ランサムウェアに感染した会社で、最初の72時間に実際に起きること

ランサムウェアの被害を「起きたら大変なこと」として理解している経営者は多い。ただ、起きた日に自分が何を決めることになるのかまで具体的に想像できている方は、あまり多くありません。実際には、発覚から72時間のあいだに、経営者にしか下せない判断が10回以上やってきます。そのほとんどは、情報が揃わないまま下すことになります。

この記事は、被害が出た会社の中で時間とともに何が起きるのかを、順を追って書いたものです。技術的な復旧手順ではなく、経営者の席から見える景色として整理しました。読みながら「これは今のうちに決めておかないと、当日は決められない」という項目に何度か行き当たるはずです。そこが本当の備えです。

0時間目：気づき方は、たいてい3通りしかない

発覚は、映画のようには訪れません。いちばん多いのは、朝、社員が「ファイルが開けない」と言い出す形です。暗号化が実行されるのは金曜の夜や連休の前日が多く、気づくのは翌営業日の朝になります。

二つ目は、脅迫文を誰かが見つける形です。暗号化されたフォルダにテキストファイルが置かれ、連絡用のリンクと期限、そして「支払わなければデータを公開する」という一文が並んでいます。三つ目は、外から知らされる形。取引先、警察、あるいはセキュリティ機関から「御社の情報が公開サイトに掲載されています」と連絡が来る。この場合、侵入はすでに数週間前に完了しています。

三つ目がいちばん苦しくなります。自社の把握より外部の把握が先行しているため、説明の主導権を最初から失った状態で始まるからです。何が出ているのかを、自社の記録ではなく相手の画面で確認することになります。

最初の1時間：やってはいけないことのほうが多い

この段階の失敗は、たいてい善意から生まれます。何とかしようとした行為が、後の調査を不可能にする。

電源を落とすか、ネットワークから外すか

拡大を止めるには、感染した端末を切り離すしかありません。ここで「ネットワークから外す」ことと「電源を落とす」ことは、まったく違う行為です。ケーブルを抜く、無線を切る——これは拡大を止めつつ、端末の中の状態を保ちます。電源を落とすと、メモリ上にしか残っていない情報、たとえば攻撃者が使っていた接続先や、暗号化に使われた鍵の断片が消えます。原則は通信を切って、電源は入れたままです。

「とりあえず再起動」「とりあえず復元」が最も高くつく

担当者が良かれと思ってやる典型が、この二つです。再起動は記録を消し、バックアップからの即時上書きは侵入経路が残ったままの状態を復元する。攻撃者がまだ社内にいれば、復旧したそばから再び暗号化されます。一度戻してから数日後に同じ目に遭う例は、珍しくありません。

この1時間で本当にやるべきこと

• 被害端末をネットワークから物理的に切り離す（電源は落とさない）
• 共有サーバー、バックアップ装置を含め、影響範囲になりうる機器を切り離す
• 画面の写真を撮る。脅迫文の全文、表示された時刻、ファイル名の変化を残す
• 社内に「触らないでください」と伝える。良かれと思った操作を止める
• 経営者に連絡する。判断が必要な事案であることを明確にする

3〜6時間：誰を集めるかで、その後の速度が決まる

ここで体制をつくります。事前に決めていない会社は、「誰に聞けばいいのか分からない」という時間に数時間を溶かします。

いちばん見落とされるのが記録係です。全員が対応に走り回り、誰も時刻を書いていない。数日後に報告書を作ろうとして、あの作業は何時だったかが誰にも言えない。事前に決めておく価値は、この一点だけでも十分にあります。

6〜24時間：事業をどう回すかを、復旧と切り離して考える

技術的な復旧には、早くても数日、規模によっては数週間かかります。その間、事業を止めておくわけにはいきません。経営者がここで考えるのは復旧の進捗ではなく、止まっている業務のうち何を、どういう代替手段で、どこまで回すかです。受発注を電話と紙に戻すのか。締め日が近いなら、遅延の連絡は誰が入れるのか。給与計算のデータは無事で、支給日に間に合うのか。顧客からの問い合わせに、いつもどおり答えられるのか。

