会社のパソコンがウイルスに感染したかも｜社員本人と担当者・社長がまずやること、電源の扱い、取引先への連絡と相談先

01この記事でわかること（3行まとめ）

• 社員は「使うのをやめる、ネットから切る、すぐ報告する」の3つです。LANケーブルを抜くか、Wi-Fiを切ります。自分で消したり直したりしません。
• 電源は、自分の判断で切らないのが基本です。IPAの手引きは、電源を切るなどの不用意な操作で記録を消さないよう注意しています。
• 担当者と社長は、1台だけの話と考えません。ほかの端末、パスワード、メールの相手を確かめ、社内で手に負えなければ公的な窓口と専門の会社に相談します。

02会社で「感染したかも」と気づくきっかけ

個人のパソコンの症状と検査の方法はウイルスに感染したらどうなる？にまとめています。ここでは、会社ならではの気づき方を挙げます。どれも感染と決まったわけではありませんが、報告するきっかけになります。

03社員本人がまずやること

1. パソコンを使うのをやめる。作業の続きをしません。
2. ネットワークから切る。LANケーブルを抜くか、Wi-Fiを切ります。
3. すぐ報告する。担当者か上司に、電話か口頭で伝えます。
4. 触らずに待つ。電源、ファイル、ソフトはそのままにして、指示を待ちます。
5. 画面と出来事をメモする。警告の画面をスマホで撮り、時刻と直前にしたことを書きます。

IPAの手引きは、ウイルス感染の場合は、まず感染したパソコンやサーバーの利用を停止し、ネットワークから切り離すことが重要としています。総務省も、会社のルールに従い、LANケーブルを抜く、無線LANのスイッチを切るなどの方法で社内のネットワークから切り離し、情報システムの担当者に連絡するよう案内しています。

大事なのは報告の速さです。自分のミスかどうかは、あとで考えれば済みます。総務省は、つないだままにしていると、企業や組織全体にマルウェアを広げてしまうことがあると説明しています。

04LANケーブルとWi-Fiの切り方

難しい操作は要りません。次のどちらかで十分です。パソコンの電源はそのままです。

VPNなどで社外からつないでいるときも同じです。在宅勤務の場合はWi-Fiを切り、会社に電話します。外した時刻を覚えておくと、担当者が調べるときに役立ちます。切ったあとは、ほかのパソコンやスマホと同じネットワークにつなぎ直さないでください。

05電源は切らない方がいい？

自分の判断では切らないでください。IPAの手引きは初動対応として、ネットワークの遮断、情報や機器の隔離、システムやサービスの停止を挙げたうえで、「対象機器の電源を切る等、不用意な操作でシステム上に残された記録を消さないようにします」と書いています。記録は、原因や漏れた範囲を調べる手がかりになります。JPCERT/CCも、Emotetに感染した場合の対処の最初に、感染端末の隔離と証拠保全を挙げています。侵入型のランサムウェアについてのFAQでも、調査や保全の目的と被害拡大を防ぐ目的で、切り離せるものはすぐネットワークから隔離するとしています。

ただ、「どんな場合でも絶対に切ってはいけない」と公的な資料が言い切っているわけではありません。機器を止める判断が必要になることもあるので、次のように分けて考えます。

「すでに電源を切ってしまった」という場合も、隠さず伝えてください。切った時刻が分かれば、調べるときの材料になります。再度つけるかどうかは、担当者の指示を待ちます。

06担当者への伝え方：5つだけ伝える

状況を完全に説明できなくてかまいません。次の5つが言えれば十分です。チャットやメールは感染したパソコンから送らず、電話か別の端末を使ってください。

1. 誰の、どのパソコンか：名前、部署、機器の番号や置き場所。
2. いつ気づいたか：おおよその時刻。
3. 何が起きたか：警告の文、動きの変化、届いたと言われたメールの内容。
4. 直前に何をしたか：添付を開いた、リンクを押した、ソフトを入れた、USBメモリを差した、など。
5. もうやったこと：ケーブルを抜いた時刻、再起動の有無、スキャンの有無。

外部の人から「御社から変なメールが来た」と連絡を受けたときは、相手の名前と連絡先も控えます。IPAの手引きも、外部から通報を受けたら通報者の連絡先などを控えるよう書いています。

07社員がやってはいけないこと

• 黙っている、様子を見る：報告が遅れるほど、広がるおそれが増えます。
• ファイルやソフトを勝手に消す：証拠が減ります。JPCERT/CCは感染した端末の証拠保全を対処に挙げています。
• 自分の判断で初期化する：何が起きたか調べられなくなります。
• 感染した疑いのあるパソコンでパスワードを入力する：パスワード変更は担当者の指示で、別の端末から行います。
• USBメモリで大事なデータを持ち出す：ほかの機器に広げるおそれがあります。
• 画面に出た電話番号にかける：偽の警告かもしれません。偽の警告の見分け方にまとめています。

