ランサムウェアに感染したら最初の1時間でやること｜電源・ネット・連絡の順番と、やってはいけないこと

01この記事でわかること（3行まとめ）

• まずネットから切り離す。電源は切らない。警察庁は、LANケーブルを抜く・無線をオフにするなどして感染した機器を隔離し、ログ（記録）が消える場合があるのでパソコンやネットワーク機器の電源は落とさないよう案内しています。
• 無事なバックアップを守り、警察とJPCERT/CCに相談する。バックアップも一緒に暗号化される例が多いので、まだ無事なものはすぐ切り離します。警察は初動の支援や復号ツールの案内ができる場合があります。
• 身代金は払わない、犯人と交渉しない。警察庁もJPCERT/CCも、払っても元に戻る保証はないとしています。入口をふさいでから、バックアップで戻します。

警察庁によると、今の被害の多くは、メールではなくVPN機器（社外から社内につなぐ装置）などインターネットに出ている機器から入られ、データを暗号化するだけでなく盗んで「払わなければ公開する」と脅す「二重恐喝」です。パソコン1台の問題ではなく、会社のネットワーク全体の事故として動く必要があります。全体の流れはランサムウェアに遭ったときの場面別ガイドにもまとめています。

02そもそもランサムウェアって何？（1分でわかる）

ランサムウェアは、会社のパソコンやサーバーに入り込んで、ファイルに勝手に「鍵」をかけてしまう悪いプログラムです。鍵をかけたあとで「元に戻してほしければお金を払え」と要求してきます。英語の「ランサム（身代金）」と「ソフトウェア」を合わせた言葉です。

たとえるなら、泥棒が会社の書類棚に勝手に南京錠をかけて、「鍵がほしければお金を払え」と置き手紙をしていくようなものです。書類は棚の中にあるのに、自分では開けられません。

警察庁は、ランサムウェアを「端末等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価（金銭又は暗号資産）を要求する不正プログラム」と説明しています。この記事に出てくる言葉は、次の意味です。

最近は、鍵をかけるだけでなく、先にデータを盗んでおいて「払わなければネットに公開する」と二重に脅す手口が多いと警察庁は説明しています。データを暗号化せずに、盗んだデータだけで脅す「ノーウェアランサム」という手口も確認されているそうです。

ウイルスと聞くと「パソコンが壊れる」イメージがあるかもしれませんが、ランサムウェアの目的はお金です。大きな会社だけでなく、中小企業も狙われています（警察庁の統計はこの記事にまとめています）。

03ランサムウェア感染のサイン：こんなことが起きていませんか

JPCERT/CCは、被害を受けた会社の多くが次のような状況で気づくとしています。

• ファイルが開けない・拡張子が変わった：社内の複数のパソコンやサーバーで、ファイルの拡張子（名前の最後の「.xlsx」などの部分）が変わり、開けなくなります。
• 脅迫文が出ている：画面や、フォルダに置かれた文書に、暗号化したことと支払いの要求が書かれています。警察庁の相談例には「ファイルを暗号化した。戻すためにビットコインを支払え」という画面が出たものがあります。
• ファイルサーバーや業務システムが一斉に止まる：JPCERT/CCは、暗号化の影響で社内の複数のシステムに障害や不具合が出て、その報告から被害に気づく場合もあるとしています。
• 「データを公開する」と言われた：盗んだとみられるファイルを公開すると脅す投稿や、攻撃者からの連絡で気づくこともあります。

デスクトップの壁紙が書き換えられていることもあります（JPCERT/CC）。実際の例では、佐賀大学の事務部門のNAS（ネットにつなぐ記憶装置）のファイルが暗号化された例や、POSや会計システムが止まり一部の店舗が休業した例がありました。「1台だけおかしい」と思っても、ほかの機器に広がっている前提で動いてください。

04最初の1時間でやること（この順番で）

警察庁、警視庁、JPCERT/CCの案内に共通する動きを、やる順番に並べました。

1. ネットワークから切り離す（電源は切らない）

警察庁は、LANケーブルを抜く、無線をオフにするなどして、感染したパソコンなどをネットワークから隔離するよう案内しています。警視庁は、無線LANなら機内モードにする方法を挙げています。理由は、ランサムウェアがネットワークにつながったほかの機器にも広がるからです。

そのうえで、警察庁は「パソコンやネットワーク機器等の電源は落とさないでください」としています。原因の調査に必要なログなどが消える場合があるためです。警視庁も、感染した端末の中に復号に必要な情報が残っていることがあるとして、電源を切らないよう書いています。