この計画は、災害を想定した事業継続計画（BCP）があれば、多くを転用できます。サイバー被害を地震や火災と同じ棚に入れておくだけで、当日の混乱はかなり減ります。違うのは一点、火災と違って「どこまで燃えたのか分からない」状態が何日も続くことです。

「バックアップがあるから大丈夫」が成り立たない3つの理由

「うちはバックアップを取っているから」と思われた方もいるはずです。バックアップは最大の備えですが、現場では「取っていたのに戻せなかった」が繰り返し起きています。

1. バックアップも一緒に暗号化される

攻撃者は暗号化の前に、必ずバックアップの置き場所を探します。復旧されてしまえば要求が通らないからです。社内ネットワーク上の共有フォルダ、常時つながったバックアップ装置——そこに置いたデータは、本番データと同時に暗号化されます。「つながっている」バックアップは、バックアップとして数えられません。

少なくとも1系統は、普段はつながっていない場所に置く。取り外して保管する媒体や、書き換えのできない設定にした保管領域が該当します。運用の手間は増えますが、ここが最後の砦になります。

2. 世代が足りず、感染後の状態を上書きしていた

攻撃者は暗号化の前に数週間、社内に潜んでいます。バックアップが1世代しかない、あるいは数日分しか残っていない場合、すでに侵入された後の状態しか手元にないということが起こります。戻したつもりが、裏口ごと戻していた。どこまで遡れるかは、そのまま「どこまで安全な状態に戻れるか」の上限になります。日次で数日分だけ、という設計になっていないか、一度確かめてみてください。

3. 戻せることを試したことがない

最も多い失敗がこれです。バックアップ処理が「成功」と表示されていることと、そこから業務を再開できることの間には、大きな隔たりがあります。実際に試すと出てくるのは、必要なファイルが対象から漏れていた、戻すのに1週間かかると判明した、復元に必要なパスワードが暗号化されたサーバーの中にしか無かった、といった話です。

年に一度でいいので、実際に戻してみてください。

社内への第一報に、何を書くか

意外に難しいのが、社員への最初の連絡です。詳しく書けば不安と憶測が広がり、曖昧なら各自が勝手に判断して動く。実務上、最初の全社連絡に要るのは二つだけです。

1. 何をしてはいけないか。「パソコンの電源を切らない」「自分で復旧しようとしない」「不審なファイルを開かない」。禁止事項を先に書きます。取引先や家族への説明、SNSへの投稿も、ここで止めます。悪意がなくても、断片的な情報が外に出れば、後の正式な説明と食い違います。
2. 気づいたことをどこに言うか。連絡先を1つだけ書く。複数書くと、どこにも届かない情報が生まれます。

逆に、この時点で書くべきでないのは原因の推測です。「〇〇が原因と思われる」と早い段階で書いてしまい、後に事実が違うと分かって訂正に追われる展開は、本当によく起こります。分かっていないことは分かっていないと書くのが、結果的にいちばん早い。

24〜48時間：外部への説明は、順番が重要になる

誰に、いつ、何を伝えるか。ここを誤ると、技術的な被害よりも大きな損害が生まれます。原則は「影響を受ける人ほど早く」です。

取引先・顧客

「全容が分かってから連絡しよう」と考えたくなりますが、全容が分かるのは数週間先です。その間に外から情報が出れば、「知っていたのに黙っていた」という形になります。分からないことは分からないと言ったうえで、影響の可能性がある範囲と、次にいつ続報を出すかを伝える。これが実務上の落としどころです。

