会社のパソコンに身代金の画面が出た。まず誰に連絡し何を止める？

パソコンの画面に「身代金を支払え」というメッセージが表示されたり、ファイルが開けなくなったりした場合、パニックになって電源を切ってしまう方が少なくありません。しかし、最も重要なのは「ネットワークから切り離すこと」と「社内の責任者へ報告すること」です。まずは、そのパソコンのLANケーブルを抜くか、Wi-Fiをオフにして、他のパソコンや共有サーバーへ被害が広がらないように物理的に隔離してください。その上で、感染した端末とは別の、安全が確認されている電話や端末を使って、すぐに社内の指示系統へ連絡しましょう。

感染の拡大を防ぐために今すぐ行うべき隔離作業とは？

ネットワーク接続を物理的に遮断する手順

ランサムウェア（身代金を要求する不正プログラム）の多くは、ネットワークを通じて他のパソコンや、会社で共有しているサーバー、クラウドストレージへと次々に感染を広げていきます。そのため、異常に気づいた瞬間に、そのパソコンがインターネットや社内ネットワークに繋がらない状態にすることが最優先です。具体的には、パソコンに刺さっているLANケーブルを抜く、あるいはノートパソコンであればWi-Fiの設定をオフにする、といった操作を行います。このとき、注意が必要なのは「パソコンの電源を強制的に切らない」ことです。電源を切ってしまうと、専門家が調査する際に必要な「メモリ」と呼ばれる一時的な記憶領域に残っている重要な証拠が消えてしまい、原因特定や復旧の妨げになる恐れがあります。まずは通信だけを断つ、という判断を徹底してください。

共有フォルダやクラウドへの影響を最小限にする方法

もし、そのパソコンが普段から会社の共有サーバーや、DropboxやGoogle Driveのようなクラウドストレージと同期している場合、感染したファイルがそのままクラウド上へ同期され、バックアップデータまで書き換えられてしまうリスクがあります。ネットワークを遮断した後は、他の社員に対しても「異常な画面が出たらすぐにネットワークを切り、触らないように」と、社内チャットや電話などで周知してください。例えば、ある部署のパソコンが感染した際、その部署が使っている共有ドライブ全体が書き換えられてしまうケースは珍しくありません。個別の端末だけでなく、会社全体のデータ共有の仕組みが、感染した端末から影響を受けない状態になっているかを、管理担当者は早急に確認する必要があります。

隔離した端末の取り扱いと二次被害の防止策

ネットワークから切り離した端末は、通常の業務には使わず、管理担当と調査・復旧の支援先へ連絡します。画面の表示、発見した日時、行った操作、接続していた機器を記録してください。自己判断で初期化したり、履歴を削除したり、外付け媒体を別のパソコンにつないだりすると、証拠を失ったり被害範囲を広げたりするおそれがあります。駆除、再起動、電源、接続媒体をどう扱うかは、被害の進み方と調査に必要な情報を踏まえて対応担当と決めます。社内に詳しい人がいない場合は、保守会社やインシデント対応を扱う支援先へ、隔離した状況と画面の記録を伝えてください。通常使う連絡手段も影響を受けていれば、別の連絡方法を使います。

誰に、どのような内容を、どの手段で報告すべきか？

社内の対応責任者へ伝えるべき情報の優先順位

異常を発見したら、まずは社内のセキュリティ担当者や、ITに詳しい責任者、あるいは経営層へ報告します。このとき、パニック状態で「大変なことになりました！」とだけ伝えるのではなく、以下の項目を整理して伝えると、判断がスムーズになります。具体的には、「いつ（発見時刻）」「どの端末で（パソコンの名前や利用者名）」「どのような状態か（画面に表示されているメッセージの内容や、ファイルが開けない状況）」です。例えば、「10時15分に、営業部の佐藤さんのパソコンで、ファイル名がすべて『.encrypted』に変わっている画面が出ました」といった具合です。原因がウイルスかどうかを断定する必要はありません。あくまで「目に見えている事実」を、客観的に伝えることが、適切な初動対応を促す鍵となります。

感染端末とは別の安全な連絡手段を確保する理由

報告を行う際は、必ず「感染が疑われるパソコン」とは別の手段を使ってください。もし、社内のチャットツールやメールが、ネットワークを通じて攻撃者に監視されていたり、あるいは攻撃者が社内ネットワークに侵入して通信を傍受していたりする場合、あなたの報告内容が攻撃者に筒抜けになってしまう恐れがあります。例えば、「今、感染に気づいて報告します」というメッセージを送ることで、攻撃者が証拠隠滅のためにさらに攻撃を強めたり、データを完全に破壊したりする動きを見せるかもしれません。そのため、報告には会社支給の携帯電話による通話や、個人のスマートフォンを用いた電話、あるいは対面での直接報告など、感染したネットワークを経由しない方法を選ぶことが、情報の安全を守るために重要です。

