ランサムウェアに感染したら最初の1時間 LANは抜く、電源は切らない理由

朝、出社したらファイルが開けず、画面に英語の脅迫文が出ている。ランサムウェアの被害は、こうした「気づいた瞬間」の動き方で広がり方が変わります。社員と情シスが最初の1時間にすることを、警察庁・JPCERT/CC・IPAの資料に沿って時間順に整理します。

ランサムウェアはなぜ「最初の1時間」で差がつくのか

ランサムウェアは、データを暗号化して使えなくし、元に戻す代わりにお金を要求する不正なプログラムです。警察庁によると、最近はデータを盗んだうえで「払わなければ公開する」と脅す二重恐喝が多くを占めます。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」でした。警察庁への被害報告は2025年に226件あり、そのうち143件が中小企業です。2026年上半期は123件で、2020年下半期からの半期ごとの統計で最も多くなりました。

侵入の入り口は、メールよりもVPN機器やリモートデスクトップが中心です。社員が怪しいメールを開いていなくても、朝来たら暗号化されていた、ということが起こりえます。IPAの教訓集は、暗号化に気づいた時点で攻撃者の活動はすでに最終段階にあり、時間の猶予はないと指摘しています。

「ケーブルを抜く」は正しい。抜くのはLANケーブル、電源は切らない

ネットワークから切り離すのは、警察庁も勧めている正しい対応です。警察庁は、感染したパソコンのLANケーブルを抜く、無線をオフにするなどして隔離するよう呼びかけています。同時に、調査に必要なログが消えることがあるため、パソコンやネットワーク機器の電源は落とさないよう求めています。

抜くのはLANケーブルで、電源ケーブルではありません。ノートパソコンはWi-Fiを切るか、機内モードにします。

電源を切らないのはなぜか

攻撃の跡は、パソコンの中の記録(ログ)や、動いている間だけメモリに残る情報にあります。電源を切ると、こうした手がかりの一部が失われます。

警察庁は、通報後に提供を頼む情報の例として、次のものを挙げています。脅迫文(ランサムノート)、通信ログ、ディスクイメージ、メモリダンプ、システム構成図です。

JPCERT/CCも、切り離せるものはすぐネットワークから隔離するよう勧めています。理由は、調査や保全のためと、被害の拡大を防ぐための両方です。止めるのは通信で、機械そのものは動かしたままにする、と覚えておくと迷いません。

社員が最初の10分ですること

気づいた社員が落ち着いて動けるよう、手順を5つに絞りました。印刷して机の近くに貼っておける形です。

1. 画面をスマホで撮る。脅迫文、名前が変わったファイル、時刻が写るようにします。
2. LANケーブルを抜き、Wi-Fiを切る。電源は切りません。
3. 情シスに電話する。社内のメールやチャットが止まっていることがあるので、電話が確実です。
4. 気づいた時刻と、直前にしていた操作をメモする。開いたメールやファイル、つないだ機器も書きます。
5. そのまま待つ。USBメモリや外付けディスクはつながず、脅迫文の連絡先にも触れません。

社員がやりがちな行動と、困る理由

情シスが最初の1時間ですること

情シスは、隔離と並行して「残っているものを守る」「判断する人に伝える」「外の力を借りる」を進めます。時間は目安です。

証拠を残すために気をつけること

• 原因を調べる前に、被害端末を初期化したり入れ直したりしない。
• 暗号化されたファイルは消さない。JPCERT/CCは、後で復号ツールが公開される可能性に備えて保管する選択肢を示しています。
• 誰が、いつ、何をしたかを記録する。対応のための操作も書き残します。
• 不審なファイルを外部のオンライン検査サービスに安易に上げない。JPCERT/CCは、解析結果から未公表の被害が推測された例を紹介しています。

警察・IPA・JPCERT/CCには何を相談できるか

相談先は1か所に絞る必要はありません。役割が違うので、並行して連絡して構いません。

警察に相談すると「公表しなければならないのでは」「機械を全部持っていかれるのでは」と心配する声があります。警察庁はよくある質問で、警察から公表を求めることはなく、被害情報の秘密は徹底すると答えています。発生直後はログの保存だけを頼み、詳しい話は後で聞くこともあるとしています。

警察庁は、LockBit(2024年2月)とPhobos/8base(2025年7月)の復号ツールも公表しています。国際的な「No More Ransom」プロジェクトのサイトでも復号ツールを探せます。種類を見分ける手がかりは、脅迫文と、暗号化されたファイルの拡張子です。

個人情報保護委員会への報告が要るのはどんなときか

個人情報保護法では、次のどれかに当たる漏えい等(おそれを含む)が起きたとき、個人情報保護委員会への報告が義務です。本人への通知も原則として必要になります。

ランサムウェアは攻撃者による不正な行為なので、3つ目に当たります。個人データの漏えいや、暗号化されて戻せない状態(またはそのおそれ)があれば、人数が少なくても報告の対象になりえます。委員会も、ランサムウェアで個人データが暗号化され復元できなくなった場合を、報告対象の例に挙げています。

期限は「知った日」から数える

会社の場合、どこかの部署が知った時点が起点です。確報の日数は土日や祝日も含めて数えます。業種によっては、報告先が委員会ではなく所管の省庁になります。

2025年10月1日からは、ランサムウェア事案を政府共通の様式で報告することもできます。IPAの教訓集は、流出したデータを後から特定するのは調査をしても難しく、「漏えいなし」の証明は困難だとしています。報告が要るかどうかは、弁護士や専門家と相談しながら、期限を意識して判断してください。

被害の前に作っておく連絡表

IPAの教訓集は、情シスだけでなく総務・広報・法務・営業も含めて役割を決めておくことを教訓に挙げています。被害が起きてから信頼できるセキュリティ会社を探すのは簡単ではないため、候補と前もって関係を作ることも勧めています。

下の表を埋めて、紙でも保管してください。システムが止まると、社内のファイルサーバーに置いた連絡表は見られません。

社員には「LANを抜く、電源は切らない、情シスに電話」の3行と、情シスの番号を書いたカードを配ると伝わります。警察庁は、対処の流れと警察などの連絡先を、サイバー攻撃を想定したBCP(業務継続計画)にまとめるよう勧めています。被害を想定した訓練も勧めています。

今日からできること

• 社員に「LANを抜く、電源は切らない、情シスに電話」の3行を伝える
• 上の連絡表を埋めて、紙でも保管する
• ネットワークから切り離した場所にもバックアップを取る
• VPN機器の更新状況、パスワード、多要素認証を確かめる
• 夜間・休日にも頼めるセキュリティ会社の候補を決める
• 個人情報がどのシステムのどこにあるか、台帳にまとめる

IPAの中小企業向けガイドラインも、2026年3月の改訂で「バックアップを取ろう!」を基本の6か条に加えました。

どれも1日で終わるものではありませんが、連絡表と社員向けの3行は今日のうちに作れます。IPAの教訓集は、平時の備えの濃い薄いが、対応の成否を大きく左右すると指摘しています。