個人情報保護委員会への報告

個人データの漏えい、またはそのおそれが生じた場合、個人情報保護委員会への報告と本人への通知が法律上求められます。ランサムウェアによる被害は「不正の目的をもって行われたおそれがある行為」に該当しうるため、実務上は報告対象になる前提で動くべきです。速報は事態を知ってから概ね3〜5日以内、確報は30日以内（不正アクセス等の場合は60日以内）とされています。

ここで効いてくるのが、初動で記録を残したかどうかです。範囲を絞り込めなければ、最も広く見積もって通知することになります。「対象は最大で全顧客」という通知と、「対象はこの期間のこの範囲」という通知では、その後の信用の回復速度がまったく違います。

警察

都道府県警察のサイバー犯罪相談窓口が受け付けています。被害届の提出は、保険の請求や取引先への説明において「適切に対応した」ことを示す材料にもなります。捜査への協力を求められることもありますが、相談自体が不利に働くことはありません。

保険会社

サイバー保険に加入している場合、多くの契約で事故を知ってから一定期間内の通知が支払いの条件になっています。保険会社が指定する調査事業者を使うことが条件の契約もあり、先に自社で手配してしまうと対象外になる可能性があります。加入しているなら、初動の時点で契約書を開いてください。

48〜72時間：身代金を払うかどうか

この判断は、経営者にしかできません。方針を決めていない会社は、この場面で最も消耗します。

先に、相手のことを一つ。要求してくる側には、たいてい問い合わせ用の窓口があります。そこでのやりとりは、驚くほど事務的で、丁寧です。期限は延ばせるか、復号の道具は本当に動くのか——問い合わせれば、手順を踏んだ返事が返ってきます。「思ったより話の通じる相手だ」と感じたとしたら、その感覚まで含めて相手の設計です。窓口の口調は、交渉を成立させるために用意された部品にすぎません。

そのうえで、整理しておくべき論点を挙げます。

• 払っても完全には戻らないことが多い。復号のための道具が渡されても、動作が不完全であったり、破損したまま戻るファイルがあったりします。「払えば元通り」という前提は成り立ちません。
• 払っても、公開は止まらないことがある。データを持ち出されている場合、削除したという証明は原理的に不可能です。相手の言葉以外に確認の手段がありません。
• 払ったという事実は、次の標的にする理由になる。支払い実績のある企業は、攻撃者の間で情報として扱われます。
• 法令上の論点がある。支払先が経済制裁の対象に関係する場合、外国為替及び外国貿易法などとの関係が問題になり得ます。株主や取引先に対して支払いの合理性を説明できるかという論点も残ります。判断の前に必ず弁護士と警察に相談してください。
• 払わない場合の道筋を、先に確認する。バックアップからどこまで戻せるのか、戻せない部分の業務影響は何か。この見通しがあって初めて、支払いの是非を比較できます。

そして、この判断の質を実際に決めているのはバックアップの状態です。戻せる見込みが立っていれば、交渉のテーブルに着く必要すらありません。逆に、バックアップが同じネットワーク上にあって一緒に暗号化されていた場合、選択肢は一気に狭まります。72時間目の判断は、被害の何か月も前に終わっているとも言えます。

外部の支援を呼ぶかどうかを、どう決めるか

自社で何とかできる範囲か、外に頼むべきか。これも早い段階で下す判断です。先延ばしにすると、外部が入った時点で証拠が失われていて調査ができない、という最悪の形になります。次のいずれかに当てはまるなら、初日のうちに検討してください。

• 被害が1台にとどまらず、共有サーバーやバックアップまで及んでいる
• 個人情報を含むデータが対象範囲に入っている可能性がある
• 侵入経路が特定できない、あるいは「いつから入られていたか」が分からない
• 取引先のシステムと接続している、または取引先のデータを預かっている
• 社内に、記録を読み解ける人がいない

特に四つ目は、自社の判断だけでは済みません。接続先に被害が波及していないかの確認は、自社の復旧よりも優先される場面があります。連絡が遅れるほど、取引の継続そのものに響きます。

