ランサムウェア攻撃に対する対応手順

ランサムウェア攻撃に対して何をするべきかを探している場合は、迅速に行動する必要がありますが、パニックに陥るべきではありません。最初の数分間の主な目標は、マルウェアの拡散を止め、証拠を保存し、バックアップを保護し、安全な復旧の準備をすることです。本記事では、企業と家庭のユーザー向けに、ランサムウェアを認識する方法、何を無効にするか、誰に知らせるか、身代金を支払うべきか、再攻撃のリスクを軽減する方法について、実践的な行動手順を解説します。

ランサムウェアは、ファイルやシステムへのアクセスをブロックし、その後、復号キーのために身代金を要求します。時には、攻撃者がデータを盗み、公開すると脅迫する場合もあります。そのため、対応策はファイルの復旧だけでなく、情報漏洩の可能性も考慮する必要があります。

最初の15分の簡潔な計画

以下は、時間を稼ぎ、損害を軽減するための簡潔なアルゴリズムです。これは、コンピュータに暗号化されたファイルが現れたり、身代金要求のメモ、または多数のデータアクセスエラーが発生した場合のほとんどのケースに適しています。

1. 感染したデバイスをネットワークから隔離します。 イーサネットケーブル、Wi-Fi、およびVPNを切断します。外部ドライブを接続しないでください。
2. 脅迫者のメモや疑わしいファイルを削除しないでください。 それらは調査や復号ツールの特定に必要になるかもしれません。
3. 専門家の指示がない限り、コンピュータを再起動しないでください。 再起動後に攻撃の痕跡が失われたり、暗号化が続行されることがあります。
4. ITまたは情報セキュリティの責任者に報告します。 自宅の場合は、インシデントの時間を記録し、画面を写真で記録してください。
5. アクセス可能な場合は、共有フォルダーやネットワークストレージを無効にします。 SMB、RDP、VPNなどのチャネルを通じた拡散を止めることが重要です。
6. バックアップを確認しますが、感染した環境に接続しないでください。 バックアップは上書きや感染から保護する必要があります。
7. 最小限のデータを収集します。 デバイス名、ユーザー、発見時刻、暗号化されたファイルの拡張子、身代金要求のテキスト。
8. すぐに支払わないでください。 まずは、スケール、バックアップの有無、法的リスク、無料の復号可能性を評価してください。

これはランサムウェア攻撃であるとどう判断するか

ファイルの損傷が必ずしもランサムウェアを意味するわけではありません。ただし、組み合わせて考えると、ほとんど常にランサムウェア攻撃を示す兆候があります。

感染の主な兆候

一般的な症状は次のようになります：

• ファイルに新しい異常な拡張子が付与された;
• 書類、データベース、写真、またはアーカイブが開けなくなった;
• フォルダーに身代金支払いの指示書が現れた;
• デスクトップが脅迫メッセージに変わった;
• アンチウイルス、EDR、またはSIEMがファイルの大規模な変更を記録した;
• サーバーが遅くなり、ディスクがデータを書き込み続けている;
• ユーザーがネットワークフォルダーへのアクセスを失った;
• アカウントが突然ブロックされたり、奇妙なアドレスから使用された;
• ログにRDP、PowerShell、PsExecによる接続や疑わしいスクリプトが表示される。

特に危険なのは、複数のコンピュータやファイルサーバーで同時に暗号化が行われる場合です。これは、攻撃者がすでに管理者権限を取得している可能性を示唆します。

自体で証拠とは見なさないべきこと

損傷したファイル、ディスクのエラー、またはプログラムのクラッシュは、必ずしも脅迫者と関係しているわけではありません。したがって、急いで結論を出さないことが重要です。まずは、ログ、アンチウイルスのイベント、ログイン履歴、その他のデバイスの状態を確認してください。しかし、身代金要求のメモと大量のファイル名変更がある場合は、実際のインシデントとして対応してください。