IPAの教訓集でも、ほぼどの被害組織も、インターネットへの経路の切断と、感染した機器の切り離しを初動で行っていました。

2. 無事なバックアップを切り離す

JPCERT/CCは、外付けの記憶装置をつないでいるなら外すよう案内し、まだ被害を受けていないバックアップの保管先は、安全が分かるまで切り離すか退避するよう勧めています。自動でバックアップを取る仕組みでは、暗号化されたファイルで無事なバックアップが上書きされ、消えるおそれがあるからです。

3. 画面と状況を記録する

JPCERT/CCは、端末に表示された画面を保存するよう案内しています（スマホで撮るのが手早い方法です）。脅迫文の文書や、変わった拡張子も控えます。どのランサムウェアかを特定する手がかりになります。気づいた時刻、どの機器で何が起きたか、誰が何をしたかもメモします。警察庁は、通報のあとに脅迫文（ランサムノート）、通信のログ、ディスクの写し、システムの構成図などの提供を求めることがあるとしています。

4. 社内の責任者に知らせ、対応の体制を作る

JPCERT/CCは、まず被害に対応する体制を整え、社内で情報を共有する連絡体制と、社外からの問い合わせに答える一つの窓口を作るよう勧めています。IPAの教訓集は、システムを止める、公表する、といった重い判断が続くため、経営者がすぐ関わることが欠かせないとしています。

5. 外部に相談する

システムの担当者や保守を頼んでいる会社、最寄りの警察署または都道府県警察のサイバー犯罪相談窓口、JPCERT/CCに連絡します（次の節以降でくわしく）。サイバー保険に入っている会社は、保険の連絡先にも早めに知らせ、使える支援を確かめます。

05やってはいけないこと

• 電源を落とす：警察庁は、ログなどが消えることがあるとして、パソコンやネットワーク機器の電源を落とさないよう案内しています。
• 身代金を払う：警察庁、JPCERT/CC、No More Ransom のいずれも、払っても元に戻る保証はないとしています（次の節）。
• 犯人に連絡する・交渉する：JPCERT/CCは、攻撃者から脅しや提案が届いても、反応しないだけでなく交渉自体を考えるべきではないとしています。犯人が用意した窓口でやり取りすると、その中身を第三者に公開されることがあり、交渉用のチャットを他人が見られてしまう種類もあるためです。
• すぐ初期化する・ファイルを消す：警察庁は、ログをバックアップと同じように保管するよう勧めています。JPCERT/CCは、将来復号ツールが出る可能性に備えて、暗号化されたファイルを保管しておく選択肢もあるとしています。消すと、入口の調査も復号も難しくなります。
• 入口をふさがずに戻す：JPCERT/CCは、入られた経路をふさがないと、戻した後に別の攻撃者にまた入られるおそれがあるとして、復旧の前に必ず原因に対処するよう書いています。

06身代金は払うべき？警察とJPCERT/CCの考え方

結論から言うと、警察も、JPCERT/CCも、払わないよう求めています。

• 警察庁：被害者に対し、支払いは「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」と説明しているとしています。支払ったかどうかも含めて、捜査への情報提供を求めています。
• JPCERT/CC：支払うべきでない理由として、ファイルが戻る保証がないこと、入られた原因やほかの被害は残ったままであること、払った後に別の攻撃や再度の要求を受けるおそれがあることを挙げています。払うことはさらなる攻撃を後押しするともしています。2020年の経済産業省の注意喚起も、支払いは慎むべきだとしています（JPCERT/CCの説明による）。
• No More Ransom：身代金を支払わないことを勧めています。
• IPA：教訓集で、払ってもデータの回復や公開の中止は保証されないとしています。

実際、10月にはGMOが約80億円の要求を拒んだ例があり、IDCフロンティアも身代金を払っていないと公表しています。払わない判断を支えるのは、無事なバックアップと、入口をふさぐ調査です。言葉の解説は身代金の支払いの用語ページにあります。

07相談先と連絡の順番：警察・JPCERT/CC・専門の会社

警察への通報で気になる点について、警察庁は次のように答えています。警察から公表を求めることはなく、被害の情報は秘密にする。復旧と業務の継続に最大限配慮し、発生直後はログの保存だけを頼んで後から話を聞くこともある。被害が小さくても、犯人につながる手がかりがあるかもしれないので情報がほしい。

