ファイルが突然開けなくなった、見覚えのない拡張子へ変わった、身代金を要求するメッセージが表示されたといった症状がある場合、ランサムウェアに感染している可能性があります。ランサムウェアは一台の端末だけで終わらず、社内ネットワークや共有フォルダ、サーバーへ横展開し、短時間で被害が広がることがあります。

こうした状況では、復旧を急いで再起動したり、暗号化されたファイルを削除したり、自己判断で復号を試したりすると、証拠が消える恐れがあります。さらに、侵入経路や攻撃者の残存アカウントを確認しないまま復旧すると、再び暗号化される可能性もあります。

ランサムウェア対応では、感染端末をネットワークから切り離し、操作を止めたうえで、どの端末・アカウント・サーバーまで影響が及んでいるかを確認する必要があります。復旧と並行して、ログやメモリ、ランサムノートなどの証拠を残すことも重要です。

そこで本記事では、ランサムウェアが疑われる場合に最初の15分で行うべき初動対応から、封じ込め、証拠保全、被害範囲の確認、復旧、フォレンジック調査を依頼するタイミングまでを解説します。

ランサムウェアが疑われる主なサイン

ランサムウェアは、暗号化されたファイルだけでなく、共有フォルダの異常や身代金要求文など複数の兆候として現れます。まずは、現在の症状がランサムウェアに当てはまるか確認します。

ファイルが突然開けなくなっている

それまで正常に利用できていた文書や画像、データベースなどが突然開けなくなった場合は、ランサムウェアによる暗号化が進んでいる可能性があります。

特に、複数の種類のファイルが同じタイミングで開けなくなっている場合は注意が必要です。単一ファイルの破損とは異なり、広い範囲で同時に利用不能になっている場合は、暗号化処理が実行された可能性があります。

拡張子が見覚えのないものへ変更されている

ランサムウェアの中には、暗号化したファイルの拡張子を一括して変更するものがあります。

たとえば、通常の文書ファイルや画像ファイルに見覚えのない文字列が付与されている場合は、元のファイルを編集したり名前を戻したりせず、状態を記録しておくことが重要です。

身代金要求のメッセージが表示されている

デスクトップや各フォルダに、復号方法や連絡先、Tor URLなどを記載したランサムノートが作成されることがあります。

身代金要求文は、使用されたランサムウェアや攻撃者を確認する手がかりになる場合があります。削除せず、画面やファイルをそのまま記録しておきます。

共有フォルダや複数端末で同じ症状が出ている

一台のパソコンだけでなく、ファイルサーバーやNAS、別の端末でも同時にファイルが開けなくなっている場合は、ネットワーク内で横展開している可能性があります。

被害が複数資産に及んでいる場合は、感染端末だけを見るのではなく、サーバーや認証基盤、VPNなども含めて影響範囲を確認する必要があります。

バックアップや管理機能が操作できなくなっている

ランサムウェア攻撃では、復旧を妨げるためにバックアップや管理機能が狙われる場合があります。

バックアップが削除されている、管理者アカウントが利用できない、仮想基盤へアクセスできないといった症状がある場合は、被害が端末だけで終わっていない可能性を考える必要があります。

複数のサインが確認できる場合は、単なる端末故障として再起動や復旧操作を進めるのではなく、ランサムウェア感染を前提に初動対応を進めることが重要です。操作を続けると被害が広がる恐れがあります。

ランサムウェアが疑われる場合に最初の15分で行うこと

ランサムウェアの可能性がある場合は、復旧よりも先に被害拡大の防止と証拠の保全を優先します。最初の対応が、その後の調査や復旧に大きく影響します。

感染端末をネットワークから隔離する

最初に、感染が疑われる端末を社内ネットワークから切り離します。ランサムウェアが別の端末やサーバーへ広がるのを抑えるためです。

有線接続の場合はLANケーブルを外し、Wi-FiやVPNなどの通信も停止します。USBストレージや外付けディスクが接続されている場合も、被害が広がらないよう切り離します。

