セキュリティの手引き

ランサムウェアに感染したら最初にやること｜中小企業の初動7ステップ

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

初動の7ステップ

1. ネットワークから切り離す（電源は切らない）

LANケーブルを抜く、Wi-Fiを切る。感染が社内のほかの機器に広がるのを止めます。電源を切ると、メモリに残っている手がかりが消えることがあるため、まずは切り離すだけにします。

2. 見たものを記録する

脅迫文の画面をスマホで撮る。気づいた時刻、どのパソコンか、誰が何をしていたときか、開けなくなったファイルの場所をメモします。あとの調査や届け出で必ず聞かれます。

3. 責任者に連絡し、連絡の窓口を1人に決める

社長と、決まっていれば情報セキュリティの責任者へ。社内外への連絡は窓口を1人に絞ると、情報が食い違いません。メールが乗っ取られている可能性があるので、連絡は電話やチャットなど別の手段で行います。

4. 広がりを確かめる

ほかのパソコン、共有フォルダ（NAS）、サーバー、バックアップに同じ症状がないかを見ます。VPN機器やリモートデスクトップなど、外とつながる入口のログイン記録もこの時点で確保します。

5. 届け出る

• 警察：警察庁の「サイバー事案に関する相談窓口」から、オンラインまたは都道府県警察へ通報・相談できます。
• 個人情報保護委員会：個人データの漏えいのおそれがあり、不正の目的によるおそれがある場合などは報告が必要です。速報は発覚から3〜5日以内が目安、確報は不正目的のおそれがある場合は60日以内です。
• 取引先：預かっているデータや、つながっているシステムがあれば、契約の定めに従って連絡します。

6. 専門家に相談する

技術的な相談はIPAの窓口も案内されています。調査や復旧を頼む場合は、何が起きたかを調べる「フォレンジック調査」と、元に戻す「復旧」を分けて見積もってもらうと判断しやすくなります。

7. 復旧は、入口をふさいでから

侵入された入口（VPN機器の脆弱性、盗まれたパスワードなど）をふさがないまま戻すと、同じ入口からまた入られることがあります。パスワードの変更、機器の更新を先に済ませてから、バックアップから戻します。

やってはいけないこと

• 電源を切る、初期化する（手がかりが消える）
• 感染したパソコンで、そのままメールやチャットを続ける
• バックアップのディスクを、確かめずに感染した機器につなぐ
• 社外への説明を、事実が分からないうちに個人の判断で出す

起きる前に1枚にしておくこと

連絡する人の順番と電話番号、ネットワークを作った会社と保守会社の連絡先、警察と個人情報保護委員会の窓口、バックアップの場所。この4つを紙1枚にまとめて、パソコンの外に置いておくだけで、初動の速さが変わります。

よくある質問

参考にした資料

1. 警察庁「サイバー事案に関する相談窓口」
2. 個人情報保護委員会「漏えい等の報告」の案内
3. IPA「中小企業の情報セキュリティ対策ガイドライン」