インシデントに対する段階的な対応

ランサムウェア攻撃の際は、段階的に行動することが重要です。混乱した行動は調査を妨げ、損害を増加させる可能性があります。以下は、チェックリストとして使用できる実践的な手順です。

ステップ1. コーディネーターを指名する

企業では、責任のあるコーディネーターが一人必要です：ITディレクター、情報セキュリティ専門家、当直シフトのリーダー、または外部専門家です。彼または彼女は、決定を記録し、タスクを配分し、矛盾する行動を防ぎます。

家庭のユーザーにとって、コーディネーターの役割は簡単です：発見した時間、インシデント前の出来事、どのデバイスが接続され、どのファイルが影響を受けたかを記録します。

ステップ2. 感染したシステムを隔離する

隔離は最優先事項です。感染したデバイスのネットワークを切る必要がありますが、無計画にすべてを一斉に切るべきではありません。特にファイルサーバー上での暗号化が行われている場合は、ネットワークインターフェースを直ちに切断するか、共有リソースへのアクセスをブロックする必要があります。

実施すること：

• 感染した作業ステーションのネットワークケーブルを切断する;
• Wi-FiおよびVPNクライアントを切断する;
• 疑わしいアカウントをブロックする;
• RDP、SMB、管理者接続を一時的に制限する;
• 暗号化されたファイルを拡散する場合は、クラウドフォルダーの同期を無効にする;
• 重要なサーバーをユーザーネットワークから分離する。

避けるべきこと：感染したコンピュータにUSBフラッシュドライブ、外部ドライブ、バックアップメディアを接続しないでください。データの唯一のコピーが暗号化される可能性があります。

ステップ3. 証拠を保存する

証拠は侵入経路を理解し、復旧方法を特定するのに役立ちます。脅迫者のメモ、疑わしい実行ファイル、アーカイブ、スクリプト、ログを削除しないでください。可能であれば、ディスクイメージや仮想マシンのスナップショットを作成します。

保存するのが有用なもの：

• 脅迫者のメッセージのスクリーンショット;
• 暗号化されたファイルのサンプルとそのオリジナル（存在する場合）;
• 身代金要求のテキスト;
• Windows、Linux、VPN、ファイアウォール、メールゲートウェイ、およびEDRのログ;
• アクティブなプロセスとネットワーク接続の一覧;
• 最初の活動時間に関する情報。

機密ファイルを無関係なサイトに送信しないでください。信頼されたサービスのみを使用し、個人情報や商業データがある場合は、事前にそれを削除してください。

ステップ4. 攻撃者のアカウントを停止する

多くの現代のランサムウェア攻撃は、ウイルスファイルから始まるのではなく、盗まれたパスワードから始まります。攻撃者はVPN、RDP、クラウドポータル、メール、または管理者アカウントを通じて侵入します。したがって、怪しいログインを迅速に確認する必要があります。

実施すること：

• 疑わしいログインが見られるアカウントを無効にする;
• 清浄なデバイスから管理者のパスワードを変更する;
• アクティブなVPNセッションとトークンを無効にする;
• メールの転送ルールを確認する;
• MFAを必要な場所に導入する;
• 新しいアカウントや管理者グループの変更を確認する。

重要なのは、感染したシステムを隔離してからのみパスワードを変更することです。コンピュータ上でマルウェアが動作している場合、新しい資格情報を傍受される可能性があります。

ステップ5. 攻撃の規模を特定する

復旧の前に、何が感染しているのかを理解する必要があります。さもなければ、攻撃者が依然として存在するシステムを作成するリスクがあります。

確認すべきこと：

• ユーザーのワークステーション;
• ファイルサーバーとネットワークフォルダー;
• ドメインコントローラー;
• バックアップサーバー;
• ハイパーバイザーと仮想マシンのストレージ;
• クラウドディレクトリおよびSaaSサービス;
• メールボックスと転送ルール;
• VPN、ファイアウォール、プロキシのログ。

