セキュリティの手引き
ランサムウェアの脅迫画面が出たら｜最初の5分でやること
公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太
結論：脅迫画面が出たら、画面をスマホで撮り、LANケーブルを抜いてWi-Fiを切ります。電源は切りません。画面の連絡先には連絡せず、払わず、開けなくなったファイルも消しません。ここまでが最初の5分です。
最初の5分- 0〜1分画面を撮るスマホで
- 1〜3分切り離すLANを抜き、Wi-Fiを切る
- 3〜5分知らせる電話で責任者へ
電源は切らない。そのあとは初動7ステップへ
画面が言っていること
警察庁は、ランサムウェアを「データを暗号化して使えなくし、戻す対価を求める不正プログラム」と説明しています。今はデータを盗んだうえで「払わなければ公開する」と迫る二重恐喝が、被害の多くを占めます。
画面が出るまでの流れ入るVPN機器などから
盗むデータを持ち出す
暗号化ファイルを開けなくする
脅す脅迫文を置く
画面が出た時点で、持ち出されていることがある
警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」では、被害の報告は123件で、半期では統計を取り始めてから最多でした。被害企業の約6割が中小企業、侵入経路はVPN機器が約5割です。
令和8年上半期の被害（警察庁）123件被害の報告半期で最多
約6割中小企業被害企業のうち
約5割VPN機器侵入経路のうち
本物のランサムウェアかを確かめる
ブラウザに出る偽の警告（サポート詐欺）と取り違えることがあります。違いは下の表のとおりです。
| 見えるもの | ランサムウェア | 偽の警告 |
|---|
| 出る場所 | 壁紙、フォルダの中の脅迫文のファイル | ブラウザの画面 |
| ファイル | 名前の末尾（拡張子）が変わり、開けない | ふだんどおり開ける |
| 求めるもの | 暗号資産などでの支払い | 表示の番号に電話させる |
| 感染 | している | していない（閉じれば問題ないとIPAが案内） |
ファイルが開けるかは、1つ2つ試すだけにします。共有フォルダ（NAS）のファイルも開けなければ、そこまで及んでいるおそれがあります。
どちらかを決めるファイルが開けず、壁紙や脅迫文のファイルがある？
はいランサムウェアとして動く
ブラウザだけ偽の警告。電話せず閉じる
最初の5分でやること
- 画面を撮る（0〜1分）：脅迫文と、開けないファイルの名前が写るように撮ります。脅迫文と拡張子は、種類を調べる手がかりになります。
撮るもの- 脅迫文の画面
- 開けないファイルの名前
- 壁紙が変わった画面
- 気づいた時刻のメモ
- 切り離す（1〜3分）：LANケーブルを抜き、Wi-Fiを切ります。警察庁は、被害の拡大を防ぐためにネットワークから隔離するよう案内しています。
- 電源は切らない：調査に必要な記録が消えることがあるため、パソコンもネットワーク機器も電源は落としません。
手を動かすのはここだけ
- 知らせる（3〜5分）：社長や責任者に電話で知らせます。メールは盗まれているおそれがあるので使いません。
触ってはいけないもの
慌てているときほど、次の5つには手を触れません。
触らない5つ1電源ボタン記録が消える
2脅迫文の連絡先交渉はしない
3支払い戻る保証がない
4開けないファイル消さずに残す
5バックアップつながない
JPCERT/CCは、攻撃者と交渉することは通常勧めないとしています。警察庁は、払っても復号が保証されず、犯罪グループの資金になるおそれがあると説明しています。
払う前に知っておくこと
開けなくなったファイルは消さずに残します。戻すための道具が、あとから公開されることがあるためです。バックアップも、安全が分かるまでつなぎません。
戻す道具を探す順番- 1種類を調べる脅迫文と拡張子
- 2探すNo More Ransom
- 3相談する警察・専門家
戻す道具は「No More Ransom」のサイトで公開されている場合があります。警察庁も、一部の種類の道具を開発して公表しています。ただし、すべての種類に使えるわけではありません。
よくある失敗慌てて「必ず戻せる」業者に頼む
その結果戻らず、費用だけかかる
JNSAの報告書の座談会で語られた例
JNSAの報告書の座談会では、暗号化されたデータは基本的には解読できないのに「解読できる」と軽く言う業者がいる、と語られています。
5分のあとにやること
次は、記録、連絡の窓口づくり、広がりの確認、届け出です。ランサムウェアに感染したら最初にやること（初動7ステップ）に進んでください。
5分のあと- 1記録する
- 2窓口を1人に
- 3広がりを見る
- 4届け出る
警察への通報について、警察庁は「警察から公表を求めることはない」としています。発生の直後は、ログの保存だけを頼み、詳しい話はあとで聞くこともあるそうです。
よくある質問
もう電源を切ってしまいました。
入れ直したり初期化したりせず、そのまま置いてください。切った時刻をメモし、相談先にそのまま伝えます。
警察に連絡すると、パソコンを全部持って行かれますか？
警察庁は、被害を受けた会社の復旧や業務の継続に最大限配慮して捜査すると説明しています。要望があれば、遠慮なく伝えてよいとされています。
画面が出たのが1台だけなら、安心ですか？
画面は1台でも、ほかのパソコンやサーバーに及んでいることがあります。警察庁は、感染が確認されていない機器も含めて痕跡を調べるよう勧めています。
参考にした資料
- 警察庁「ランサムウェア被害防止対策」
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
- JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」
- IPA「偽セキュリティ警告（サポート詐欺）対策特集ページ」
- No More Ransom
- JNSA「インシデント損害額調査レポート 第2版」（2024年2月）
- 警察庁「サイバー事案に関する相談窓口」