ファイルが突然開けなくなった、見覚えのない拡張子へ変わった、身代金を要求する画面が表示された。このような異常が見つかった場合は、ランサムウェアに感染している可能性があります。
感染した端末をそのまま使い続けると、社内の共有フォルダーや接続中の機器へ被害が広がるおそれがあります。異常に気付いた時点で作業を止め、端末をネットワークから切り離してください。
端末をネットワークから切り離してください
有線LANを利用している場合はLANケーブルを抜き、無線LANを利用している場合はWi-Fiを切断してください。ほかの端末や共有フォルダーへのアクセスは避け、社内の責任者や情報システム担当者へ連絡します。
警察庁は、調査に必要なログなどが失われる場合があるため、感染が疑われる端末やネットワーク機器の電源を落とさないよう案内しています。社内の対応手順や保守事業者から別の指示を受けている場合は、その指示に従ってください。
発見時の状況を記録してください
表示された画面や発見時の状況は、その後の影響調査や復旧方法を検討する手掛かりになります。可能な範囲で、次の内容を記録してください。
- 異常に気付いた日時、端末名、利用者
- 身代金要求やエラー画面の写真
- 開けなくなったファイルや共有フォルダー
- 異常の直前に開いたメール、ファイル、USBメモリ
- 端末をネットワークから切り離した時刻と対応者
画面を保存するために、感染が疑われる端末へ新しいUSBメモリを接続するのは避けてください。スマートフォンなど別の機器で画面を撮影すると、端末へ新たな操作を加えずに記録を残せます。
復旧は関係者と相談して進めてください
暗号化されたファイルの削除や端末の初期化を急ぐと、侵入経路や影響範囲を調べるための情報を失うことがあります。安全を確認していないバックアップを接続すると、バックアップ側まで被害が広がる可能性もあります。
復旧方法は現場の担当者だけで決めず、社内の責任者、情報システム担当者、経営層、保守事業者などと相談してください。警察庁は、身代金を支払ってもデータが元に戻る保証はないと案内しています。判断が難しい場合は、警察やIPAの相談窓口、セキュリティの専門事業者へ相談できます。