ランサムウェアに感染した会社で、最初の72時間に実際に起きること

ランサムウェアの被害を「起きたら大変なこと」として理解している経営者は多い一方で、起きた日に自分が何を決めることになるのかを具体的に想像できている方は多くありません。実際には、発生から72時間の間に、経営者にしか下せない判断が10回以上やってきます。しかもそのほとんどが、情報が揃っていない状態で下すことになります。

この記事では、被害が発生した会社の中で時間の経過とともに何が起きるのかを、順を追って整理します。技術的な復旧の手順ではなく、経営者の席から見える景色として書いています。読み終えたときに、「これは今のうちに決めておかないと当日は決められない」という項目がいくつか見つかるはずです。それが本当の備えです。

0時間目：気づき方は、たいてい3通りしかない

被害の発覚は、映画のように分かりやすくは訪れません。実務上は、次の3つのどれかです。

1. 朝、社員が「ファイルが開けない」と言い出す。最も多いパターンです。攻撃者は業務が止まると最も困る時間、つまり金曜の夜や連休の前日に暗号化を実行することが多く、気づくのは翌営業日の朝になります。
2. 画面に脅迫文が表示される。暗号化されたフォルダにテキストファイルが置かれ、連絡用のリンクと期限が書かれています。「支払わなければデータを公開する」という文言が併記されているのが近年の標準です。
3. 外部から知らされる。取引先、警察、あるいはセキュリティ機関から「御社の情報が公開サイトに掲載されている」と連絡が来る。この場合、すでに数週間前に侵入が完了していたことになります。

3番目で気づくケースは、最も対応が苦しくなります。自社の把握より外部の把握が先行しているため、説明の主導権を最初から失った状態で始まるからです。

最初の1時間：やってはいけないことのほうが多い

この段階でありがちな失敗は、善意から生まれます。何とかしようとした行為が、後の調査を不可能にしてしまうのです。

電源を落とすか、ネットワークから外すか

被害の拡大を止めるために、感染した端末を切り離す必要があります。ここで「ネットワークから外す」ことと「電源を落とす」ことは、まったく違う行為です。

ネットワークケーブルを抜く、あるいは無線を切ることは、拡大を止めつつ、端末の中の状態を保ちます。一方で電源を落とすと、メモリ上にしか残っていない情報——攻撃者が使っていた接続先や、暗号化に使われた鍵の断片など——が消えます。原則としてネットワークから切り離し、電源は入れたままにするのが望ましい対応です。

「とりあえず再起動」「とりあえず復元」が最も高くつく

担当者が良かれと思ってやってしまう典型が、再起動と、バックアップからの即時上書きです。前者は記録を消し、後者は侵入経路が残ったままの状態を復元することになります。攻撃者がまだ社内にいる場合、復旧したそばから再び暗号化されます。実際、一度復旧してから数日後に再度被害に遭う例は珍しくありません。

この1時間で本当にやるべきこと

• 被害端末をネットワークから物理的に切り離す（電源は落とさない）
• 共有サーバー、バックアップ装置を含め、影響範囲になりうる機器を切り離す
• 画面の写真を撮る。脅迫文の全文、表示された時刻、ファイル名の変化を残す
• 社内に「触らないでください」と伝える。良かれと思った操作を止める
• 経営者に連絡する。判断が必要な事案であることを明確にする

3〜6時間：誰を集めるかで、その後の速度が決まる

ここで体制をつくります。事前に決めていない会社は、この段階で「誰に聞けばいいのか分からない」という時間を数時間失います。決めておくべき役割は次のとおりです。

特に見落とされるのが記録係です。全員が対応に走り回り、誰も時刻を書いていない。数日後に報告書を作ろうとして、「あの作業は何時だったか」を思い出せない。この一点だけでも、事前に決めておく価値があります。

6〜24時間：事業をどう回すかを、復旧と切り離して考える

技術的な復旧には、早くても数日、規模によっては数週間かかります。その間、事業を止めておくわけにはいきません。ここで経営者が考えるべきは復旧の進捗ではなく、止まっている業務のうち、何を、どういう代替手段で、どこまで回すかです。

