Windowsでファイルやフォルダに突然鍵アイコンが付いたり、保存したファイルが勝手に暗号化されたように見えたりすると、「ランサムウェアに感染したのではないか」と不安になることがあります。とくに、同じタイミングで複数のファイルが開けなくなったり、拡張子が変わったりした場合は、通常の暗号化機能なのか、攻撃による暗号化なのかを早く切り分ける必要があります。

一方で、鍵アイコンが付いていても、同じWindowsアカウントでは通常どおり開ける場合があります。この場合は、WindowsのEFS（Encrypting File System）が親フォルダに設定され、その暗号化属性が新しいファイルへ継承されている可能性があります。また、ドライブ全体のロックであればBitLocker、OneDriveや共有フォルダだけで起きる場合は組織の情報保護ポリシーなど、別の原因も考えられます。

最も重要なのは、「開けない・拡張子が変わった・身代金要求がある」のか、「鍵アイコンはあるが普通に開ける」のかを分けて確認することです。前者ならランサムウェアとして初動対応を優先し、後者ならEFS設定の確認を進めます。

そこで本記事では、ファイルが勝手に暗号化される主な原因、ランサムウェアとWindows EFSの見分け方、EFS暗号化の解除手順、ランサムウェアが疑われる場合の初動、証拠保全、フォレンジック調査で原因と被害範囲を確認する方法までわかりやすく解説します。

ファイルが勝手に暗号化される主な原因

「ファイルが暗号化された」と見える症状には、複数の原因があります。まずは、開けるか・拡張子が変わったか・どこで発生しているかを確認します。

ランサムウェアによる暗号化

ランサムウェアでは、文書、画像、データベースなど多数のファイルが短時間に暗号化され、元のファイルを開けなくなることがあります。

また、ファイル名の末尾に見慣れない拡張子が追加されたり、フォルダ内にREADME、DECRYPT、RECOVERなどの文言を含む身代金要求文が作成されたりする場合があります。

こうした症状がある場合は、通常のWindows暗号化機能ではなく、ランサムウェアとして扱う必要があります。

Windows EFSの暗号化属性が継承されている

WindowsにはEFSというファイル単位の暗号化機能があります。

親フォルダに「内容を暗号化してデータをセキュリティで保護する」が設定されている場合、その配下で新しく作成・保存したファイルにも暗号化属性が引き継がれることがあります。

この場合、同じWindowsアカウントでは通常どおりファイルを開けることが多く、ファイルやフォルダに鍵アイコンが表示されることがあります。

BitLocker・デバイス暗号化が有効になっている

ファイル単体ではなくドライブ全体でロック解除や回復キーを求められる場合は、EFSではなくBitLockerやデバイス暗号化の可能性があります。

Microsoftアカウントや組織側の管理設定に回復キーが保存されているケースもあるため、端末の管理状況を確認します。

OneDrive・NAS・社内共有のポリシーが適用されている

OneDrive、SharePoint、NAS、社内共有フォルダなど、特定の保存先だけで暗号化やアクセス制限が起きる場合は、DLP、IRM、ファイルサーバー設定などが関係している可能性があります。

