インシデント対応

ランサムウェアに感染したら｜初動72時間の対応手順・身代金判断・報告義務チェックリスト【2026】

27分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

GXO COLUMN

セキュリティ

結論を先に述べます。ランサムウェア感染への対応の成否は、技術力ではなく「発覚から最初の1時間で何をやめ、何を残したか」でほぼ決まります。具体的には、(1)感染端末を有線・無線ともにネットワークから切り離す、(2)電源は落とさず再起動もしない、(3)画面と時刻を証拠として記録する、この3つを慌てずに実行できるかが分岐点です。そのうえで、身代金を払うかどうかは最初に悩む論点ではありません。警察庁も「支払っても暗号化データの復号は保証されず、犯罪組織の活動資金になる」と明言しており、まず着手すべきは封じ込め・被害範囲の確定・報告義務の履行です。

この記事は「感染してしまった後」に主眼を置いています。感染を未然に防ぐ多層防御の話ではなく、いま画面に脅迫文が出ている、あるいは共有フォルダのファイルが一斉に開けなくなった、という状況で、誰が・いつ・何を判断するのかを時系列で整理します。社内に情シス専任がおらず「兼任の担当者一人」「頼れる開発会社が一社だけ」という体制の中小企業が、パニックの中でも致命的な判断ミスを避けられるように書きました。

この記事を読むべき人

従業員数十人〜500人規模で、情シスが兼任または一人しかいない企業の経営者・管理部門責任者
「うちは狙われない」と思っていたが、取引先や同業の被害報道を見て不安になった経営層
顧問のIT会社はいるが、インシデント対応の経験があるか確信が持てない事業責任者
平時にIR(インシデントレスポンス)プレイブックを作っておきたい情シス・総務担当者
一次対応は外部に任せるとしても、「経営として何を決めるか」を事前に把握しておきたい決裁者

逆に、すでに専任のCSIRTを持ち、EDRやフォレンジック体制が整っている大企業の担当者には、本記事の前提はやや易しく感じられるはずです。本記事は「体制が薄いまま被害に直面する側」の視点で構成しています。

AI ASSESSMENT

PoC の前に「そもそも使えるか」を30分で見極めませんか？

対象業務、データ、権限、ログ、運用責任を確認し、PoC前に失敗要因と本番化条件を整理します。

30分壁打ちを予約

なぜ今、この対応フローを持っておくべきか

警察庁が2025年3月に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和6年(2024年)中に警察へ報告されたランサムウェア被害は222件で、依然として高い水準が続いています。注目すべきは企業規模別の内訳で、被害の約6割(およそ140件)が中小企業に集中しており、中小企業の被害件数は前年より増加しています。かつて「大企業や病院が狙われるもの」というイメージがありましたが、実態は逆です。攻撃側から見れば、防御が薄く復旧体制も脆弱な中小企業のほうが「短時間で確実に金になる」標的だからです。

感染経路として警察庁が繰り返し指摘しているのは、社外に公開されたVPN機器やリモートデスクトップ(RDP)の脆弱性・設定不備です。つまり、社員が不審メールを開いたというより、「アップデートを放置したネットワーク機器」から侵入されるケースが主流になっています。これは中小企業にとって重い事実です。派手なフィッシング訓練よりも、外に向いている機器の棚卸しと更新のほうが効くという話であり、平時の弱点がそのまま初動の混乱に直結するからです。

さらに近年の主流は、データを暗号化して使えなくするだけでなく、「盗んだデータを公開されたくなければ払え」と脅す二重恐喝(ダブルエクストーション)です。これがあるため、「バックアップから復旧できたから被害は無かった」とは言い切れず、情報漏えいの有無という別軸の判断が必ず発生します。この二重構造を理解しないまま「復旧できたので公表しない」と決めてしまうと、後から漏えいが判明して信頼を二重に失うことになります。