• 受発注をどう受けるか。電話とファクスに戻すのか、紙で受けるのか
• 請求と支払いをどう続けるか。締め日が近い場合、遅延の連絡は誰がするのか
• 給与計算のデータは無事か。支給日までに間に合うか
• 顧客からの問い合わせに、いつもどおり答えられるか

この「業務をどう継続するか」の計画は、災害を想定した事業継続計画（BCP）を持っている会社であれば、その多くを転用できます。逆に言えば、サイバー被害を地震や火災と同じ棚に入れて計画しておくだけで、当日の混乱はかなり減ります。違いは、火災と異なり「どこまで燃えたのか分からない」状態が続くことです。

「バックアップがあるから大丈夫」が成り立たない3つの理由

ここまでの説明を読んで、「うちはバックアップを取っているから」と思われた方もいるはずです。バックアップは最も重要な備えですが、被害の現場では「取っていたのに戻せなかった」という事例が繰り返し起きています。理由は3つに整理できます。

1. バックアップも一緒に暗号化される

攻撃者は、暗号化を実行する前に必ずバックアップの保管場所を探します。復旧されてしまえば要求が通らないからです。社内ネットワーク上の共有フォルダや、常時接続されたバックアップ用の装置に置いてあるデータは、本番データと同時に暗号化されます。「つながっている」バックアップは、バックアップとして数えられません。

対策の考え方は単純で、少なくとも1系統は普段はつながっていない場所に置くことです。取り外して保管する媒体、書き換えのできない設定にしたクラウド上の保管領域などが該当します。運用の手間は増えますが、この一手間が最後の砦になります。

2. 世代が足りず、感染後の状態を上書きしていた

前述のとおり、攻撃者は暗号化の前に数週間、社内に潜んでいます。バックアップが1世代しかない、あるいは数日分しか残していない場合、すでに侵入された後の状態しか手元に残っていないということが起こります。戻したつもりが、裏口ごと戻していた、という事態です。

どこまで遡れるかは、そのまま「どこまで安全な状態に戻れるか」の上限になります。日次で数日分だけ、という設計になっていないかを、一度確認する価値があります。

3. 戻せることを試したことがない

最も多い失敗がこれです。バックアップ処理が「成功」と表示されていることと、そこから業務を再開できることの間には、大きな隔たりがあります。実際に試すと、必要なファイルが対象から漏れていた、戻すのに1週間かかると判明した、復元に必要なパスワードが暗号化されたサーバーの中にあった——といったことが出てきます。

年に一度でよいので、実際に戻してみる訓練を入れてください。これは費用のかからない対策の中で、最も効果の大きいものの一つです。

社内への第一報に、何を書くか

意外に難しいのが、社員への最初の連絡です。詳しく書きすぎれば不安と憶測が広がり、曖昧すぎれば各自が勝手に判断して動きます。実務上、最初の全社連絡に必要なのは次の3点だけです。

1. 何をしてはいけないか。「パソコンの電源を切らない」「自分で復旧しようとしない」「不審なファイルを開かない」。行動の禁止事項を先に書きます。
2. 気づいたことをどこに言うか。連絡先を1つだけ書きます。複数書くと、どこにも届かない情報が生まれます。
3. 外部に何を言わないか。取引先や家族、SNSへの投稿を含め、対外的な説明は窓口に一本化する旨を明記します。悪意がなくても、断片的な情報が外に出ると、後の正式な説明と食い違います。

逆に、この時点で書くべきでないのは原因の推測です。「〇〇が原因と思われる」と早い段階で書いてしまい、後に事実が異なることが判明して訂正に追われる——という展開は非常によく起こります。分かっていないことは、分かっていないと書くのが結果的にいちばん早い。

