編集部
感染時の初動対応フロー（操作編）
初動対応を誤ると、被害が広がる
ランサムウェア感染が疑われると、担当者は強いプレッシャーを受けます。
しかし、焦って端末を再起動する、ファイルを削除する、バックアップを接続する、といった対応は、証拠の消失や被害拡大につながる恐れがあります。
感染時に重要なのは、慌てて復旧することではありません。まず被害拡大を止め、状況を記録し、判断者に共有し、専門家へつなぐことです。
最初にやること
| 順番 | 対応 | 具体的な行動 | 注意点 |
|---|---|---|---|
| 1 | 端末を隔離する | 有線LANを抜く。Wi-Fiを切断する。共有フォルダへの接続を止める。 | 自己判断で電源OFF・初期化はしない |
| 2 | 状況を記録する | 表示画面、時刻、端末名、発見者、開けないファイル、要求文を記録する。 | 画面はスマートフォン等で撮影して残す |
| 3 | 社内へ報告する | 情報システム部門、責任者、経営層へ連絡する。 | 個人判断で対応を進めない |
| 4 | 初動対応体制を立ち上げる | 意思決定者、調査担当、社外連絡担当、記録担当を決める。 | 対応履歴を時系列で残す |
| 5 | 専門家・警察へ相談する | 外部専門業者、警察、関係機関へ相談する。 | 攻撃者への連絡や支払い判断は単独で行わない |
| 6 | 被害範囲を確認する | 感染端末、サーバー、共有フォルダ、バックアップ、アカウント利用状況を確認する。 | 復旧前に侵入経路を確認する |
| 7 | 安全な環境で復旧する | 感染範囲外のバックアップを確認し、優先順位に沿って復旧する。 | 感染ネットワークにバックアップを接続しない |
やってはいけないこと
| NG対応 | 理由 |
|---|---|
| 感染端末を使い続ける | 共有フォルダやサーバーに被害が広がる可能性がある |
| 自己判断でファイルを削除する | 原因調査に必要な証拠が失われる可能性がある |
| すぐに初期化する | 侵入経路や被害範囲が分からなくなる |
| バックアップをすぐ接続する | バックアップまで暗号化される可能性がある |
| 攻撃者にすぐ連絡する | 不利な交渉や追加要求につながる可能性がある |
| 社内共有を遅らせる | 被害拡大や対応遅れにつながる |
記録すべき情報
| 記録項目 | 内容 |
|---|---|
| 発見日時 | いつ異常に気づいたか |
| 発見者 | 誰が発見したか |
| 端末名・利用者 | 感染が疑われる端末やサーバー |
| 表示メッセージ | 攻撃者の要求内容、連絡先、期限 |
| 影響範囲 | 開けないファイル、使えないシステム |
| ネットワーク状況 | 接続中だった共有フォルダやサーバー |
| 実施した対応 | ケーブル抜線、Wi-Fi切断、報告、相談など |
まとめ
ランサムウェアに感染した場合、最初の対応を誤ると、被害は一気に拡大します。
感染端末をネットワークから隔離する。社内の対応体制を立ち上げる。被害範囲と侵入経路を調査する。警察や専門機関へ相談する。身代金には応じず、バックアップや復号ツールの可能性を確認する。そして、安全を確認してから復旧する。
この流れを事前に決めておくことで、感染時の混乱を抑え、事業停止期間や金銭的損失、信用低下を最小限に抑えることができます。
ランサムウェア対策で重要なのは、「感染したら終わり」と考えないことです。万が一感染しても、正しい初動対応と復旧体制があれば、被害を抑え、事業を守ることができます。
RELATED ARTICLES
