ランサムウェア感染が疑われたら — 最初の30分の初動手順と連絡先

「ファイルが開けない」「見慣れない拡張子に変わっている」「身代金を要求する画面が出た」——ランサムウェア感染が疑われたら、まずネットワークから切り離す（電源は切らない）、触らない、専門窓口へ連絡するの3つを直ちに行ってください。以下、それぞれの具体的な手順と、感染直後に絶対にやってはいけないことをまとめます。

- 1. ネットワークから切り離す：LANケーブルを抜く、Wi-Fiをオフにする。ただし電源は切らない
- 2. 触らない：ファイルを開かない、再起動しない、身代金要求画面の指示に従わない
- 3. 専門窓口へ連絡する：社内のIT担当や保守会社に第一報を入れ、必要に応じてIPAや警察の相談窓口へ

- ファイルの拡張子が見慣れないものに変わっている
- デスクトップの壁紙や画面が身代金要求文に変わっている
- ファイルが開けない、または大量のファイルが同時に更新・暗号化されている
- 見慣れないポップアップや脅迫めいた表示が出る
- パソコンの動作が急に重くなる、ネットワークの通信量が異常に増える
- 共有フォルダやファイルサーバー上のファイルも同時に開けなくなっている

- 電源を切る（強制シャットダウン）：メモリ上の情報が消え、感染範囲の調査や復旧の手がかりを失う可能性がある
- 身代金要求先に連絡・支払いをする：支払っても復号される保証はなく、支払いによって再び標的にされるリスクも報告されている
- 自己判断で無料復号ツールを実行する：ランサムウェアの種類を誤って判断すると、ファイルが完全に破壊され復旧不能になる場合がある
- ログやファイルを削除・上書きする：被害範囲の特定や、必要になった場合の相談・捜査に使う証拠が失われる

- 有線LANの場合：パソコン本体からLANケーブルを物理的に抜く
- Wi-Fi接続の場合：OSの設定からWi-Fiをオフにする（不安であれば機内モードも併用する）
- 共有フォルダ・NASを使っている場合：他の端末からの該当フォルダへのアクセスも止め、可能であればNAS自体もネットワークから切り離す
- クラウド同期（OneDrive、Google Drive等）を使っている場合：暗号化されたファイルが他の端末やクラウドに同期されるのを防ぐため、同期を一時停止する
- 同一ネットワーク上に他の端末がある場合：感染端末以外もいったんネットワークから切り離し、被害の拡大を防ぐ

バックアップがあるからといって、すぐに復元してよいとは限りません。感染経路や被害範囲が特定されていない状態で復元すると、同じ脆弱性から再び感染するおそれがあります。まずは保守会社や専門機関に相談し、①感染源の特定・駆除、②バックアップ自体が汚染されていないかの確認、③復元後の監視体制、を整えてから実施することが望ましいです。バックアップを複数世代保存している場合は、感染前の世代を選べるかどうかも確認しましょう。

初動対応が落ち着いたら、被害の全体像を把握し、再発防止に取り組む必要があります。個人情報や取引先情報の漏えいが疑われる場合の対応手順はデータ漏えい・情報漏洩が発覚したときの対応手順で、ランサムウェアの基礎知識や日頃の備えについては中小企業のためのランサムウェア基礎知識で詳しく解説しています。