24〜48時間：外部への説明は、順番が重要になる

誰に、いつ、何を伝えるか。ここを誤ると、技術的な被害よりも大きな損害が生まれます。原則は「影響を受ける人ほど早く」です。

取引先・顧客

「全容が分かってから連絡しよう」と考えたくなりますが、全容が分かるのは数週間先です。その間に外部から情報が出れば、「知っていたのに黙っていた」という形になります。分かっていないことは分かっていないと言ったうえで、影響の可能性がある範囲と、次にいつ続報を出すかを伝えるのが実務上の落としどころです。

個人情報保護委員会への報告

個人データの漏えい、またはそのおそれが生じた場合、個人情報保護委員会への報告と本人への通知が法律上求められます。ランサムウェアによる被害は「不正の目的をもって行われたおそれがある行為」に該当しうるため、実務上は報告対象になる前提で動くべきです。速報は事態を知ってから概ね3〜5日以内、確報は30日以内（不正アクセス等の場合は60日以内）とされています。

ここで効いてくるのが、初動で記録を残したかどうかです。範囲を絞り込めなければ、最も広く見積もって通知することになります。「対象は最大で全顧客」という通知と、「対象はこの期間のこの範囲」という通知では、その後の信用の回復速度がまったく違います。

警察

都道府県警察のサイバー犯罪相談窓口が受け付けています。被害届の提出は、保険の請求や取引先への説明において「適切に対応した」ことを示す材料にもなります。捜査への協力を求められることもありますが、相談自体が不利に働くことはありません。

保険会社

サイバー保険に加入している場合、多くの契約で事故を知ってから一定期間内の通知が支払いの条件になっています。また、保険会社が指定する調査事業者を使うことが条件になっている契約もあるため、先に自社で調査事業者を手配してしまうと対象外になる可能性があります。加入している場合は、初動の時点で契約書を開くべきです。

48〜72時間：身代金を払うかどうか

この判断は、経営者にしかできません。そして、事前に方針を決めていない会社は、この場面で最も消耗します。整理しておくべき論点を挙げます。

• 払っても完全には戻らないことが多い。復号のための道具が渡されても、動作が不完全であったり、破損したまま戻るファイルがあったりします。「払えば元通り」という前提は成り立ちません。
• 払っても、公開は止まらないことがある。データを持ち出されている場合、削除したという証明は原理的に不可能です。相手の言葉以外に確認の手段がありません。
• 払ったという事実は、次の標的にする理由になる。支払い実績のある企業は、攻撃者の間で情報として扱われます。
• 法令上の論点がある。支払先が経済制裁の対象に関係する場合、外国為替及び外国貿易法などとの関係が問題になり得ます。また、株主や取引先に対して支払いの合理性を説明できるかという論点も残ります。判断の前に必ず弁護士と警察に相談してください。
• 払わない場合の道筋を、先に確認する。バックアップからどこまで戻せるのか、戻せない部分の業務影響は何か。この見通しがあって初めて、支払いの是非を比較できます。

実務的に言えば、この判断の質を決めるのはバックアップの状態です。戻せる見込みが立っていれば、交渉のテーブルに着く必要すらありません。逆に、バックアップが同じネットワーク上にあって一緒に暗号化されていた場合、選択肢は一気に狭まります。72時間目の判断は、実は被害の何か月も前に決まっているのです。

外部の支援を呼ぶかどうかを、どう決めるか

「自社で何とかできる範囲か、外に頼むべきか」。これも早い段階で下す判断です。判断を先延ばしにすると、外部が入った時点で証拠が失われていて調査ができない、という最悪の形になります。目安として、次のいずれかに当てはまるなら、初日のうちに外部の支援を検討すべきです。

• 被害が1台にとどまらず、共有サーバーやバックアップまで及んでいる
• 個人情報を含むデータが対象範囲に入っている可能性がある
• 侵入経路が特定できない、あるいは「いつから入られていたか」が分からない
• 取引先のシステムと接続している、または取引先のデータを預かっている
• 社内に、記録を読み解ける人がいない

特に4番目は、自社の判断だけで済まない領域です。接続先に被害が波及していないかの確認は、自社の復旧よりも優先される場面があります。連絡が遅れるほど、取引の継続そのものに影響します。

