ランサムウェアの画面が出たとき、最初の1時間でやること・やらないこと

朝、パソコンを開いたら、ファイルが全部開けない。画面には英語の文章と、知らないメールアドレス。

こういう場面に出くわしたとき、落ち着いていられる人はまずいません。慣れている人でも、最初の数分は頭が真っ白になります。

ただ、ここで知っておいてほしいのは、最初の1時間の動き方で、その後の調査と復旧のしやすさがかなり変わるということです。今日は、そのとき何をして、何をしないか。現場で迷いやすい順に書いていきます。

まず、何が起きているのか

ランサムウェア（パソコンやサーバーのファイルを勝手に暗号化して、元に戻す代わりにお金を要求するウイルス）の可能性が高い状態です。

暗号化というのは、ファイルに鍵をかけて読めなくすること。犯人だけがその鍵を持っている、という仕組みです。

最初にやること

1. ネットワークから切り離す

いちばん最初にやるのは、これです。

• LANケーブルを抜く
• Wi-Fiをオフにする

ランサムウェアは、社内のネットワークをつたって、ほかのパソコンやサーバーにも広がろうとします。ケーブルを抜くだけで、それを止められる可能性があります。

2. 電源は、切らない

ここが一番迷うところだと思います。「とにかく電源を落とせばいい」と思いがちですが、電源は切らずに、そのままにしてください。

パソコンの中には、電源を切ると消えてしまう記録が残っています。どこから入ってきたのか、何をされたのか。それを調べる手がかりです。

3. 画面を、スマホで撮っておく

脅迫文の画面、エラーの表示、気づいた時刻。スマホで写真を撮って、時刻と一緒にメモしておきます。あとで報告書をつくるときに、必ず役に立ちます。

4. 決めておいた連絡先に知らせる

社内の情シス担当、上司、委託している会社。決まっている連絡先に、見たことをそのまま伝えます。

やらないこと

逆に、次のことは、いったん手を止めてください。

• 脅迫文に書かれた連絡先には、連絡しない
• 身代金は、払わない（払っても元に戻る保証はありません）
• 自己判断でウイルス対策ソフトのスキャンや初期化をしない（記録が消えることがあります）
• ほかのパソコンで、同じファイルを開いて試さない

「何かしなきゃ」と思うほど、手を動かしたくなります。でも最初の1時間は、広げない、消さない、残す。 これだけ意識すれば十分です。

少し落ち着いたら

被害の範囲が見えてきたら、次のような届け出や報告も必要になります。

• 警察（各都道府県警察のサイバー犯罪相談窓口）への相談
• 個人情報が漏れた可能性がある場合は、個人情報保護委員会への報告（法律で決められているケースがあります）
• 取引先への連絡

このあたりは一人で判断せず、専門の人と一緒に進めるのが安心です。

本当に大事なのは、起きる前

ここまで書いておいてなんですが、いちばん効くのは、起きる前に「誰が・何をするか」を決めておくことです。

• 最初に誰に連絡するか
• 誰がネットワークを切る判断をするか
• バックアップはどこにあって、本当に戻せるか

この3つが紙1枚にまとまっているだけで、当日の動きはまるで違います。

おわりに

ランサムウェアの話をすると、どうしても怖い話になりがちです。でも、やることは意外とシンプルです。広げない、消さない、残す。そして、ひとりで抱えない。

もし今、まさに画面が出ていて困っている方がいたら、サイトの「緊急相談」から連絡してください。最優先で折り返します。