ランサムウェア被害からの復旧手段は、身代金の支払いだけではない。企業が検討すべき対応7つを整理する。
「バックアップがあるから大丈夫」「でも、本当に復元できるのだろうか？」「攻撃者にお金を払うなんて論外だ」――。
ランサムウェア（身代金要求型マルウェア）によって基幹システムや業務端末が使えなくなった企業は、「身代金を支払うか、業務停止を続けるか」の二択を迫られるように語られがちだ。しかし実際には、感染環境の隔離、復号ツールの利用、バックアップからの復元、クリーン環境の再構築など、検討できる選択肢は1つではない。
どの選択肢を取れるかは、被害が発生する前の準備状況によって左右される。本稿では、身代金を支払う前に企業として検討すべき対応の選択肢を、情報システム部門（以下、情シス）の視点から整理する。
身代金の支払いは、問題を解決する確実な手段ではない。その理由は何か。
支払いに応じても、復号鍵が送られてこない場合がある。仮に復号ツールが提供されても、正常に動作せず一部のデータしか戻せないことや、大量のデータを復号するのに長い時間がかかることもある。システムの設定やアプリケーションの状態まで、元通りに戻る保証はない。
さらに、攻撃者が盗んだデータを本当に削除したかどうかを確認する手段はない。支払いに応じた企業と攻撃者が認識した場合、再び攻撃や脅迫の対象とする可能性もある。支払先が制裁対象の組織や個人であった場合には、法的な問題が生じることもあり得る。加えて、支払われた身代金が次の攻撃を実行する資金源になる可能性も否定できない。
こうした不確実性を踏まえると、身代金を支払うかどうかの判断を、情シスだけで担うことは困難だ。では、身代金を支払う以外の選択肢を次から整理する。
被害発生直後、まず優先すべきなのは復旧そのものではなく、感染範囲の拡大防止である。
感染した端末やサーバをネットワークから切り離すことが最初の対応になる。有線LANを外すだけでなく、無線LANやBluetoothなどの通信も停止する必要がある。VPN（仮想プライベートネットワーク）やリモートデスクトップ、外部公開システムについても、必要に応じて停止を検討する。侵害された可能性がある管理者アカウントやユーザーアカウントは無効化し、パスワードだけでなく、API（アプリケーションプログラミングインタフェース）キーや証明書、アクセストークンについても侵害の可能性を考慮する。
このとき注意したいことが一点ある。状況を確認せずに端末の電源を落としたり初期化したりすると、後の調査に必要な証拠が失われてしまう点だ。ランサムノートや画面表示、暗号化されたファイル、ログなどは保存しておく。誰が隔離や停止を判断するのか、その役割分担を事前に決めておくことが、初動の速度を左右する。
被害企業だけで、攻撃者への対応や復旧方法を判断しない。警察に相談し、同じ攻撃グループやランサムウェアに関する情報がないかを確認する。捜査機関が復号鍵や攻撃インフラに関する情報を保有している場合もある。合わせて、フォレンジック事業者やインシデント対応会社に調査を依頼し、侵入経路、侵害の開始時期、感染範囲、情報流出の有無を調べてもらうことが望ましい。
攻撃者が「情報を盗んだ」と主張していても、実際に持ち出されたとは限らない。一方で、暗号化されていないからといって情報流出がないとも判断できない。攻撃者との連絡や交渉を行う場合も、経営層や専門家を交えて判断すべきであり、交渉を開始すること自体が、支払いを決定したことを意味するわけではない。
ランサムウェアの種類によっては、無料の復号ツールが公開されている場合がある。
ランサムノートの名称、暗号化後の拡張子、攻撃者の連絡先などから、まずランサムウェアの種類を特定する。警察やセキュリティ専門家に暗号化ファイルのサンプルを提供し、「No More Ransom」といった公的なプロジェクトで復号ツールの有無を確認する方法もある。過去には、捜査機関が攻撃グループのサーバを押収し、復号鍵を入手した事例もある。
ただし、公開されている復号ツールが、同じランサムウェアの全ての亜種に対応しているとは限らない。未確認の復号ツールを本番データへ直接使用すると、データを破損させる恐れがある。暗号化されたファイルの原本は保存した上で、隔離された複製環境で復号を試すことが望ましい。仮に復号できた場合でも、侵入経路や不正なアカウントが残っていないかの調査は別途必要になる。
