーの会社の障害情報に掲載があるか
自社で判定できなくても構いません。事業者のほうが通信の量や送信元を見られます。ログは消さずに残します。NISCの2025年2月の注意喚起（岡山県の掲載資料）は、平常時の通信の量を知っておくと異常に気づきやすいと説明しています。攻撃を受ける前に監視の画面を見られるようにしておくと、ここで迷いません。
回線とサーバーの会社には何を伝える？
自社のサーバーの設定だけで止まらないことがあるので、通信の手前にいる事業者へ早めに連絡します。
NISCの注意喚起は、回線やクラウドの提供事業者が別途提供する遮断の対策も有用だとしています。サーバーの手前で通信を減らせるかどうかは、契約や提供の内容によります。
電話で伝える内容は次のとおりです。
- 契約の名義と番号、対象のドメインやIPアドレス
- 症状が始まった時刻と、続いているかどうか
- 手元で確かめた内容と、直前の設定変更の有無
聞く内容は次のとおりです。
- 事業者の側で攻撃の通信を確認できるか
- 今の契約で使える遮断の機能はあるか
- 追加の費用や、緊急で申し込める対策サービスはあるか
- 同じ設備の他の利用者への影響を理由に、利用停止となる可能性はあるか
- 次の連絡の時刻はいつか
制作会社や保守の会社にも同時に連絡します。サーバーの契約が制作会社の名義になっていると、自社から直接問い合わせても手続きが進まない場合があります。名義と分担の確認はCMSと委託先で確かめる点で扱いました。
一時的な遮断は何を止める？
遮断は、止まる業務を先に決めてから行います。
NISCの注意喚起は、被害を抑える対策として次を挙げています。
- 海外などに割り当てられたIPアドレスからの通信の遮断
- 同じIPアドレスから、しきい値を超えた大量のリクエストの遮断
- WAFやIPSなどの対策装置やサービスの利用
- CDNの利用（この場合は元のサーバーのIPアドレスを隠す）
海外からの遮断について、同じ資料は、特に国内からのみアクセスを受けるシステムで有効で、正規の通信への影響も考えて検討するよう書いています。
たとえば、海外の取引先に図面やカタログを公開している機械メーカーの場合、海外の遮断で取引先まで止まります。海外拠点から社内の画面を使っている場合や、外部の監視サービスがサイトを見ている場合も同じです。業務の影響を判断するのは経営側の仕事なので、担当者に任せきりにしません。遮断の設定には理由と解除の予定を書き残します。
WAFでルールを急に変えると、問い合わせフォームが誤って止まる場合があります。平時の手順はWAFの導入手順を見てください。
CDNを入れれば終わりではない
警察庁の報告は、元のサーバーを直接狙ってCDNを避ける攻撃が複数の事案で確認されたとしています。CDN側だけでなく、元のサーバーへの直接のアクセスを断つ設定と、IPアドレスが外から分からないDNS設定まで確かめます。Cloudflareの案内も、元のサーバーのIPが直接狙われたことがある場合は、ホスティング会社へ新しいIPを依頼するよう勧めています。
DNSのサーバーが狙われる場合もあります。富山県警察の資料（2023年）は、存在しないサブドメインの問い合わせを大量に処理させる手口で、サイトが見られなくなる被害を説明しています。サーバーは動いているのにサイトの名前で開けないときは、DNSの提供事業者にも確かめます。
攻撃を受けた後に緊急で対策を選ぶ場面では、DDoS対策サービスの比較で止める場所と運用の担当を確かめられます。入力欄や画面を狙う通信も気になるなら、WAFの製品比較も並べて見ます。社内の端末やサーバーが危ない宛先へ通信していないかを見る製品は、別の目的のものとしてDNSセキュリティの製品比較にまとめています。
止まっている間、取引先にどう案内する？
サイトの外にも案内の手段を持っておきます。
NISCの注意喚起は、SNSなどで利用者へ状況を知らせること、別のサーバーに用意した案内の画面を表示させることを挙げています。さらに、回線やサーバーが使えない場合の代替手段や、利用者への周知の手段を対策マニュアルで確保するよう示しています。
製造業で実際に困るのは、問い合わせと発注の窓口です。受注をフォームやメールに頼っている会社なら、電話番号と、サイトと別のサーバーのメールアドレスを案内します。主な取引先には営業から直接連絡します。
案内の文面には、確かめた事実だけを書きます。
- いつからどの機能が使いにくいか
- 問い合わせの代わりの窓口
- 次の案内の予定時刻
DDoS攻撃とまだ断定できない段階なら「アクセスが集中し」と書くか、「原因を確認中」とします。「情報の漏えいはありません」は調べた範囲を確かめてから書きます。
通報と公表はどう考える？
警察への相談は、都道府県警察の窓口を使えます。警察庁のサイバー事案の相談窓口に、連絡先と受付の案内があります。被害届を出す場合は最寄りの警察署等へ連絡します。JPCERT/CCのインシデント対応依頼も窓口の一つです。
対外的な公表は、影響の範囲で考えます。サイバー攻撃被害に係る情報の共有・公表ガイダンス（2023年3月）が、国の関係機関の検討をもとに考え方を整理しています。自社だけで判断しづらい場合は、社外の専門家にも相談します。
調査の途中で、不正なログインなど別の侵入の疑いが出た場合は、話が変わります。個人データの漏えいのおそれがあれば、個人情報保護委員会への報告が必要になる場合があります。
戻した後に何を見直す？
遮断は一度に外さず、影響を見ながら戻します。警察庁は、事業者が遮断した後に手口を変えて攻撃を続ける事例を報告しています。ログの監視は、戻してもしばらく続けます。
落ち着いたら、記録をもとに次を決めます。
- コストをかけて守るサービスと、止まっても許容できるサービスの選別
- 通信量の監視と異常時の通知
- 案内の画面と、通報先の一覧の更新
- 社内のルーターやカメラが攻撃に使われないようにする設定と更新
最後の項目は、NISCの注意喚起が利用者に求めているものです。DNSサーバーの設定やパッチの適用も同じ資料に載っています。
サイトの外の守りと並んで、サーバーの中の守りも見直すなら、サーバー向けセキュリティソフトの選び方へ進んでください。
