ランサムウェア被害を受けたときの初動｜通報・相談先と対応の流れ

侵害を受けたシステムをネットワークから切り離す対応を確認し、被害の拡大防止を進めましょう。身代金の支払いで復元が保証されるわけではありません。支払いに応じず、警察や公的窓口へ相談してください。個人データの漏洩等も関係する場合は、委員会への報告と本人への通知の条件を別に確認します。

まず感染した機器をネットワークから切り離す

ランサムウェアの被害が疑われる場合は、社内の担当者と、いま起きていることを共有しましょう。JPCERT/CCのFAQは、初動で侵害を受けたシステムを切り離す対応を挙げています。ネットワークからの切り離しを確認し、被害の拡大を防ぐ対応へ進んでください。JPCERT/CC『侵入型ランサムウェア攻撃を受けたら読むFAQ』

作業を整理するためのメモとして、どの機器で何を見たか、いつ気づいたか、すでにどの対応をしたかを分ける方法があります。復旧の操作や証拠の保全について、自分で分からない点は質問として残し、相談先と確認する項目にしましょう。

このページでは、電源を切るかどうか、初期化するかどうか、データを復旧する手順を一律には案内していません。画面の表示だけで操作を決めず、担当者へ「どこまで分かっているか」と「何の操作を確認したいか」を共有してください。作業をした場合は、後から区別できるように内容を記録しておきましょう。

誰が連絡し、誰が機器の状況を確認しているかを分けて管理しましょう。確認中の内容が変わった場合は、前の記録と新しく分かったことを区別して残してください。

身代金は払わない方がよい理由

JPCERT/CCは、身代金の支払いを行うべきではないとし、暗号化されたファイルが復元される保証はないと説明しています。警察庁も、支払った金銭が犯罪グループ等の活動資金となる懸念と、データの復号が保証されないことを挙げています。JPCERT/CC『侵入型ランサムウェア攻撃を受けたら読むFAQ』 警察庁『ランサムウェア被害防止対策｜警察庁Webサイト』

日本サイバー犯罪対策センターも、支払いに応じることは推奨していません。お金を払えば元の状態に戻ると考えて、社内の判断を進めないようにしてください。日本サイバー犯罪対策センター（JC3）『ランサムウェア対策について | トピックス | 脅威情報 | 一般財団法人日本サイバー犯罪対策センター（JC3）』

支払いを求める表示については、相手の要求と、自社が実際にしたことを分けてメモしましょう。相談時に説明するために、どんな要求を確認したのかを整理してください。要求に応じるための操作を進めることと、要求の内容を担当者や相談先に伝えることは分けて扱います。

復旧について知りたい点は、支払いの判断とは別の質問としてまとめましょう。このページでは、復旧できるかや、どれだけ時間がかかるかを決めません。対象となる機器やデータについて分かっている範囲と、まだ確認できない部分を整理し、相談先へ伝える準備をしてください。

警察への通報・相談

警察庁は、被害届を出す場合には最寄りの警察署等へ連絡するよう案内しています。緊急を要する場合は110番が案内されています。届出や相談について、警察庁の窓口案内を確認しましょう。警察庁『サイバー事案に関する相談窓口｜警察庁Webサイト』

相談のメモは、「何が起きたか」「どの機器や情報について分かっているか」「すでに何をしたか」「いま確認したいこと」の順に整理する方法があります。担当者が交代する場合も、同じ項目を使い、確認済みの事実を説明できる形にしておきましょう。

警察への連絡についても、連絡を予定していることと、実際に連絡したことを分けて管理します。相談後に確認が必要な項目があれば、誰が何を確かめるのかをメモし、技術的な対応の記録と照らし合わせてください。

公的な相談・届出の窓口

IPAは、ランサムウェア被害や不正アクセスの被害・疑いに関する届出の案内を公開しています。また、サイバーセキュリティの相談・届出窓口の一覧と、連絡先に迷う場合の安心相談窓口を案内しています。どこへ何を相談するかを確認する入口として使いましょう。IPA（情報処理推進機構）『コンピュータウイルス・不正アクセスに関する届出について | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構』 IPA（情報処理推進機構）『サイバーセキュリティ 相談・届出窓口一覧 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構』

JPCERT/CCにも対応依頼の窓口があります。同センターは原則として電話での報告を受け付けず、機密保持を厳守すると案内しています。連絡の方法は案内ページから確認してください。JPCERT/CC『JPCERT コーディネーションセンター インシデント対応依頼』

IPAのランサムウェア対策特設ページでは、No More Ransomも紹介されています。ここでは窓口や資料の入口を案内し、個別の復旧ができると保証するものとしては扱いません。IPA（情報処理推進機構）『ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構』

複数の窓口を確認する場合は、相談したい内容と連絡状況を一覧にしてみましょう。警察への届出、技術的な相談、個人データについての報告を同じ項目で完了にせず、それぞれの準備と連絡状況を分けて残してください。

個人情報が含まれる場合の報告

JPCERT/CCのFAQは、個人情報について委員会への報告等が必要となることにも触れています。個人データの漏洩等が関係する場合は、委員会への報告ガイドで報告対象の条件と期限を確認してください。感染したという事実だけで、すべて同じ報告が必要と決めるのではなく、対象となる事態かを確認しましょう。JPCERT/CC『侵入型ランサムウェア攻撃を受けたら読むFAQ』

最後に、システムの切り離し、支払いに応じないこと、警察・公的窓口への連絡、個人データについての確認を見直します。企業向けの初動ガイドも参照し、残った調査と連絡について、次に確認する担当を整理してください。