全体像：発覚から72時間を4フェーズで捉える

ランサムウェア対応は、思いつく順に手を動かすと必ず抜けが出ます。下の4フェーズで「今どの段階にいるか」を全員が共有することが、混乱を最小化する最初のコツです。

横にスクロールして確認できます

フェーズ	目安時間	目的	主担当
Phase 0：検知・封じ込め	発覚〜1時間	拡大を止める・証拠を殺さない	気づいた人＋情シス
Phase 1：被害の見極め	1〜24時間	暗号化範囲・漏えい有無・バックアップの生死を確定	情シス＋外部IRベンダー
Phase 2：報告と法的整理	24〜48時間	警察・個情委・保険・弁護士への連絡	経営＋管理部門＋法務
Phase 3：復旧と公表判断	48〜72時間	復旧手段の決定・対外公表の是非	経営層(最終決裁)

72時間はあくまで目安であり、規制業種や上場企業はもっと早い開示義務があります。逆に、被害範囲の確定に手間取ればPhase 1が数日かかることもあります。大切なのは時間そのものではなく、「封じ込めより先に復旧に走らない」「被害を見極める前に公表文を出さない」という順序を崩さないことです。

FREE DOWNLOAD

中小企業の脆弱性対応月次運用テンプレ

情シス1人体制でも回せる脆弱性棚卸・対応フローのテンプレート（Excel版）。

30分で相談するテンプレをDL

Phase 0：最初の1時間でやること・やってはいけないこと

ここが本記事の核心です。感染に気づいた最初の1時間の行動が、その後の被害額と復旧期間を左右します。落ち着いて、次の順で動きます。

やるべきこと(この順で)

感染端末をネットワークから物理的に切り離す。 有線LANはケーブルを抜く、無線はWi-FiをOFFにする。Wi-FiをOFFにするだけで有線が刺さったまま、という抜けが実際に多いので、両方を確認します。これは横展開(他の端末・サーバへの感染拡大)を止めるための最優先行動です。
電源は切らない、再起動もしない。 これは直感に反しますが極めて重要です。再起動すると、攻撃の痕跡が残るメモリ上の情報が消え、原因究明が困難になります。加えて、再起動を合図に暗号化を再開・加速する種類も存在します。IPAや複数のセキュリティベンダーが「通電したままネットワークだけ遮断」を推奨しています。
証拠を記録する。 脅迫文(ランサムノート)の画面をスマートフォンで撮影し、気づいた時刻・症状・操作内容をメモします。後の警察相談、保険請求、個情委報告のすべてでこの一次記録が効きます。
他の端末・共有サーバに同じ症状がないか確認する。 一台だけか、全社に広がっているかで対応規模が変わります。
経営層と情シス、外部の相談先へ第一報を入れる。 「まだ状況が分からないから」と報告を遅らせないことが鉄則です。判断できる人を早く巻き込むほど選択肢が残ります。

絶対にやってはいけないこと

横にスクロールして確認できます

NG行動	なぜダメか
慌てて再起動・シャットダウンする	メモリ上の証拠が消え、暗号化が加速する型もある
とりあえずバックアップから急いで復元する	汚染されたバックアップを上書きし、感染を再拡散させる。証拠も消える
感染端末を使い続ける／ファイルを開こうとする	暗号化範囲とネットワーク感染が広がる
攻撃者と個人で直接交渉する	専門家を介さない交渉は足元を見られ、条件が悪化する
脅迫文やログを消して「なかったこと」にする	捜査・保険・行政報告に不可欠な証拠を自ら破壊する行為
誰にも言わず担当者一人で抱える	判断が属人化し、報告期限を逃す最大の原因になる

この「やってはいけないこと」の大半は、悪意ではなく善意の焦りから起こります。「早く元に戻さなければ」という気持ちが、バックアップの汚染や証拠の消失という取り返しのつかない事態を招きます。だからこそ、平時にこの一覧を印刷して端末の近くに貼っておく価値があります。

Phase 1：被害を「見極める」24時間

封じ込めができたら、次は事実の確定です。ここで確定させるべきは3つ。**「どこまで暗号化されたか」「データは外に盗まれたか」「バックアップは生きているか」**です。この3点が揃うまで、身代金も公表も決められません。