感染している、疑わしい、条件付きでクリーンな3つのカテゴリーにシステムの一覧を作成します。その後、調査に応じてそれを更新します。

ステップ6. バックアップを保護する

バックアップはランサムウェアからの復旧時の主要な資源です。しかし、多くの攻撃は特にバックアップサーバーをターゲットにしています。したがって、コピが被害を受けていないことや、攻撃者にアクセスできないことを確認するまでは、復旧を始めないでください。

確認するべきこと：

• 切断されたメディアにオフラインバックアップがあるか;
• 変更不可能なバックアップ（例：immutable storage）があるか;
• 悪用日に対するバックアップがあるか;
• バックアップシステム用の別のアカウントがあるか;
• バックアップの削除、上書き、失敗したジョブの記録。

バックアップがクラウドに保存されている場合は、バージョン履歴、ゴミ箱、アクセス設定、ログインの記録を確認してください。

ステップ7. 復旧戦略を選択する

主な選択肢は3つです：バックアップからの復旧、利用可能なツールによる復号、またはクリーンなデータの完全な再インストールです。しばしば、組み合わせが使用されます。

状況	最適な行動	避けるべきこと
クリーンなバックアップがある	システムを再インストールし、バックアップからデータを復元	感染したOSの上に復元する
知名度の高い復号ツールがある	ファイルのコピーで確認する	知らない著者からの未確認のユーティリティを実行する
バックアップがない	ディスクイメージを保存し、専門家に相談する	暗号化されたファイルを削除し、ディスクをすぐにフォーマットする
データ漏洩の兆候がある	法律家と経営陣を呼ぶ	当事者からインシデントを隠す
ドメインのインフラストラクチャが感染した	信頼された環境をゼロから復元するか、クリーンなバックアップから復元する	パスワードを変更してサーバーを元に戻すだけ

身代金を支払うべきか

短い回答：安全なオプションをすべて試すまで支払うべきではありません。支払いは復号を保証せず、盗まれたデータの削除も保証せず、さらに法律上のリスクや名声のリスクを生む可能性があります。さらに、あなたは犯罪者に、組織が支払う用意があることを示すことになります。

ただし、実際の状況では、重要なインフラ、生命の脅威、あるいは回復可能なバックアップが全くない場合には、時々その決定が考慮されることがあります。その場合、決定は経営陣、法律家、セキュリティ専門家、必要に応じて法執行機関と共同で行うべきです。制裁の制限や、犯罪団体への資金提供リスクを考慮することが重要です。

どんな決定をするにしても、以下を確認してください：

• 機能しているバックアップがあるか;
• 使用されているランサムウェアのタイプがわかっているか;
• 無料復号ツールが存在するか;
• データが盗まれたか;
• 適用される法律や契約上の義務は何か;
• 支払いが将来のセキュリティにどのように影響するか。

攻撃者が1つのファイルの復号の証拠を送った場合でも、すべてのインフラストラクチャの復旧が保証されるわけではありません。

復号ツールをどこで探すか

時には、身代金を支払わずにファイルを復元できる場合があります。特定のランサムウェアファミリーには、無料の復号ツールが公開されています。リーチを持つ対フィッシングプロジェクト、悪名高いアンチウイルスのウェブサイト、国家サイバーセキュリティセンターの推奨から始めることができます。

復号ツールを使用する前に：

1. 暗号化されたファイルのコピーを作成する。
2. オリジナルのファイルをそのまま保存する。
3. 隔離されたマシンでツールを実行する。
4. ダウンロード元の信頼性を確認する。
5. 小規模なデータセットで復号をテストする。

すべてのランサムウェアに対する普遍的な復号ツールは存在しませんので、普遍的な復号を約束するサイトを信頼しないでください。

ランサムウェア攻撃からの復旧

復元とは、単なるファイルの復元ではありません。攻撃者が再度アクセスできないこと、そして攻撃が発生した脆弱性が修正されたことを確認する必要があります。

クリーンな環境のみで復元する

最良のアプローチは、新しいシステムを展開するか、すでにクリーンなイメージから復元することです。その後、更新をインストールし、セキュリティを設定し、パスワードを変更し、最後に確認済みのバックアップからデータを移動します。