ただし、通信を止めるために端末をシャットダウンする必要はありません。電源を切るとメモリ上に残る情報が失われる場合があります。

電源を切らずに操作を止める

隔離した後は、端末での不要な操作を止めます。暗号化されたファイルを開いたり移動したり、復号ツールを試したりするのは避けます。

再起動や初期化も行わない方がよいでしょう。端末上には、攻撃者が使用したプロセスや通信、認証情報の利用痕跡など、調査に必要な情報が残っている可能性があります。

ランサムノートや画面を記録する

ランサムノート、暗号化されたファイル名、拡張子、エラー画面などは、後の調査で重要な手がかりになります。

画面をスクリーンショットまたは別の端末で撮影し、発見日時や対象端末、ユーザー名などとあわせて記録します。

社内の対応責任者へ別経路で連絡する

感染端末を隔離した後は、CSIRT、情報システム部門、CISO、経営判断者などへ速やかに連絡します。

ただし、社内メールやチャットが攻撃者から監視されている可能性もあります。侵害の可能性がある連絡手段だけに頼らず、電話など別の連絡経路を利用することも検討します。

ランサムウェア被害を封じ込めるための対応

感染端末を隔離した後は、攻撃者が別の端末やアカウントへ侵入し続けられないよう、認証情報やネットワーク側の被害を確認します。

侵害されたアカウントやセッションを停止する

ランサムウェア攻撃では、盗まれた認証情報がVPN、RDP、SSOなどへ悪用される場合があります。

感染した端末の利用者や不審なアクセスが確認されたアカウントについては、必要に応じてセッション停止や認証情報の無効化を行います。

感染端末・サーバーの通信を遮断する

被害が一台だけとは限らないため、感染が疑われるサーバーや端末については、スイッチポートやVLANなどネットワーク側でも通信を制限します。

ファイル共有が攻撃の拡大に利用されている場合は、共有アクセスを一時的に制限することも検討します。

バックアップ基盤を保護する

バックアップがオンラインで常時接続されている場合、ランサムウェアによって暗号化や削除の対象になる可能性があります。

バックアップ基盤への接続状態を確認し、攻撃者から操作されないよう保護します。復旧に利用するバックアップは、感染前の状態であることを後から検証する必要があります。

同じIoCがないか社内環境を確認する

EDR、SIEM、ファイアウォール、VPN、AD、Entra IDなどのログを確認し、同じ不審通信や認証が他の端末でも発生していないかを調べます。

特に、ドメインコントローラーや仮想基盤が侵害されている場合は被害が広範囲になるため、優先して確認する必要があります。

一台の暗号化端末だけを復旧しても、攻撃者の侵入経路や認証情報が残っていれば再び被害が発生する可能性があります。封じ込めでは、端末だけでなくネットワークと認証基盤まで含めて確認することが重要です。

ランサムウェア調査で保全しておきたい証拠

ランサムウェア対応では、復旧のためのデータだけでなく、いつ侵入され、どこまで被害が広がったのかを確認するための証拠を残す必要があります。

ランサムノートと暗号化ファイル

ランサムノートには、攻撃者の連絡先、Tor URL、被害者IDなどが記載されている場合があります。

暗号化されたファイル名や拡張子とあわせて保存し、削除しないようにします。

端末・EDR・Windowsのログ

EDRアラート、Windows Event Log、PowerShell履歴、タスクスケジューラやサービスに関する記録などは、攻撃者の活動を時系列で整理する際の手がかりになります。

ログには保存期間があるため、上書きされる前に保全することが重要です。

VPN・RDP・認証・ネットワークログ

攻撃者の侵入経路を確認するには、VPN、RDP、IdP、AD、ファイアウォール、DNSなど複数のログを確認します。

一つのログだけではなく、認証時刻と端末側の挙動、外部通信などを時系列で照合することが重要です。

メモリ・ディスクイメージ

感染端末のメモリやディスクには、攻撃に利用されたプロセスや不審ファイルなどが残っている場合があります。

特にメモリ上の情報は電源を切ると失われるため、調査を想定する場合は端末の状態を保持することが重要です。

情報持ち出しに関する記録

最近のランサムウェアでは、暗号化する前に企業データを外部へ持ち出し、その公開を材料に恐喝するケースがあります。

そのため、「ファイルが暗号化されたか」だけでなく、外部送信された可能性のあるデータや送信先、転送量、時刻なども確認する必要があります。

ランサムウェア感染では侵入経路と被害範囲を分けて調べる

復旧を進める前に重要なのが、攻撃者がどこから入り、どこまで活動したのかを整理することです。ランサムウェア感染では、暗号化という結果だけを見ても根本原因は分かりません。

最初の侵入経路を確認する

VPNやRDP、公開サーバーの脆弱性、フィッシングなど、攻撃者がどこから社内環境へ入ったのかを確認します。

侵入経路が残ったままシステムだけを復旧すると、再侵入される可能性があります。

認証情報が盗まれていないか確認する

攻撃者が一般ユーザーや管理者の認証情報を取得し、社内ネットワークを移動している場合があります。

利用されたアカウントや不審なログインを特定し、必要に応じて資格情報を変更します。

横展開された端末・サーバーを特定する

暗号化されていない端末でも、攻撃者が侵入した痕跡やバックドアが残っている場合があります。

感染が確認された端末だけでなく、認証ログやEDRなどから関連する端末を洗い出します。

情報持ち出しの有無を確認する

二重恐喝型のランサムウェアでは、暗号化前にデータを外部へ転送していることがあります。

どのデータが外部へ送られた可能性があるのかを確認することは、顧客や取引先への説明、法的対応を検討するうえでも重要です。

侵入経路、横展開、情報持ち出しを確認せずに復旧だけを急ぐと、再感染する恐れがあります。原因と影響範囲を把握したうえで復旧へ進むことが重要です。

ランサムウェア被害から復旧するときの基本

被害範囲と侵入経路を確認した後は、安全なバックアップを利用して段階的に復旧します。単に暗号化されたデータを元へ戻すだけではなく、攻撃者が再侵入できない状態を作ることが重要です。