暗号化範囲の特定：どのサーバ・共有フォルダ・端末が影響を受けたかをリスト化します。基幹システムや顧客データベースが含まれるかで事業影響度が変わります。
漏えいの有無：二重恐喝が前提の今、暗号化だけでなくデータ持ち出しの痕跡(外部への大量通信ログ等)を確認します。個人情報が持ち出された可能性があれば、後述の個情委報告が発生します。
バックアップの健全性：バックアップが存在するかではなく、「改ざんされていないか」「オフラインに保管されていたか」「実際に復元できるか」を実機でテストします。近年の攻撃はバックアップサーバを先に狙うため、「バックアップがある＝安心」は成り立ちません。
ログの保全：ドメインコントローラ、ファイアウォール、EDR、VPN機器のログを保全します。攻撃者がいつ・どこから侵入し、何をしたかの原因究明に不可欠です。

この工程は、社内にフォレンジックの専門家がいなければ外部のIR(インシデントレスポンス)ベンダーの領域です。ここでGXOが実務で重視するのは、「駆けつけ体制を持っているか」を平時に確認しておくことです。多くのIRベンダーは初動対応に数時間〜半日かかり、夜間・休日は対応時間が延びます。被害に気づくのは往々にして休み明けの朝や連休中です。24時間365日の連絡先を事前に押さえていない企業は、この見極めフェーズで数日を失います。

Phase 2：報告義務の全体像(ここを間違えると法令違反)

「警察に届けたら操業停止させられるのでは」「表沙汰にしたくない」という理由で報告をためらう経営者は少なくありません。しかし、報告のいくつかは法令上の義務であり、怠ると別のペナルティを負います。系統ごとに整理します。

横にスクロールして確認できます

報告先	期限の目安	法的な位置づけ	怠るとどうなるか
個人情報保護委員会(個情委)	速報＝概ね3〜5日以内／確報＝30日以内(不正目的の漏えいは60日以内)	個人データ漏えい時の法的義務	報告義務違反。行政指導・命令の対象
本人(漏えいの対象者)	速やかに	個情法上の通知義務	同上。信頼失墜も拡大
都道府県警サイバー犯罪相談窓口	早いほど良い(発覚後24時間以内が望ましい)	任意だが強く推奨	捜査協力・復号支援の機会を逃す
サイバー保険会社	約款どおり(48時間以内が多い)	契約上の通知義務	通知遅延で免責＝保険金が出ないリスク
JPCERT/CC	任意	被害情報の共有	手口共有・助言の機会を逃す
監督官庁・業界ISAC	業種の規則による	規制業種は業法上の義務	業法違反。上場企業は適時開示義務
取引先・顧客	影響判明後、速やかに	契約・信義則	二次被害拡大と信頼毀損

ここでの中小企業の典型的な落とし穴は2つあります。ひとつは個情委への「速報」の期限感覚です。3〜5日というのは調査完了の期限ではありません。「その時点で分かっている範囲」を速やかに出すのが速報で、詳細は30日以内(不正アクセスなど不正目的の場合は60日以内)の確報で補います。「全部分かってから報告しよう」と待っていると速報の期限を過ぎます。

もうひとつはサイバー保険の通知遅延です。多くの約款は事故発生から一定時間内の通知を条件にしており、これを守らないと復旧費用や調査費用の保険金が支払われないことがあります。「保険に入っているから大丈夫」ではなく、「約款が求める通知期限と手順」を平時に読んでおくことが重要です。

なお、「警察に相談すると業務を止められる」という誤解については明確に否定できます。警察に操業停止を命じる権限はなく、求められるのは捜査協力です。むしろ証拠保全や攻撃グループの特定を通じて復旧が早まる場合があり、警察庁はLockBitのようなグループについて復号ツールを開発・提供した実績もあります。相談は不利益ではなく選択肢を増やす行動です。