社員を責める雰囲気があると、報告が遅れます。自分を責めている人がいたら、担当者は「すぐ言ってくれて助かった」と伝えてください。原因の話は事実の整理のために聞きます。

08担当者・社長がまずやること

1. 受け付けて記録を始める：発覚の日時、報告者、起きていること、やったことを時系列で書きます。
2. 端末を隔離する：切り離しが済んでいるか確かめます。
3. 社長へ報告する：手引きは、責任者が対応すべきと判断したら速やかに経営者へ報告するとしています。
4. 体制を決める：経営者が責任者と担当者を決め、役割を分けます。小さな会社なら2人でもかまいません。
5. 範囲を調べる：ほかの端末、サーバー、メール、クラウドを見ます。
6. パスワードを変える：安全な端末から、影響のあるアカウントを変えます。
7. 外部に相談する：社内で判断できなければ、早めに窓口や専門の会社に連絡します。
8. 連絡と届出を判断する：取引先、お客様、警察、IPA、個人情報保護委員会など。

被害の大きさが分かるまで待つ必要はありません。手引きによると、インシデント対応の目的は、被害と影響の範囲を最小限に抑え、早く復旧し、再発を防いで事業を続けることです。

時系列のメモは、最初の1行から始める

記憶はすぐ薄れます。手引きも、発生から今までの経過を時系列で整理するよう挙げています。紙でも、別の端末の表計算でもかまいません。

社長が決めること

現場だけでは決められないことがあります。パソコンやサービスを止めるか、外部の会社に調査を頼むか、取引先に今伝えるか、といった判断です。手引きも、対応中は状況や事業への影響を経営者に適時報告するよう書いています。社長が席を外しているときの代わりの人を決めておくと、止まりません。

09範囲を確認する：その1台だけとは限らない

• 同じネットワークのパソコンとサーバーに、同じ警告や不審な動きがないか
• 共有フォルダーやNASのファイルに異常がないか
• 感染した端末のメールアカウントから、不審なメールが送られていないか
• メールの転送設定やクラウドのログインに、覚えのないものがないか
• 外部への通信に、ふだんと違うものがないか
• 同じメールを受け取った社員がほかにいないか

JPCERT/CCは、Emotetの対処で、添付を開いた端末だけでなく、接続していた組織内ネットワークの全端末を調べるよう案内しています。組織の中で感染を広げる能力を持っているからです。ネットワークのログを見て、隔離できているか、ほかに感染端末がないかも確かめます。

すべてのウイルスが同じ動きをするわけではありません。ただ、JPCERT/CCはインシデントハンドリングマニュアルで、ウイルス対策ソフトでは検知できない可能性も少なくないとして、100%の感染防止は不可能という前提で考えるよう書いています。「ソフトが1台で検知したから、ほかは大丈夫」とは言えません。ログの見方が分からなければ、無理をせず専門の会社に頼みます。

どの症状なら別の手順へ進むか

10経理や管理者のパソコンだったとき

同じ1台でも、持っている権限によって重さが変わります。すぐ担当者に伝えてください。

• 経理のパソコン：ネットバンキングの明細と振込の予約を、安全な端末から金融機関の窓口と一緒に確かめます。警察庁は、Emotetが別のマルウェアを呼び込み、ネットバンキングの情報を狙う例を挙げています。流れは不正送金の記事にあります。
• 管理者のパソコン：サーバーやクラウド、ネットワーク機器の管理者のパスワードを保存していないか調べます。保存していたら、その先の機器やサービスも範囲に入れます。
• 社外に持ち出したパソコン：社内に戻してつながないでください。別の場所で切り離したまま、担当者に渡します。

11パスワードの変更：順番と注意点

感染した端末で使っていたものから変えます。感染が疑われる端末では入力せず、安全な別の端末を使います。JPCERT/CCがEmotetの対処で挙げているのは、次のものです。

• 端末のメールソフトで使っていたメールアカウント
• Webブラウザに保存されていた認証情報
• Google Chromeに保存していたクレジットカード情報（カードの利用停止）

警察庁も、Emotetに感染すると、メールソフトやブラウザに記録したパスワードやメール本文が盗まれると説明しています。別のウイルスでも、保存したパスワードは疑って扱います。さらに、次の順で広げてください。

1. 管理者のアカウント（メール、クラウド、Webサイト、ネットワーク機器）
2. ネットバンキングと経理のサービス
3. 社員本人が仕事で使っているサービス
4. 同じパスワードを使い回していたもの

変更の前に、攻撃者が居座っているおそれのある端末を切り離しておきます。使える場合は多要素認証も有効にしてください。方式の違いは多要素認証の用語解説にあります。

12取引先やお客様への連絡

JPCERT/CCによると、Emotetでは、端末に保存されていたメールとアドレス帳の情報が漏えいした可能性があります。あなたの会社の名前で、実際のやりとりを引用したなりすましメールが相手に届くことがあります。警察庁の説明でも、盗んだ情報を悪用して感染を広げるメールを送るとされています。

