無料会員登録
ランサムウェアに感染すると、ファイルの暗号化やシステム停止だけでなく、顧客情報や従業員情報が外部へ持ち出された可能性も確認する必要があります。企業担当者にとっては、復旧対応と並行して「行政機関への報告義務があるのか」「本人への通知が必要なのか」を早期に判断することが重要です。
日本では、ランサムウェア被害が発生したという事実だけで、すべての事業者に一律の専用報告義務が課されるわけではありません。一方で、攻撃によって個人データの漏えい、滅失、毀損、またはそのおそれが生じた場合には、個人情報保護法に基づき、個人情報保護委員会（PPC）等への報告や本人通知が必要になる可能性があります。
また、近年のランサムウェアでは、暗号化前にデータを窃取して公開を迫る二重恐喝型もあります。そのため、「データが公開されたか」だけでなく、攻撃者が個人データへアクセス・取得した可能性を調査し、報告要否を判断することが重要です。
そこで本記事では、ランサムウェア被害で報告義務が生じる主なケース、PPCへの報告期限と報告先、本人通知の考え方、初動で確認すべき事項、フォレンジック調査で情報流出の有無を確認する方法までを解説します。
ランサムウェア被害で報告義務が生じる主なケース
ランサムウェア被害そのものに一律の報告義務があるわけではありませんが、個人データの漏えい等またはそのおそれがある場合は、個人情報保護法上の報告対象となる可能性があります。
要配慮個人情報を含む個人データが被害を受けた場合
診療情報、健康診断情報などの要配慮個人情報を含む個人データについて漏えい等が発生した場合は、報告対象となる可能性があります。
医療機関などでランサムウェアによって患者データが暗号化された場合は、外部流出だけでなく、データが利用できなくなった状態についても確認する必要があります。
財産的被害のおそれがある個人データが含まれる場合
クレジットカード情報、決済情報、ID・パスワードなど、不正利用された場合に財産的被害へつながる可能性があるデータについても注意が必要です。
攻撃者がこうした情報へアクセスした可能性がある場合は、実際に悪用が確認されていなくても、漏えい等のおそれとして評価する必要があります。
不正目的の攻撃による漏えい等のおそれがある場合
外部の攻撃者による不正アクセスやランサムウェア感染など、不正目的の行為によって個人データが漏えい・滅失・毀損した場合、またはそのおそれがある場合は報告対象となる可能性があります。
ランサムウェアによって個人データが暗号化され、復元できなくなった場合も確認が必要です。
1,000人を超える本人の個人データが対象となる場合
1,000人を超える本人の個人データについて漏えい等またはそのおそれがある場合も、報告対象となる可能性があります。
初動では、データの種類だけでなく、対象となる本人の概算人数も確認してください。
二重恐喝型では「公開されたか」だけで判断しない
二重恐喝型ランサムウェアでは、ファイルを暗号化する前にデータを窃取し、「身代金を支払わなければ公開する」と脅迫する手口があります。
そのため、リークサイトへ実際に掲載されたかどうかだけではなく、攻撃者がファイルサーバーや共有フォルダへアクセスし、データを取得できる状態にあったかまで確認することが重要です。
ランサムウェア被害のPPCへの報告期限
個人情報保護法上の報告対象に該当する場合は、判明している情報をもとに速報を行い、その後に調査結果をまとめて確報を提出します。
速報は発覚後速やかに行う
報告対象となる事態を知った後は、判明している範囲で速やかに速報を行います。
初動段階では侵入経路や漏えい件数を確定できないこともあるため、すべての調査結果が出るまで待つのではなく、その時点で把握している情報を整理して報告します。
提供された資料では、実務上は概ね3～5日以内を目安として速報を行う考え方が示されています。
確報は原則30日以内に行う
速報後は、追加調査で判明した被害内容、対象となる個人データ、原因、再発防止策などを整理し、原則30日以内に確報を行います。
不正目的の攻撃では60日以内となる場合がある
不正目的の攻撃による漏えい等またはそのおそれがある場合は、発覚日から60日以内の確報となる場合があります。
ランサムウェアは外部攻撃者による不正行為であることが多いため、この区分に該当する可能性を確認する必要があります。
- インシデント発覚日時を記録します。
- 個人データの種類と対象人数を暫定的に確認します。
- 漏えい・滅失・毀損またはそのおそれを評価します。
- 報告対象であれば判明済みの情報で速報を行います。
- フォレンジック調査結果を反映して確報を行います。
ランサムウェア被害の報告先
個人情報保護法に基づく報告では、原則として個人情報保護委員会が報告先になります。ただし、事業分野や扱う情報によって異なる場合があります。