外部の専門機関や支援窓口への相談判断基準

社内での報告が終わったら、次に「自社だけで解決できるか、外部の専門家に頼るべきか」を判断します。中小企業の場合、社内に高度なセキュリティ知識を持つ人材がいないことも多いため、迷わず外部の専門家へ相談することをお勧めします。判断の目安としては、「被害が1台に留まっているか、それとも複数の端末やサーバーに広がっているか」という点です。もし、複数のパソコンで同時に異常が発生している場合は、組織的な攻撃を受けている可能性が高く、自社のみでの対応は困難です。また、IPA（情報処理推進機構）などの公的機関が提供している相談窓口や、契約しているセキュリティベンダー（ウイルス対策ソフトの提供会社など）のサポート窓口へ、現在の状況を正確に伝えて指示を仰いでください。

証拠を失わないための記録と情報の残し方

状況の変化を時系列でメモする重要性

事態が収束に向かう際、あるいは警察や専門家が調査を行う際に、最も頼りになるのが「何がいつ起きたか」という正確な記録です。作業の合間に、手元のノートや、安全が確認されている別の端末のメモ帳などに、時系列で出来事を書き留めておきましょう。例えば、「10:00 異常に気づく」「10:05 LANケーブルを抜く」「10:10 〇〇部長に電話報告」「10:15 指示により端末を保管」といった具合です。このとき、自分の推測（「おそらくウイルスだと思う」など）と、実際に起きた事実（「画面に『Pay Bitcoin』と表示された」など）を明確に分けて書くことが大切です。この記録が、後に「いつから感染していたのか」「どの範囲まで被害が及んでいるのか」を特定するための、極めて重要な手がかりとなります。

画面の状態やエラーメッセージの保存方法

画面に表示されている身代金の要求文や、エラーメッセージの内容は、非常に重要な証拠です。これらを記録するには、可能であればスマートフォンなどで画面の写真を撮っておくのが最も簡単で確実な方法です。ただし、このときも「感染したパソコンを操作してスクリーンショットを撮る」ことは避けてください。操作そのものが被害を広げる可能性があるためです。写真には、要求されている金額、支払い方法（ビットコインなどの暗号資産の指定）、連絡先のメールアドレス、そして可能であれば、画面の隅に表示されている日付や時刻も収まるようにしてください。これらの情報は、専門家が攻撃者の手口を分析したり、警察が捜査を行ったりする際に、不可欠な資料となります。

どのような資料を専門家へ渡すべきか

専門家による調査や復旧作業が始まったら、それまでに集めた「記録」と「写真」をすべて提供してください。具体的には、先ほど作成した時系列のメモ、画面の写真、そして「そのパソコンで直前にどのような操作をしていたか（怪しいメールを開いた、知らないサイトを見たなど）」という情報です。また、もし可能であれば、そのパソコンに接続していた周辺機器（USBメモリなど）や、会社で使っているネットワーク構成図、バックアップの運用ルールなどの資料も準備しておくと、調査のスピードが上がります。情報を出し惜しみせず、正確に共有することが、復旧作業の精度を高め、二度と同じ被害に遭わないための対策を立てる助けになります。

復旧作業を進める際の判断と注意点

バックアップからの復元を急ぐ前に確認すること

被害に遭ったファイルが消えてしまったとき、すぐにバックアップからデータを戻したくなるものです。しかし、安易な復元は非常に危険です。もし、バックアップデータ自体がすでに感染していたり、バックアップを取っているシステム自体に攻撃者が入り込んでいたりする場合、復元した瞬間に再びランサムウェアが動き出し、再びファイルを暗号化してしまうという事態が起こり得ます。復元作業を行う前に、必ず「バックアップデータが安全であること」を専門家の判断のもとで確認してください。また、復元作業を行う環境（ネットワーク）が、攻撃の影響から完全に切り離されていることも、事前に確認しておくべき重要なポイントです。

身代金の支払いが解決策にならない理由

画面に表示される指示に従って身代金を支払うことは、絶対に避けてください。身代金を支払ったからといって、必ずしもデータが元通りになる保証はありません。支払ったとしても、攻撃者が約束を守らずにデータを破壊したり、さらなる金銭を要求してきたりする事例は数多く報告されています。また、支払いに応じることは「この会社は身代金を払う」というメッセージを攻撃者に送ることになり、将来的に再び標的にされるリスクを高めます。さらに、支払った資金が犯罪組織の活動資金となり、さらなるサイバー犯罪を助長するという倫理的な問題もあります。データの復旧は、支払いに頼るのではなく、専門家による技術的なアプローチや、バックアップからの安全な復元によって進めるべきものです。

専門家へ相談する際の判断基準と準備

最終的に、自社でどこまで対応し、どこからを専門家に任せるかを決める必要があります。判断の基準は、「自社の技術力」と「事業への影響度」です。もし、業務が完全に停止しており、一刻も早い復旧が必要な場合は、迷わずセキュリティの専門企業へフルサポートを依頼してください。その際、あらかじめ「どの程度の予算で、いつまでに、どの範囲の復旧を目指すか」という方針を経営層で合意しておくと、業者との交渉がスムーズになります。相談時には、これまでに記録したメモや写真、ネットワーク構成、バックアップの有無といった資料を提示し、現状の把握と、次に取るべき具体的なステップ（調査、封じ込め、復旧、再発防止）について、明確な指示を仰ぐようにしてください。まずは、自社の現在の状況を整理し、専門家へ相談する準備を整えることから始めてください。