次の条件があれば、早めの連絡を考えます。

• 会社の名前で不審なメールが送られている、と外部から言われた
• 感染した端末にメールやアドレス帳が入っていた
• 取引先から預かったデータが端末や共有フォルダーにあった

連絡の文に入れること

分かっていないことは「調査中」と書きます。原因や件数を推測で書かないでください。連絡はメールだけに頼らず、大事な相手には電話も使います。感染した端末のアカウントでは送らないでください。JPCERT/CCのマニュアルは、営業担当にも問い合わせが来る可能性があるので、問答集を作って社内で同じ対応ができるようにすることを勧めています。

手引きは、関係者全員への通知が難しい場合や影響が広く一般に及ぶ場合は、ウェブサイトなどで公表するとしています。公表で被害を広げないよう、時期、内容、対象を考えます。委託を受けた仕事に関わる場合は、委託元にも連絡が必要です。個人情報が絡むときの報告の義務と期限は、個人情報の報告の記事にまとめています。

13調査と復旧の流れ

手引きをもとに、順番を整理します。

1. 状況を整理する：いつ、どこで、誰が、誰を、何を、なぜ、どうしたのか（5W1H）で書き出します。
2. 証拠を残す：パソコンのディスクやメモリ、サーバーやネットワーク機器のログを保全します。必要に応じてフォレンジック調査を頼みます。
3. 原因を調べて直す：修正プログラムの適用、設定の変更、機器の入れ替え、データの復元などを行います。
4. 直ったことを確かめてから戻す：正しく修復できたと確認してから、止めたシステムやサービスを再開します。
5. 再発を防ぐ：根本原因を分析し、技術、ルール、教育、体制を見直します。

専門の会社に頼むときや相談するときは、次の項目を手元に置いておくと話が早く進みます。手引きが「整理しておくべき事項」として挙げているものです。

• インシデントの分類、会社名、責任者と担当者
• 発覚の日時、分かっていれば発生の日時
• 起きていること、被害、影響
• 発生から今までの時系列の経過
• 今の時点で考えられる原因
• 被害を受けた機器の概要、OS、ソフトのバージョン、構成、使っているセキュリティ製品

手引きは、経済産業省とIPAの「サイバーセキュリティ経営ガイドライン」の付録Cも参考になると案内しています。

14届出と報告の整理

IPAへの届出は、未遂で実被害がなかった場合も協力を呼びかけています。記入の難しい項目は、分かる範囲でかまいません。ウイルスが付いたメールや不正なファイルを、そのままメールで送らないよう注意書きがあります。

15お助け隊とサイバー保険

サイバー保険や保守の契約があれば、早い段階で連絡先を確かめてください。使える条件や補償の中身は契約ごとに違います。証券や契約書の窓口に、いつ何を伝えるべきかを尋ねます。比べるときはサイバー保険の一覧を見てください。

「サイバーセキュリティお助け隊サービス」は、経済産業省とIPAが中小企業向けに整えた制度に沿って、民間の事業者が提供するサービスです。IPAのサービス基準（2.1版）は、次のものを原則1つの契約で提供するよう定めています。

すでに契約している会社は、まず契約先の窓口に電話してください。契約していない場合、事故の後ですぐ使えるとは限りません。提供元はお助け隊の一覧で確かめられます。

16次の事故に備える対策

• 報告先を1枚にまとめる：担当者、社長、保守の会社、保険、IPAの窓口の連絡先を紙でも持ちます。パソコンが使えないと見られません。
• 社員に「抜く、言う、触らない」を伝える：新入社員にも同じことを伝えます。
• バックアップを取る：手引きは、適切な方法でのバックアップが被害を最小限に抑えるポイントとしています。総務省は、ネットワークから切り離した保存先を勧めています。
• 規程のひな形を使う：IPAの「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）には、事故対応を含む規程のサンプルが付録で用意されています。
• OSとソフトを最新にする：総務省が予防の基本に挙げています。
• 監視の仕組みを考える：法人向けの製品はEDR・法人向けウイルス対策で比べられます。

全体の進め方は中小企業のセキュリティ対策に、備えの選び方は事故への備えにまとめています。

17困ったときの相談先

社内で判断できないときに、早めに使ってください。

個人向けの「情報セキュリティ安心相談窓口」は、企業や組織の相談は専用の窓口へ案内しています。JPCERT/CCは、内容によってはセキュリティベンダーへの相談をお願いする場合があるとしています。依頼できる内容は依頼前に公式ページで確かめてください。頼める会社は事故対応・フォレンジックでも探せます。

18よくある質問