身代金を払うか：判断軸と、払っても解決しない現実

多くの経営者が最初に頭を抱えるのがここですが、繰り返すと**これは最優先の論点ではありません。**警察庁・IPA・海外の法執行機関はいずれも支払いを推奨していません。理由は明確です。

支払っても復号は保証されません。国内外の調査では、身代金を支払ってもデータを完全には取り戻せなかった企業が相当数にのぼります(この復号率の数値は各社の調査による二次情報であり、母集団や年次で幅があります)。
二重恐喝では、支払っても「盗んだデータを消した」保証はなく、再度の脅迫や横流しのリスクが残ります。
支払いは犯罪組織の活動資金となり、次の被害を生みます。
**法的リスクがあります。**攻撃グループが各国の経済制裁対象(例：米国OFACの制裁リスト掲載組織)である場合、その支払い自体が制裁法違反となる可能性があります。海外取引や米ドル決済がある企業は特に、弁護士による事前確認が不可欠です。

そのうえで、実務では経営判断として「それでも払うか」を検討せざるを得ない局面もあります。GXOとしては、以下の基準をすべて満たさない限り支払わないという運用を推奨します。裏を返せば、ひとつでも満たせるなら支払い以外の道があるということです。

横にスクロールして確認できます

#	確認すべき基準	満たせるなら
1	バックアップが完全に無効化され、復元手段が他に一切ない	←生きていれば復旧で対応
2	事業停止による損失が身代金を大きく上回る	←そうでなければ払う経済合理性が薄い
3	公開されている復号ツールが存在しない(No More Ransom等で確認)	←あれば無償で復号
4	支払先が制裁対象でなく、支払いが違法にならない(弁護士確認済み)	←違法なら選択肢から除外
5	取締役会・顧問弁護士・保険会社の三者が同意している	←独断では決めない

重要なのは、この判断を担当者一人や経営者の独断で行わないことです。支払いは会社としての意思決定であり、法務・保険・経営が揃って初めて検討のテーブルに乗せられます。そして交渉は、経験のある専門家を介するのが原則です。個人で攻撃者とやり取りすると、支払い能力を探られ、要求額をつり上げられます。

Phase 3：復旧と公表の判断

被害範囲が確定し、報告を済ませたら、復旧手段を決めます。原則は「クリーンなバックアップからの復元」または「隔離環境での再構築」です。この際、感染経路(多くはVPN機器やRDP)の穴を塞がないまま復旧すると、同じ攻撃者に再侵入されます。復旧と原因除去はセットです。

公表の判断は、次のいずれかに当てはまれば「公表する」を原則に置くのが安全です。

個人情報の漏えいが確定または強く疑われる(この場合、本人通知と個情委報告が絡み、事実上の公表につながる)
上場企業で適時開示基準に該当する
取引先やエンドユーザーの業務に広く影響する(基幹システム・EC・SaaSの停止など)
SNSやメディアで既に情報が出回っている(後追いの隠蔽は致命的)

「公表するとイメージが下がる」という心配は理解できますが、隠して後から発覚した場合の信頼毀損のほうが、広報対応にかかる費用よりはるかに大きくなります。事実を早く・正確に・連絡窓口とともに開示するほうが、結果的に事業へのダメージは小さくなります。公表原稿は事実確定を待ちながら並行してドラフトを進め、確定した情報だけを載せます。憶測を書かないことが炎上を防ぎます。

GXOの視点：中小企業が「初動」でつまずく5つの失敗パターン

セキュリティ製品を並べても、いざという時に動けない企業には共通の弱点があります。ニュースを読むだけでは防御力にならず、自社の資産・権限・報告体制に落とし込んで初めて意味を持ちます。実務でよく見る失敗パターンを挙げます。これは平時の準備チェックとして使ってください。