この場合は、ローカルPCだけでなく、共有元や組織側のポリシー・監査ログも確認します。

ランサムウェアとEFSを見分けるポイント

ランサムウェアとWindows EFSでは、症状と緊急度が大きく異なります。以下のように切り分けます。

ファイルが開けるか確認する

鍵アイコンが付いていても、同じWindowsアカウントで問題なく開ける場合はEFSの可能性があります。

一方、突然多数のファイルが開けなくなった場合は、ランサムウェアを疑います。

ファイル名・拡張子が変わっていないか確認する

ランサムウェアでは、元の拡張子に別の文字列が追加されたり、ファイル名自体が変化したりすることがあります。

通常のEFSでは、暗号化しただけでファイル名や拡張子が一括して不自然に変わることはありません。

身代金要求文がないか確認する

フォルダ内やデスクトップに、復号のための支払いを求めるテキスト、HTML、画像などが作成されている場合は、ランサムウェアの可能性が高くなります。

発生範囲がローカルだけか共有領域まで広がっているか確認する

PCだけでなくNAS、ファイルサーバー、ネットワーク共有まで同時に開けなくなっている場合は、ランサムウェアによる横展開・共有暗号化も疑います。

Windows EFSでファイルが勝手に暗号化される場合の解除方法

ファイルに鍵アイコンが付いているものの、同じWindowsアカウントでは問題なく開ける場合は、親フォルダのEFS設定を確認します。

一番上位の親フォルダを確認する

暗号化されるファイルが保存されているフォルダをたどり、暗号化属性が設定されている一番上位の親フォルダを確認します。

詳細設定から暗号化属性を外す

対象フォルダを右クリックし、「プロパティ」→「全般」→「詳細設定」を開きます。

「内容を暗号化してデータをセキュリティで保護する」にチェックが入っている場合は外します。

サブフォルダ・ファイルにも変更を適用する

適用時に確認画面が表示された場合は、「このフォルダー、サブフォルダーおよびファイルに変更を適用」を選びます。

これにより、配下の既存ファイル・フォルダも含めて暗号化属性を解除できます。

新しいファイルで再発しないか確認する

解除後、新しいファイルを作成・保存し、再び鍵アイコンが付かないか確認します。

再発する場合は、別の上位フォルダにEFS属性が残っていないか確認します。

EFSを解除する前に証明書・秘密鍵を確認する

EFSでは、暗号化したユーザーに紐づく証明書と秘密鍵が復号に必要です。

そのため、解除作業やPC移行、ユーザープロファイル変更などを行う前に、EFS証明書と秘密鍵をエクスポートしておくことを検討します。

証明書や秘密鍵を失うと、暗号化済みファイルを開けなくなる可能性があります。

EFSの解除そのものより先に、復号に必要な資格情報が失われない状態かを確認することが重要です。

ランサムウェアが疑われる場合に今すぐ行うこと

ファイルが開けない、拡張子が変わった、身代金メモがある場合は、EFS解除を試さずランサムウェアとして初動対応します。

端末をネットワークから隔離する

有線LANを抜き、Wi-Fi・VPNを切断します。

暗号化の拡大や他端末への横展開を抑えるため、最優先で通信を遮断します。

NAS・共有フォルダへの接続を切る

PCがNASやファイルサーバーへ接続したままだと、共有領域まで暗号化が進む可能性があります。

ただし、業務環境では自分だけで共有サーバーを停止せず、情シスやCSIRTと連携して切り離します。

再起動・削除・復号を急がない

調査を予定している場合は、電源断や再起動によってメモリ上の痕跡が失われる可能性があります。

また、暗号化ファイルを上書きしたり、自己判断で復号ツールを試したりすると、調査や復旧へ影響する場合があります。

身代金メモ・拡張子・検知ログを保全する

身代金要求文、暗号化後の拡張子、セキュリティ製品の検知画面、イベントログ、作成時刻などを保存します。

ランサムウェアの種類や侵入時刻を推定する材料になります。

バックアップを接続せず状態を確認する

バックアップ媒体を感染端末へ接続すると、バックアップまで暗号化されるおそれがあります。

オフライン・イミュータブルなバックアップが残っているか、別の正常環境から確認します。

暗号化されたファイルを保全するときの注意点

ランサムウェア被害では、暗号化されたファイルも調査・復旧の材料になります。

暗号化ファイルを削除しない

暗号化されたファイルは、後から復号ツールが公開された場合や、マルウェア解析の結果によって復旧できる可能性があります。

復旧できないと判断する前に削除しないことが重要です。

可能なら読み取り専用でコピーする

証拠保全や解析目的では、別媒体へコピーして保管する方法があります。

ただし、組織インシデントでは独自に大量コピーせず、CSIRTや調査担当の手順に従います。

元のファイル名・拡張子・時刻を記録する