調査を頼む会社は事故対応（インシデント対応）の会社から探せます。IPAの教訓集は、会社によって対応できる範囲が違うので、普段から役割を確かめて関係を作っておくよう勧めています。

08復旧の流れ：調べる・駆除する・戻す・再開する

JPCERT/CCは、初動の相談に対して3つの方針を伝えているとしています。（A）被害の範囲をつかんで最小限に抑える、（B）考えられる侵入経路をふさぐ、（C）攻撃者の要求には応じず、バックアップから復旧する、です。これに沿った流れは次のとおりです。

1. 範囲を調べる：警察庁は、感染が確認されていないパソコンやサーバーも含めて、侵入の跡がないか調べるよう勧めています。JPCERT/CCは、複数の機器が同時に暗号化された場合、社内のサーバーを管理する管理者アカウントを乗っ取られ、そこから一斉に配られたおそれがあるとして、管理者アカウントの確認とパスワード変更を挙げています。
2. 入口をふさぐ・パスワードを変える：警察庁は、未適用の更新を速やかに当て、攻撃者が触れた可能性のある機器のパスワードを変えるよう案内しています。同じ経路でまた入られるおそれがあるからです。
3. 駆除する：JPCERT/CCは、ランサムウェアが残ったままデータを戻すとまた感染するので、先に駆除するよう書いています。切り離した機器を戻す前に、攻撃者が残した不正なプログラムや裏口、不正な設定が消えていることを確かめます。
4. バックアップから戻す：IPAの教訓集は、汚れている可能性のあるバックアップは使えず、少なくとも侵入が始まる前の時点のものは安全だとしています。だからこそ、いつ入られたかを突き止めるログが大事になります。
5. 再開して見張る：JPCERT/CCは、復旧の後も再発がないか注視するよう書いています。時間がかかる場合は、代わりの手段で業務を続けることも検討します。

09復号ツール（No More Ransom）で戻せる場合

No More Ransom は、ユーロポール（欧州の警察機関）やオランダ警察と民間企業が運営する、ランサムウェアの復号ツールを集めたサイトです。日本語のページもあります。

使い方は、警察庁の案内では次のとおりです。まず、脅迫文と、暗号化されたファイルの拡張子を確かめます。その情報をもとに、対応する復号ツールが公開されているかをサイトで確かめます。JPCERT/CCは、サイトの「Crypto Sheriff」でランサムウェアの種類を特定できる場合があるとしています。

ただし、警察庁は次の注意を挙げています。

• 復号ツールがあるのは一部のランサムウェアだけ。
• 対応すると書かれていても、版の違いで使えないことがある。
• 対応するツールでも、すべてのファイルを戻せるとは限らない。

JPCERT/CCは、暗号化されたファイルは通常は復号が難しく、バックアップがないファイルは戻らない前提で、別の手段で事業を続けることを考えるのが一般的だとしています。ツールが出るとしても、被害から数か月後になることがあります。なお警察庁は、LockBit（2024年2月）とPhobos/8base（2025年7月）で暗号化されたファイルの復号ツールを自ら開発したと公表しており、Phobos/8baseのツールは被害届を出していなくても使えるとしています。

10個人情報が絡むとき・取引先とお客様への連絡

JPCERT/CCは、こうした攻撃の多くで情報が盗まれていると説明する一方、暗号化だけの場合や、「盗んだ」と脅しながら実際には盗んでいない場合もあるとしています。漏れたかどうかは、ログを調べながら判断します。

個人情報保護委員会への報告：ランサムウェアは「不正の目的で行われたおそれがある行為」に当たるため、個人データの漏えい（そのおそれを含む）があれば、人数が少なくても委員会への報告と本人への通知の対象になります。速報は発覚から3〜5日以内、確報は60日以内です。2025年10月1日からは、ランサムウェア事案向けの「共通様式」をメールで出す方法も使えます。報告の中身と本人への通知のしかたは個人情報が漏れたときの会社の対応にくわしく書いています（委員会については用語ページ）。

取引先とお客様への連絡：JPCERT/CCは、取引先などからの問い合わせに早く答えられるよう、早い段階で社外対応の体制を整えることが重要だとしています。IPAの教訓集からは、次の点が分かります。

• 窓口を一本にする：同じ取引先に営業、システム、経営の別々の経路から説明して、内容が食い違わないようにする。
• 「漏えいなし」と言い切らない：漏えいがなかったことの証明は極めて難しい。調査で分かった事実と経過を、必要な範囲で丁寧に報告していく。
• 伝える相手で深さを変える：取引先のように丁寧に伝えるべき相手と、それ以外にどう伝えるかは、多くの組織が悩んだ点でした。未確定の情報が独り歩きすることもあります。