連絡先が「誰か知っている」止まり。 IRベンダー、顧問弁護士、保険会社の24時間連絡先が一枚の紙にまとまっておらず、深夜に誰も番号を出せない。担当者の私用スマホにしか情報がなく、その人が休みだと動けない。
バックアップを「取っている」だけで「戻せる」を検証していない。 オンラインの同一ネットワーク上にしかバックアップがなく、本体と一緒に暗号化される。復元テストを一度もしたことがない。
報告義務の主体と期限が決まっていない。 個情委への速報を誰が書くのか、保険会社への通知を誰が出すのかが曖昧で、期限を過ぎる。
「止める」より「戻す」を優先してしまう文化。 業務を止めたくない一心で感染端末を使い続け、被害を全社に広げる。経営が「まず止めていい」と明言していない。
外部依存先が一社で、その会社に対応経験がない。 開発を頼んでいるベンダーはいるが、インシデント対応の実務経験がなく、いざという時に指示を出せない。

これらはいずれも「製品を買えば解決する」問題ではなく、平時の意思決定設計と役割分担の問題です。だからこそ、感染してからではなく、平時に一度、自社の弱点を第三者の目で棚卸ししておく価値があります。自社だけで机上訓練やプレイブック整備が難しい場合は、平時からのセキュリティ体制の再構築を外部と一緒に進める選択肢があります。現状のリスク・ログ・権限・運用体制を洗い出し、自社の成熟度と予算に合った改善順序を設計するところから始められます。

発覚から72時間チェックリスト

印刷して、感染時にこの順で潰していくことを想定した実務チェックリストです。

Phase 0：0〜1時間(気づいた人＋情シス)

感染端末を有線・無線ともにネットワークから物理的に切り離した
電源を切らず、再起動もしていない
脅迫文の画面・時刻・症状を記録(撮影・メモ)した
他の端末・サーバに同じ症状がないか確認した
経営層・情シス・外部相談先へ第一報を入れた

Phase 1：1〜24時間(情シス＋外部IRベンダー)

暗号化された範囲をリスト化した
データ持ち出し(漏えい)の痕跡を確認した
バックアップの健全性を実機で復元テストした
ドメコン・FW・VPN・EDRのログを保全した
個人情報漏えいの有無を一次判定した

Phase 2：24〜48時間(経営＋管理部門＋法務)

都道府県警サイバー相談窓口に連絡した
個情委への速報を提出した(個人情報漏えいの疑いがある場合)
サイバー保険会社へ約款どおりに事故通知した
顧問弁護士とリスク・法的義務を確認した
監督官庁・業界ISACへの報告要否を判定した

Phase 3：48〜72時間(経営層が最終決裁)

復旧手段(バックアップ復元／再構築)を決定した
感染経路(VPN・RDP等)の穴を塞いだ
身代金の要否を5基準で判断した(独断で払わない)
公表の要否と原稿ドラフトを固めた
取引先・顧客への通知リストと連絡窓口を用意した

GXOに相談すべきタイミング

相談は「感染してから」でも遅くはありませんが、本当に効くのは平時です。次のいずれかに当てはまる場合は、早めに外部の目を入れることをおすすめします。

情シスが兼任・一人体制で、インシデント対応の手順書(プレイブック)が無い、または数年更新されていない
バックアップの復元テストを一度もしたことがない、あるいはオフライン保管かどうか自信がない
外に公開しているVPN機器・RDPの棚卸しと更新状況を即答できない
サイバー保険には入っているが、約款の通知期限と補償範囲を読んだことがない
すでに感染が疑われ、いま初動をどう進めるべきか判断がつかない

平時の体制づくりとしては、月次で外部公開資産の棚卸し・脆弱性の判定・対応まで運用として回す月額のセキュリティ顧問(リテイナー)が、情シス一人部署の負荷を下げる現実的な選択肢になります。単発の診断で終わらせず、証跡管理と改善実行まで継続させることが、いざという時の初動速度を決めます。

そして、すでに被害の疑いがある緊急局面では、緊急初動の整理・フォレンジック調査・復旧支援・再発防止までを一気通貫で相談できるインシデント対応の初動相談を早い段階で使ってください。混乱の中で「何を残し、何を止め、どこに報告するか」を外部と分担できるだけで、失う時間とデータが大きく変わります。GXOでは、机上訓練やIRプレイブックの整備といった平時の準備から支援できますが、案件ごとの具体的な費用や体制は状況によって異なるため、個別にご相談ください。