「何を頼むのか」を分けて考える

外部支援と一口に言っても、中身は性質の違う仕事が混ざっています。混ぜたまま依頼すると、期間も見積もれません。

1. 止める。被害の拡大を食い止め、攻撃者を締め出す作業。最も急ぎます。
2. 調べる。いつ、どこから、何をされ、何が持ち出されたかを記録から明らかにする作業。報告と説明の土台になります。
3. 戻す。システムを復旧し、業務を再開させる作業。

担い手が同じとは限りません。日常の保守を委託している事業者は「戻す」に強い一方、記録を読み解いて経緯を再構成する「調べる」は、別の領域です。そしてここを飛ばすと、報告書が書けません。復旧はできたが、何が起きたのかは説明できない——取引先の前で、この状態がいちばん苦しくなります。

この72時間で最も消耗するのは、情報がないまま決め続けること

実際に対応にあたった方が口を揃えて言うのは、技術的な難しさよりも「分からないまま決めなければならない」ことの重さです。範囲が分からない、原因が分からない、いつ戻るか分からない。それでも、取引先には今日返事をしなければならない。

この負荷を下げる方法は一つしかありません。決める項目そのものを、平時に減らしておくことです。連絡先を紙で持っている。初動の三行が現場に共有されている。対外窓口が決まっている。バックアップから戻せると分かっている。これだけで、当日に新しく判断すべきことは半分以下になります。

備えとは、被害が起きない仕組みのことではありません。被害が出た日に、判断の数を減らしておくことです。

復旧してからが本番——同じ入口が残っていれば、また入られる

業務が戻ると、対応は終わったように感じられます。しかし、侵入された原因を特定して塞がない限り、状況は被害の前日と同じです。同じ脆弱な機器、同じ盗まれた認証情報が残っていれば、数週間後に再び同じことが起きます。

復旧後に答えを出しておくべき問いは、どこから入られたのか、攻撃者が作った裏口——侵入後に追加されたアカウントや、後から入り直すための仕掛け——が残っていないか、そして持ち出されたのは何か。この問いに答えられない「復旧」は、業務が動いているだけの状態です。

当日に判断を減らすために、今日決めておける5つのこと

1. 連絡先の一覧を、紙で持つ。技術支援先、顧問弁護士、保険会社、警察の窓口、主要取引先。社内システムが止まっている状況では、社内に保存された連絡先は読み出せません。復旧手順書も同じです。
2. 初動の三行だけを決めておく。「ネットワークから抜く／電源は落とさない／経営者に連絡する」。これを現場が知っているかどうかで、その後の全工程が変わります。
3. バックアップを、社内ネットワークから切り離した場所にも置く。そして、実際に戻せることを一度試しておく。取っていることと戻せることは別です。
4. 対外窓口を一本にすると決めておく。誰が答えるのかを事前に決めておかないと、当日は全員が答えてしまいます。
5. 身代金についての方針を、平時に議論しておく。結論を出す必要はありません。「どういう条件なら検討し、誰に相談してから決めるか」を決めておくだけで、当日の消耗が大きく減ります。

参考になる公的資料

• 独立行政法人情報処理推進機構（IPA）「ランサムウェア対策特設ページ」——被害時の初動と、平時の備えが実務者向けにまとまっています。
• 警察庁「サイバー犯罪対策」および各都道府県警察のサイバー犯罪相談窓口——相談先の連絡先は、事故が起きる前に控えておくべき情報です。
• 個人情報保護委員会「個人データの漏えい等の事案が発生した場合等の対応について」——報告の要否と期限の判断基準が示されています。
• 内閣サイバーセキュリティセンター（NISC）「インシデント対応マニュアルの作成について」——体制と役割分担の雛形として使えます。

次回は、情報システム担当に着任したばかりの方が、最初の90日で何を、どの順番で押さえるべきかを整理します。