暗号化前後のファイル名、拡張子、作成・更新日時は、暗号化開始時刻や対象範囲を推定する材料になります。

身代金メモと同じフォルダ構成で残す

どのフォルダにどの身代金メモが作成されたかも調査材料になります。

ランサムウェアが疑われる場合に確認すべきログ

ファイル暗号化の原因を調べるには、端末ログだけでなく、認証・ネットワーク・EDRなど複数の証跡を確認します。

EDR・AVの検知ログ

マルウェアの検知名、実行ファイル、親プロセス、隔離状況などを確認します。

Windowsイベントログ

プロセス実行、サービス作成、PowerShell、タスクスケジューラなど、不審な操作が残っていないか確認します。

AD・Entra ID・VPNの認証ログ

侵害されたアカウントから、不審なログインや横展開が行われていないか確認します。

FW・Proxy・DNSログ

C2通信や外部送信先へのアクセスがないか確認します。

NAS・ファイルサーバーのアクセスログ

どの端末・ユーザーから共有フォルダへの大量書き換えが発生したか確認します。

ランサムウェア被害とEFS設定ミスをフォレンジック調査で確認する方法

ファイルが暗号化されていても、ランサムウェアなのかEFSなどの正規機能なのか、自力では判断しにくいことがあります。その場合は、暗号化属性、ファイル変更、実行履歴、ネットワーク通信などを総合的に確認します。

EFS属性と証明書の状態を確認する

ファイルやフォルダにEFS暗号化属性が設定されているか、どのユーザーの証明書で暗号化されているかを確認します。

同じユーザーだけが正常に開ける場合は、正規のEFS設定である可能性を検討します。

暗号化開始時刻とファイル変更を確認する

多数のファイルが短時間に連続して変更されている場合は、ランサムウェアによる一括暗号化を疑う材料になります。

不審なプロセス・スクリプトの実行痕跡を確認する

実行ファイル、PowerShell、スクリプト、タスクスケジューラ、サービスなどに不審な痕跡がないか確認します。

外部通信・認証ログを確認する

暗号化前後にC2通信、外部接続、不審なVPN・RDPログインなどがなかったか確認します。

共有フォルダ・NASへの被害拡大を確認する

ローカルPCだけでなく、ファイルサーバーやNASでも同時に暗号化が始まっていないか確認します。

フォレンジック調査会社に相談する

ファイルに鍵アイコンが付いているだけで、同じWindowsアカウントでは正常に開け、親フォルダのEFS設定が確認できる場合は、専門調査が必要になるケースは多くありません。

一方で、ファイルが開けない、拡張子が一括変更された、身代金要求文がある、NASや共有フォルダまで被害が広がっている場合は、ランサムウェアとしてフォレンジック調査会社への相談を検討できます。

フォレンジック調査会社では、暗号化された端末やサーバーに残るログ、実行履歴、EDR記録、認証ログ、ネットワーク通信などを確認し、どのような経路で侵入した可能性があるのか、どの端末から暗号化が始まったのかを整理できます。

また、暗号化だけでなく、攻撃前にデータが外部へ持ち出されていないか、別のアカウントや端末へ横展開していないかも確認できます。

特にランサムウェアでは、復旧を急いで端末を初期化・再起動・ログ削除すると、侵入経路や被害範囲を確認する証拠が失われる可能性があります。ネットワークから隔離したうえで、端末・ログ・暗号化ファイルを保全してから相談することが重要です。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

ファイルが「勝手に暗号化」されたように見える場合は、まず症状を確認します。鍵アイコンが付いていても、同じWindowsアカウントで正常に開ける場合は、EFS暗号化属性が親フォルダから継承されている可能性があります。

EFSが原因の場合は、親フォルダの「プロパティ」→「詳細設定」から「内容を暗号化してデータをセキュリティで保護する」のチェックを外し、必要に応じてサブフォルダ・ファイルにも適用します。ただし、解除前にEFS証明書や秘密鍵を失わないよう確認することが重要です。

一方で、ファイルが開けない、拡張子が一括変更された、READMEやDECRYPTなどの身代金メモがある、NAS・共有フォルダにも被害が出ている場合は、通常のEFS解除を行わずランサムウェアとして対応します。

ランサムウェアが疑われる場合は、LAN・Wi-Fi・VPNを切断し、共有領域へのアクセスを止めます。復旧を急いで端末を再起動・初期化したり、暗号化ファイルを削除したりせず、身代金メモ、拡張子、EDR・イベントログ、認証ログなどを保全します。

原因がEFSなのかランサムウェアなのか判断できない場合や、侵入経路・情報持ち出し・横展開まで確認したい場合は、端末とログを保全したうえで、フォレンジック調査によって暗号化の原因と被害範囲を確認する方法があります。