よくある質問(FAQ)

Q1. バックアップさえあれば身代金は絶対に払わなくていい？ 条件付きでYesです。ただし「バックアップが存在する」ことと「復旧できる」ことは別物です。改ざんされていないか、オフラインに保管されていたか、実際に復元できるかを確認して初めて安心できます。近年はバックアップサーバを先に狙う攻撃が主流のため、存在＝安全とは言えません。

Q2. 警察に相談すると業務を止められたり、社名を公表されたりする？ いいえ。警察に操業停止を命じる権限はなく、求められるのは捜査への協力です。相談したことを警察が勝手に公表することもありません。むしろ証拠保全や攻撃グループの特定で復旧が早まる場合があり、警察庁は特定グループの復号ツールを提供した実績もあります。

Q3. サイバー保険で身代金はカバーされる？ 契約によりますが、身代金そのものを補償対象外(免責)とする商品が増えています。多くの保険が主にカバーするのは、復旧費用・調査費用・第三者への損害賠償・広報コンサル費用などです。かつ、約款が定める通知期限を守らないと保険金が出ないことがあるため、契約前に補償範囲と通知手順を精読してください。

Q4. 個人情報保護委員会への報告は、被害の全容が分かってからでいい？ いいえ。個情委への報告は「速報」と「確報」の2段階です。速報は事態把握から概ね3〜5日以内に、その時点で分かっている範囲を提出します。確報は30日以内(不正目的の漏えいは60日以内)に詳細を出します。全容が分かるまで待つと速報の期限を過ぎるため、早めに一次情報を出すのが正しい運用です。

Q5. 社内にIT担当が一人しかいない。感染したら現実的に何から動けばいい? まずPhase 0の3点だけを確実に。(1)ネットワークから切り離す、(2)電源は切らず再起動しない、(3)画面と時刻を記録する。その一人が全部を判断しようとせず、経営層と外部の相談先を即座に巻き込むことが最も重要です。判断を一人に閉じないことが、被害を最小化する最大の分かれ目です。

まとめ

ランサムウェア対応は、高度な技術の問題である前に「順序と役割分担」の問題です。最初の1時間で拡大を止め証拠を殺さない、24時間で被害を見極める、48時間で法令上の報告を履行する、72時間で復旧と公表を決める——この順序を平時に体に入れておくことが、結局いちばんの防御になります。身代金を払うかどうかは、その順序の中の一論点にすぎません。

そして、この記事を読んで「うちは連絡先も手順書も曖昧かもしれない」と感じたなら、それが最も価値のある気づきです。感染してから慌てるのではなく、平時に一度、自社の弱点を棚卸ししておくこと。それが、失う時間・データ・信頼を最小化する最短ルートです。

この記事のペルソナ適合チェック

対象ペルソナ：年商1〜10億円規模、情シスが兼任・一人体制で「失敗を避けたい」中小企業の経営者・管理部門責任者・実務決裁者。
ペルソナ評価：「うちは連絡先も手順も決まっていないかも」「保険の約款を読んだことがない」と自社の穴に気づき、当事者として読む。
失敗トリガー：善意の焦りでバックアップを汚染／報告期限を逃す／担当者一人で抱える、という中小企業に頻発する初動ミスを具体化。
診断価値：4フェーズの時系列フロー、報告義務の系統別表、身代金5基準、72時間チェックリスト、平時の失敗5パターンを提供。
GXO着地導線：平時の体制再構築(/security)、月額セキュリティ顧問(/service/security-retainer)、緊急時のインシデント対応相談(/security/incident-response)へ、買い手意図に沿って接続。
収益ロジック：セキュリティ診断・顧問・インシデント対応という、単価と継続性のある相談へ誘導。「怖いから今すぐ何とかしたい」層の質の高い問い合わせを生む導線設計。