侵入経路と残存する攻撃手段を排除する

復旧前に、侵入に利用された脆弱性やアカウント、不審なプログラム、C2通信などが残っていないか確認します。

原因を残したままシステムを再開すると、再暗号化につながる可能性があります。

安全なバックアップを検証する

バックアップが存在していても、そのバックアップ自体が感染後に作成されている場合は利用できない可能性があります。

感染前の良性な時点で取得されたオフラインまたは変更されにくいバックアップを確認し、復旧に利用できるか検証します。

クリーンな環境へ段階的に復元する

復旧では、隔離したクリーンな環境へデータを戻し、マルウェアスキャンや整合性確認を行います。

業務上の優先度が高いシステムから段階的に復旧し、問題がないことを確認してからネットワークへ再接続します。

認証情報を変更してMFAを再確認する

攻撃者に認証情報を取得された可能性があるため、一般ユーザーだけでなく、管理者、サービスアカウント、VPN、クラウド管理者などの資格情報を見直します。

MFAが設定されていても、正しく機能しているかを再確認することが重要です。

身代金要求への対応は現場だけで判断しない

ランサムウェアでは、復号やデータ非公開を条件として身代金を要求される場合があります。しかし、要求に応じたとしても、データの復号や削除、再攻撃されないことが保証されるわけではありません。

そのため、身代金要求への対応は現場担当者だけで判断せず、経営、法務、サイバー保険、インシデント対応の専門家などを交えて検討する必要があります。

交渉や復旧を優先するあまり、攻撃者の侵入経路や外部送信されたデータの確認を後回しにすると、その後の説明や再発防止が難しくなる場合があります。

警察や関係者への相談も早い段階で検討する

国内では、最寄りの警察署や都道府県警のサイバー犯罪相談窓口へランサムウェア被害を相談できます。

企業の場合は、警察への相談と並行して、契約中のIRベンダー、サイバー保険会社、法務担当者、個人情報保護や取引先対応を担当する部署などを早い段階で招集すると対応を整理しやすくなります。

外部へ説明する前に、いつ侵入されたのか、どのデータが影響を受けたのか、外部流出があったのかなど、事実関係を可能な範囲で整理することが重要です。

ランサムウェアの原因と被害範囲をフォレンジック調査で確認する

感染端末を隔離できても、ランサムウェアがどこから侵入し、社内のどこまで広がったのかを自社だけで確認するのが難しい場合があります。そのような場合に有効なのがフォレンジック調査です。

ランサムウェアの侵入経路を確認する

ランサムウェア被害の原因を正確に把握するには、端末だけでなくネットワークや認証ログを横断的に確認する必要があります。その手法として有効なのがフォレンジック調査です。

フォレンジック調査では、VPN、RDP、ファイアウォール、認証ログ、EDRなどに残る記録を解析し、攻撃者が最初にどこから侵入した可能性があるのかを整理します。

感染端末・サーバーの範囲を確認する

暗号化された端末だけを確認しても、攻撃者が別の端末へ侵入している可能性は残ります。

複数のログや端末データを時系列で解析することで、どのアカウントや端末が利用され、どこまで横展開した可能性があるのかを確認します。

攻撃者による情報持ち出しを確認する

二重恐喝型のランサムウェアでは、データを暗号化する前に社外へ持ち出している場合があります。

外部通信やファイル操作、転送量などを調査し、顧客情報や機密情報が外部へ送信された可能性を確認します。被害範囲の整理は、その後の法務・広報対応を考えるうえでも重要です。

再発防止に必要な原因を整理する

フォレンジック調査では、暗号化されたという結果だけでなく、侵入経路や認証情報の悪用、横展開の方法などを整理できます。

原因を把握できれば、VPNや公開システムの見直し、認証強化、アクセス権限、バックアップ設計など、再発防止策を具体化しやすくなります。

ランサムウェア被害では、復旧を急ぐほど証拠が上書きされる可能性があります。感染原因や情報流出の有無まで確認したい場合は、端末やログを不用意に変更せず、早い段階で専門調査を検討することが重要です。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

ランサムウェアが疑われる場合は、感染端末をネットワークから隔離し、電源を切らずに操作を止めることが重要です。ファイルの削除や復号、端末の初期化を急ぐと、侵入経路や攻撃者の活動を確認するための証拠が失われる可能性があります。

隔離後は、EDR、VPN、認証、ネットワークなどのログを保全し、どの端末やアカウントまで被害が広がっているのかを確認します。バックアップから復旧する場合も、侵入経路や残存アカウントを排除したうえで、安全な時点のバックアップをクリーンな環境へ戻すことが重要です。

また、暗号化だけでなく情報持ち出しが行われている可能性もあります。侵入経路、横展開、外部送信を自社だけで確認するのが難しい場合は、フォレンジック調査によって端末やログを横断的に解析し、被害の全体像を整理する方法があります。