バックアップが存在していても、すぐに復元すればよいわけではない。攻撃者がバックアップ環境にまで侵入し、削除や暗号化を実行しているケースがある。バックアップ内にマルウェアや不正な設定が残っている可能性も否定できない。復元の前に、侵害が始まった時期とバックアップの取得日時を照合し、バックアップ環境へのアクセス履歴や設定変更を確認しておく必要がある。
復元先には、侵害されたネットワークとは分離したクリーンな環境を用意する。認証基盤やネットワーク、端末など、復元の土台となる部分から安全性を確認することが前提になる。全システムを一度に戻すのではなく、事業への影響が大きいシステムから段階的に復元し、復元後も監視を続けて、攻撃者による再侵入や再暗号化の兆候がないかを確認する。バックアップは取得するだけでなく、定期的に復元できるかどうかを試験しておく必要がある。
侵害範囲が広い場合には、既存環境を復旧するよりも、新しく構築し直した方が安全なことがある。
攻撃者がいつ侵入したのか特定できない環境は、たとえ復元しても信頼できない。OSやサーバ、ネットワーク、認証基盤、業務アプリケーションを新しい環境に構築し、利用者アカウントや管理者アカウントを再作成する。パスワードや証明書、APIキー、秘密鍵なども再発行し、攻撃に悪用された脆弱（ぜいじゃく）性や設定不備はこの段階で修正する。
業務の再開順序についても優先度を決める必要がある。受注、出荷、顧客対応、給与など、影響の大きい業務から再開する。元の環境をそのまま再現するのではなく、不要なサービスや過剰な権限を削除する点も重要だ。クリーンな再構築には時間とコストがかかるが、環境内に潜伏したマルウェアを排除できる可能性が高まる。
システムが完全に復旧するまで、全ての業務を止めなければならないわけではない。
紙、電話、メール、表計算ソフトなどを使い、重要業務を継続する方法がある。受注や問い合わせを一時的に電話やメールで受け付けたり、在庫や出荷状況を手作業で管理したりすることも選択肢の一つだ。従業員への連絡には、侵害された社内システムとは別の手段を用いる。顧客や取引先とも相談し、データ交換や納品方法を一時的に変更することも検討したい。
どの業務を優先して再開するかは、事業への影響、法的義務、社会的影響を踏まえて判断する。全業務を以前と同じ水準で再開しようとせず、最低限の機能に絞ることも必要になる。こうした代替業務の手順や必要な帳票は、平時のうちに準備しておくことが望ましい。ランサムウェアへの対応は、情シスだけの問題ではなく、BCP（事業継続計画）と経営判断に関わる問題でもある。
現在のランサムウェア攻撃では、データの暗号化と窃取を組み合わせる手口が多い。
システムを復元できたとしても、流出した情報そのものを取り戻すことはできない。攻撃者に身代金を支払ったとしても、盗んだデータが削除される保証はない。まずは被害を受けた可能性があるデータの種類や範囲を特定し、個人情報、顧客情報、営業秘密、認証情報などを分けて影響を評価する必要がある。
法務、広報、個人情報保護担当、経営層、取引先対応部門を招集し、対応を進める。個人データの漏えい、またはその恐れがあり、法令で定められた報告対象事態に該当する場合は、個人情報保護委員会への報告や本人への通知が必要になる。顧客や取引先への説明内容と公表時期についても、確認できていない事実を断定せず、調査中であることを明確にしながら決めていく必要がある。復旧作業と情報漏えい対応は、別の作業として並行して進めることが求められる。
このように、ランサムウェア被害は身代金を支払うかどうかだけの問題ではない。被害を最小限に抑えるためにも、複数の対応策を冷静に検討することが重要になる。
Copyright © ITmedia, Inc. All Rights Reserved.
瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓
MFA（多要素認証）を入れたから安心という常識が崩れ去っている。フィッシング集団「Tycoon2FA」が摘発されたが、脅威が完全になくなったというわけではない。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