8月のT&K TOKAの例では、関係する取引先に個別に連絡していました。被害を受けた会社を名乗る偽の連絡が出ることもあるので、取引先には「当社からの連絡は○○の窓口から」と伝えておくと安心です。

11調査・復旧にかかる費用と期間（警察庁の調査）

警察庁は、ランサムウェアの被害を受けた組織へのアンケートの結果を公表しています。2026年上半期（1〜6月）の統計データから写しました（不明・未回答を除く）。

35件のうち21件が1,000万円以上でした。復旧にかかった期間は、回答48件のうち「即時〜1週間未満」が17件、「1週間以上1か月未満」が6件、「1か月以上2か月未満」が4件、「2か月以上」が8件で、13件は回答の時点でまだ復旧中でした。

バックアップについては、回答50件のうち44件が取っていましたが、復元の結果を答えた40件のうち29件はバックアップから戻せなかったとしています。警察庁は、バックアップごと暗号化される例が多いので、こまめに取り、ネットワークから切り離して保管するよう勧めています。ほかの数字は警察庁の上半期統計の記事にまとめています。

12再発防止：同じ入口から二度と入られないために

警察庁の上半期統計では、侵入経路を答えた36件のうち18件がVPN機器、9件がリモートデスクトップ（社外から社内のパソコンを操作する仕組み）でした。警察庁とJPCERT/CCが挙げる対策から、中小企業でも手を付けやすいものを並べます。

• VPN機器を最新にする：警察庁は、主要な侵入経路であるVPN機器は速やかな対応が必要だとしています。10月にもVPN装置の公表前から悪用された脆弱性が出ています。8月の両毛システムズの例では、VPNのアカウントを悪用されて入られました（VPNからの侵入の用語ページ）。
• パスワードと多要素認証：警察庁は、初期パスワードや「password」「12345678」のような簡単なものを避け、ほかで使っていないものにし、多要素認証を入れるよう勧めています。
• 外から入れる場所と権限を減らす：JPCERT/CCは、外からつながる機器のうち要らないものを止め、使っていないアカウントや、機器に最初からある「admin」などのアカウントも見直すよう書いています。警察庁は、管理者の権限を持つ人を絞るよう勧めています。
• バックアップをオフラインにも置く：警察庁はネットから切り離した保管を、JPCERT/CCは元とは別のネットワークでの保管を勧めています。年に一度は実際に戻せるか試します（バックアップの用語ページ）。
• EDRと見張り：警察庁は、ウイルス対策ソフトやEDR（パソコンの不審な動きを見つけて止める仕組み）、ネットワークの監視を挙げています。IPAの教訓集は、従来のウイルス対策ソフトだけでは攻撃者の動きを十分に見つけられない場合があるとしています（EDRのサービス一覧）。
• ログを残す・訓練する：警察庁は、日ごろからログを取り、サイバー攻撃を想定したBCPを作り、警察への通報やバックアップからの復旧手順を訓練で確かめるよう勧めています。

保守の会社の回線から入られる例もあります（JPCERT/CC）。備え方の全体はランサムウェアの悩みのページにあります。

13スマホがランサムウェアに感染したら

ここまでの公式の案内は、会社のパソコンやサーバー、ネットワークが対象です。警察庁が「よくある相談」に挙げているのも、パソコンや会社のシステムの例です。一方、No More Ransom は、ランサムウェアを「PCやモバイル端末をロックしたり、ファイルを暗号化したりする」ものと説明しています。

スマホについて公式の資料で確かめられたのは、IPAの特設ページから案内されている2017年2月の資料「ランサムウェアの脅威と対策」です。IPAの相談窓口に、Android端末の画面をロックして支払い（実際はiTunesカードのコード）を求める被害の相談があったと紹介しています。

• Androidでは、ランサムウェアはアプリとして入るので、そのアプリを消せば戻せる。
• 画面がロックされて消す操作ができないときは、「セーフモード」（最低限のアプリだけで動く起動のしかた）で起動できれば操作できる。方法は機種によって違う。
• どのアプリを消せばよいか分からなければ、端末の初期化でも戻せる。

古い資料なので、今の機種でも同じ手順とは限りません。また、会社のスマホが社内のネットワークやクラウドにつながっているなら、会社の事故として担当者に知らせてください。支払いを求められても、払わないのはパソコンと同じです。

14よくある質問