個人情報保護委員会（PPC）
民間事業者が個人データの漏えい等を起こした場合、原則としてPPCが報告先になります。
報告対象か判断できない場合でも、個人データの内容、被害の態様、対象人数などを整理し、法務・個人情報保護担当と確認することが重要です。
権限委任を受けている所管省庁
金融、医療、通信など一部の業種では、PPCの権限が所管省庁へ委任されている場合があります。
自社がどの報告先に該当するかを確認し、業法上の報告義務についても併せて確認してください。
マイナンバー関係の報告窓口
被害対象にマイナンバーを含む場合は、通常の個人データとは別に個人番号関係の報告手続きが必要になる可能性があります。
対象データに個人番号が含まれていないかを初動段階で確認してください。
警察・IPA・JPCERT/CCなどの関連窓口
警察、IPA、JPCERT/CCなどへの相談・情報提供は、個人情報保護法に基づくPPCへの報告とは別の対応です。
警察への被害相談、IoCなどの脅威情報共有、インシデント対応支援など、目的に応じて連携を検討します。
PPCへの報告だけで対応が完了するわけではない
ランサムウェア被害では、法令だけでなく、委託契約、取引基本契約、サイバー保険、業界ガイドラインなどに別の通知義務が設定されている場合があります。
行政報告と並行して、顧客、委託元、取引先、保険会社などへの通知要件も確認してください。
ランサムウェア被害では本人通知が必要になる場合がある
個人情報保護法上の報告対象となる漏えい等が発生した場合は、原則として本人への通知も必要になる可能性があります。
対象となる個人データの種類
氏名、連絡先だけなのか、健康情報、決済情報、ID・パスワードなどを含むのかを確認します。
データの内容によって、本人に生じるリスクも変わります。
対象となる本人の範囲
どのシステムやフォルダが侵害され、そこに何人分の個人データが保存されていたかを整理します。
バックアップやデータベースを含め、同じ情報が複数箇所に保存されていないかも確認してください。
情報が窃取された可能性
ファイルが暗号化されただけなのか、暗号化前に攻撃者がファイルを閲覧・コピーした可能性があるのかを調査します。
ネットワーク通信、ファイルアクセス、アーカイブ作成などの痕跡が判断材料になります。
二次被害の可能性
漏えいした可能性があるデータがフィッシング、アカウント乗っ取り、不正決済などに悪用される可能性を評価します。
本人通知では、事実関係だけでなく、本人が取るべき対策を分かりやすく伝えることも重要です。
ランサムウェア被害発生後に行う初動対応
報告義務の判断には、暗号化された範囲だけでなく、侵入経路や情報窃取の可能性を確認する必要があります。
感染端末・サーバーをネットワークから隔離する
ランサムウェア感染が確認された場合は、他の端末への横展開や追加のデータ流出を防ぐため、対象機器をネットワークから隔離します。
電源断については、揮発性情報の保全や暗号化の進行状況を踏まえて判断します。
関連ログを証拠保全する
VPN、EDR、ID基盤、ファイアウォール、プロキシ、DNS、クラウド監査ログなどを保全します。
ログ保持期間が短いサービスでは、調査を開始する前に必要な記録が失われる可能性があります。
暗号化範囲と情報流出の可能性を確認する
どのファイルが暗号化されたかだけでなく、攻撃者が事前にデータを収集・圧縮・外部送信していないかを確認します。
大容量通信、アーカイブファイル作成、クラウドアップロードなどの痕跡がないかを調べます。
個人データの種類と対象人数を整理する
侵害された可能性のあるシステムに、どのような個人データが保存されていたかを確認します。
要配慮個人情報、決済情報、認証情報などの有無と、対象となる本人の人数を暫定的に把握します。
法令・契約上の報告先を確認する
PPCや所管省庁だけでなく、委託元、顧客、サイバー保険会社など、契約上連絡が必要な相手を確認します。
- 被害を発見した日時を記録します。
- 感染端末・サーバーを隔離します。
- 各種ログを退避・保全します。
- 個人データの種類・件数・窃取可能性を暫定評価します。
- PPC・所管省庁・本人・取引先等への連絡要否を確認します。
行政報告の期限があるため、フォレンジック調査の完了を待ってから初めて報告要否を検討するのではなく、速報と調査を並行して進めることが重要です。
ランサムウェア共通様式で報告できる場合がある
提供された資料では、2025年10月1日以降、ランサムウェアによって個人データの漏えい等またはそのおそれが発生した場合、関係省庁共通様式を利用できるとされています。
ランサムウェアでは、個人情報保護法だけでなく業法や所管省庁への報告が重複する場合があります。共通様式の利用対象や提出方法を確認し、関係部署で報告内容を統一することが重要です。