単に悪意のあるファイルを削除し、作業を続けることはお勧めしません。現代の攻撃者グループはしばしば再侵入のためにさまざまな方法を残します：新しいアカウント、スケジューラーのタスク、ウェブシェル、ポリシー変更、アクセストークン、隠れたリモート管理ツールなど。

感染日を確認する

感染は暗号化の数日前や数週間前に始まっていた可能性があります。あまりにも新しいコピーを復元すると、すでに侵害されたシステムをネットワークに戻すリスクがあります。したがって、最初の怪しいログイン、スクリプトの実行、新しいアカウントの作成、保護の無効化、ネットワークスキャンなどの初期の兆候を探してください。

ビジネス開始前にデータをテストする

システムが稼働する前に、データベースの整合性、アクセス権、アプリケーションの機能、および設定の最新性を確認してください。重要なサービスには、隔離されたセグメントでテスト運用を行います。

有用な手順：

1. インフラサービスの復元：ドメイン、DNS、DHCP、ID確認。
2. セキュリティシステムの復元：EDR、SIEM、ログ、バックアップ。
3. ビジネスクリティカルなアプリケーションを起動する。
4. データとアクセス権を確認する。
5. ユーザーをすべて一度にではなく、グループごとに接続する。
6. 起動後にネットワークを監視する。

ランサムウェア攻撃の際に企業が行うべきこと

組織にとってランサムウェア攻撃はITだけでなく、業務、顧客、契約、個人情報、財務に影響を与えます。したがって、管理および法律の枠組みをすぐに含めることが重要です。

コミュニケーションを組織する

内部メッセージ、顧客、パートナー、請負業者とのコミュニケーションの責任者を指名します。未確認の約束をしないでください。以下の事実を伝えるのが良いでしょう：どのサービスが使用できないか、何がすでに行われたか、次回の更新はいつになるか。

従業員には以下を説明する必要があります：

• どのシステムを起動してはいけないか;
• 疑わしいファイルやメールについて誰に知らせるか;
• 個人のデバイスを使用できるか;
• どの連絡手段が公式か;
• 誰が復旧に関する決定を行うか。

データ漏洩のリスクを評価する

攻撃者がネットワークにアクセスしていた場合、情報の盗難を排除できません。外部トラフィック、アーカイブ、クラウドアップロード、プロキシログ、および特権アカウントのアクションを確認してください。個人データ、商業機密、または顧客情報が影響を受ける可能性がある場合は、法律家を招いて通知の責任を決定します。

国や業界によって異なる要件があります。したがって、一律の通知テンプレートは存在しません。しかし、組織内でインシデントを隠すことは危険です：それは正しい調査を妨げ、再度攻撃を受けるリスクを高めます。

経験がない場合は専門家に相談する

サーバー、ドメイン、バックアップ、または複数のサイトが感染した場合は、インシデントレスポンスチームを招くのがベストです。専門家は、証拠を保存し、侵入点を特定し、漏洩を評価し、安全な復旧計画を構築するのを手伝います。

家庭のユーザーが行うべきこと

ランサムウェアが個人用コンピュータを攻撃した場合、手順は簡単ですが、原則は同じです。

次のことを行います：

1. コンピュータをインターネットおよび家庭のネットワークから切断します。
2. 写真やアーカイブの外部ドライブを接続しないでください。
3. 脅迫者のメッセージを写真に撮ります。
4. 専門家が要求する場合に備えて、いくつかの暗号化されたファイルとメモを別のメディアにコピーします。
5. 家の中の他のデバイスをチェックします。
6. 清浄なデバイスからメール、銀行、クラウドサービス、およびソーシャルメディアのパスワードを変更します。
7. クラウドストレージとファイルのバージョン履歴を確認します。
8. お使いのランサムウェアの種類に無料復号ツールが存在するか確認します。
9. システムを再インストールするか、コンピュータの状態に良くないならサービスを利用します。