「何を頼むのか」を分けて考える

外部支援と一口に言っても、実際には性質の違う3つの仕事が混ざっています。混ぜたまま依頼すると、費用も期間も見積もれません。

1. 止める。被害の拡大を食い止め、攻撃者を締め出す作業。最も急ぎます。
2. 調べる。いつ、どこから、何をされ、何が持ち出されたかを記録から明らかにする作業。報告と説明の土台になります。
3. 戻す。システムを復旧し、業務を再開させる作業。

この3つは担い手が異なることがあります。日常の保守を委託している事業者は3番目には強い一方、2番目——記録を読み解いて経緯を再構成する仕事は、専門の領域です。そして2番目を飛ばすと、報告書が書けません。「復旧はできたが、何が起きたのか説明できない」という状態は、取引先への説明の場面で最も苦しくなります。

この72時間で最も消耗するのは、情報がないまま決め続けること

実際に対応にあたった方が口を揃えて言うのは、技術的な難しさよりも「分からないまま決めなければならない」ことの重さです。範囲が分からない、原因が分からない、いつ戻るか分からない。それでも、取引先には今日返事をしなければならない。

この負荷を下げる方法は一つしかありません。決める項目そのものを、平時に減らしておくことです。連絡先を紙で持っている、初動の3行が現場に共有されている、対外窓口が決まっている、バックアップから戻せると分かっている。これだけで、当日に新規で判断すべきことは半分以下になります。

備えとは、被害をゼロにする仕組みのことではありません。被害が出た日に、判断の数を減らしておくことです。

復旧してからが本番——同じ入口が残っていれば、また入られる

業務が戻ると、対応は終わったように感じられます。しかし、侵入された原因を特定して塞がない限り、状況は被害の前日と同じです。同じ脆弱な機器、同じ盗まれた認証情報が残っていれば、数週間後に再び同じことが起きます。

復旧後に必ず確認すべきことは3つです。第一に、どこから入られたのか。第二に、攻撃者が作った裏口が残っていないか——侵入後に追加されたアカウントや、後から入り直すための仕掛けが残っていることがあります。第三に、持ち出されたのは何か。この3つの答えが出ていない「復旧」は、業務が動いているだけの状態です。

当日に判断を減らすために、今日決めておける5つのこと

1. 連絡先の一覧を、紙で持つ。技術支援先、顧問弁護士、保険会社、警察の窓口、主要取引先。社内システムが止まっている状況では、社内に保存された連絡先は読み出せません。
2. 初動の3行だけを決めておく。「ネットワークから抜く／電源は落とさない／経営者に連絡する」。これを現場が知っているかどうかで、その後の全工程が変わります。
3. バックアップを、社内ネットワークから切り離した場所にも置く。そして、実際に戻せることを一度試しておく。取っていることと戻せることは別です。
4. 対外窓口を一本にすると決めておく。誰が答えるのかを事前に決めておかないと、当日は全員が答えてしまいます。
5. 身代金についての方針を、平時に議論しておく。結論を出す必要はありません。「どういう条件なら検討し、誰に相談してから決めるか」を決めておくだけで、当日の消耗が大きく減ります。

参考になる公的資料

• 独立行政法人情報処理推進機構（IPA）「ランサムウェア対策特設ページ」——被害時の初動と、平時の備えが実務者向けにまとまっています。
• 警察庁「サイバー犯罪対策」および各都道府県警察のサイバー犯罪相談窓口——相談先の連絡先は、事故が起きる前に控えておくべき情報です。
• 個人情報保護委員会「個人データの漏えい等の事案が発生した場合等の対応について」——報告の要否と期限の判断基準が示されています。
• 内閣サイバーセキュリティセンター（NISC）「インシデント対応マニュアルの作成について」——体制と役割分担の雛形として使えます。

次回は、情報システム担当に着任したばかりの方が、最初の90日で何を、どの順番で押さえるべきかを整理します。