なお、具体的な提出先や必要項目は事業者の業種・法的立場によって異なるため、実案件ではPPCや所管省庁の案内を確認してください。
ランサムウェア報告に向けてフォレンジック調査で確認すること
行政報告や本人通知では、侵害された可能性のあるデータや人数、原因、再発防止策などを整理する必要があります。フォレンジック調査では、その判断に必要な事実関係を確認します。
最初の侵入経路を確認する
VPN、RDP、公開サーバー、フィッシング、漏えいした認証情報などから、攻撃者が最初に侵入した可能性のある経路を確認します。
侵害された端末・アカウントを特定する
最初に暗号化された端末だけでなく、管理者アカウント、サーバー、クラウドなどへ攻撃者が横展開していないかを調べます。
個人データへのアクセス状況を確認する
個人情報を保存するファイルサーバー、データベース、クラウドストレージなどへ攻撃者がアクセスした可能性を確認します。
外部へのデータ送信を確認する
大量のファイル読み出し、圧縮ファイル作成、外部IPへの大容量通信、クラウドストレージへのアップロードなどを確認します。
これらの痕跡は、二重恐喝型ランサムウェアにおける情報窃取の可能性を評価する重要な材料になります。
被害範囲を時系列で整理する
初期侵入、権限昇格、横展開、データアクセス、バックアップ破壊、暗号化までを時系列で整理します。
どの時点でどの情報へアクセスされた可能性があるかを把握することで、行政報告や本人通知の対象を検討しやすくなります。
報告に必要な被害範囲が分からない場合はフォレンジック調査会社に相談する
ランサムウェア被害では、暗号化されたファイルの一覧だけでは、個人データが外部へ持ち出されたかどうかを判断できない場合があります。
フォレンジック調査会社では、端末、サーバー、VPN、EDR、認証基盤、ネットワーク、クラウドなどのログを横断的に分析し、侵入経路、データアクセス、情報窃取の可能性、対象範囲などを整理します。
システム復旧を急いでログを削除したり、端末を初期化したりすると、PPC報告や本人通知の判断に必要な証拠が失われるおそれがあります。法務・個人情報保護担当と連携しながら、早い段階で専門調査を進めることが重要です。
ランサムウェア被害では法務とフォレンジックを並行して進める
ランサムウェア被害では、技術的なインシデント対応と法的な報告対応を別々に進めるのではなく、並行して進めることが重要です。
速報期限までに暫定的な被害範囲が必要になる
初動ではすべての事実を確定できなくても、報告対象となる可能性を判断するための暫定的な情報が必要です。
フォレンジック担当と法務担当が情報を共有し、判明事項と未確定事項を分けて整理します。
本人通知には対象データの特定が必要になる
本人通知を行う場合は、誰のどの情報が影響を受けた可能性があるのかを整理する必要があります。
そのため、技術調査によってアクセスされたファイルやデータベースを特定することが重要です。
契約・業法・海外法が重なる場合がある
金融、医療、通信などの業法に加え、委託契約や海外拠点が関係する場合は、複数の報告義務が同時に発生する可能性があります。
GDPRなど海外法域が適用される場合は、国内法とは異なる期限や報告先が設定されている可能性があります。
調査結果が確報や再発防止策に影響する
フォレンジック調査で侵入経路や情報窃取の有無が判明すると、確報の内容や本人通知、再発防止策にも反映できます。
そのため、復旧だけを優先せず、証拠保全と原因調査を並行して行うことが重要です。
おすすめのフォレンジック調査会社
ランサムウェアによる個人情報漏えいの可能性や、PPC等への報告に必要な被害範囲を確認したい場合は、フォレンジック調査会社への相談が選択肢になります。
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
日本では、ランサムウェアに感染したという理由だけで、すべての事業者に一律の専用報告義務が課されるわけではありません。一方で、個人データの漏えい、滅失、毀損、またはそのおそれが生じた場合は、個人情報保護法に基づいてPPC等への報告や本人通知が必要になる可能性があります。
報告要否を判断する際は、要配慮個人情報、財産的被害につながる情報、対象人数、不正目的の攻撃であるかなどを確認します。また、二重恐喝型では、実際に情報が公開されたかだけでなく、攻撃者がデータを窃取した可能性まで調査することが重要です。
ランサムウェア発覚後は、端末やサーバーの隔離、ログの保全、個人データの種類・人数の暫定評価を進め、法務・個人情報保護担当とフォレンジック調査を並行して実施してください。報告期限があるため、調査完了を待たずに速報を検討し、調査結果を確報や本人通知、再発防止策へ反映することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