クラウドで暗号化されたファイルが同期されている場合、フォルダーを削除する前に急がないでください。多くのサービスは、以前のバージョンを復元したり、ディレクトリの状態を元に戻したりすることを許可しています。

再攻撃を防ぐには

復元後は、インシデントの原因を閉じる必要があります。そうしなければ、同じ資格情報や脆弱性を通じて攻撃が再発する可能性があります。

信頼できるバックアップを設定する

良いバックアップ戦略は、複数の独立したコピーの原則に基づきます。実用的な目安は、データを少なくとも異なる場所に保存し、作業ネットワークから迅速に変更できないコピーを持つことです。

確認すべきこと：

• バックアップの頻度;
• 自動テスト復旧;
• バックアップ用の別のアカウント;
• 削除・上書きからの保護;
• オフラインまたはimmutableコピー;
• 重要システムの復旧に関する文書。

一度もテストされていないバックアップは信頼できるとは見なされません。

アクセスとアカウントを強化する

損害の大部分は特権権限から生じるため、管理者のアクセスを制限し、MFAを使用し、未使用のアカウントを無効にし、管理者グループを定期的に確認します。

特にRDPとVPNには注意してください。RDPをインターネット上で開いたままにしないでください。リモートアクセスにはVPN、MFA、IP制限、およびログインの監視を使用してください。

ネットワークを更新およびセグメント化する

アップデートは知られた脆弱性を閉じ、セグメンテーションはランサムウェアがすべてのシステムに迅速に到達するのを防ぎます。ユーザーコンピュータ、サーバー、バックアップ、製造システム、および管理業務を分割します。

また有用なのは：

• EDRまたは質の高いアンチウイルス保護;
• ログの集中管理;
• メールおよび添付ファイルのフィルタリング;
• インターネットからのマクロ禁止;
• スクリプトの実行の制御;
• 最小権限の原則;
• 従業員に対するフィッシング教育;
• インシデントレスポンス計画。

ランサムウェア攻撃に関するよくある質問

ランサムウェアが発動している間にコンピュータを切ってもいいですか

暗号化が活動的に進行している場合、ネットワークからの隔離が最も重要です。完全なシャットダウンは、時にはプロセスを停止するのに役立ちますが、調査に必要なメモリ内のデータを破壊する可能性もあります。企業では、まずネットワークを切断し、専門家を呼ぶことがベストです。自宅の場合、プロセスが明らかにファイルを暗号化し、助けがない場合、シャットダウンは損害を止めるための合理的な手段かもしれません。

ウイルスをすぐに削除する必要がありますか

急がないでください。まず証拠やファイルのサンプルを保存します。その後、マルウェアを削除するか、システムを再インストールします。すべてを即座に削除すると、攻撃がどのように発生したか、どのデータが被害を受けたかを理解するのが難しくなります。

バックアップなしでファイルを復元できますか

時には、特定のランサムウェアファミリーに復号ツールがある場合、またはデータがシャドウコピー、クラウドバージョン、メールの添付ファイル、他のデバイスに保存されている場合、復元できる可能性があります。しかし、保証はありません。したがって、バックアップが主な保護手段であるということです。

感染後にアンチウイルスは役立ちますか

アンチウイルスは一部の悪意あるプロセスを停止させたり、マルウェアの残骸を見つけたりすることができますが、必ずしもファイルを復号できるわけではなく、調査に代わるものでもありません。攻撃後は、侵入点を理解し、コンプロマイズされた資格情報を変更し、クリーンなソースからシステムを復元することが重要です。

1Cサーバーやデータベースが暗号化された場合、どうすればよいですか

まず、サーバーを隔離し、ユーザーのアクセスを停止します。その後、暗号化されたデータベースのコピーとログ、バックアップを保存します。データベースは必ずクリーンな環境で復元し、データの整合性を確認してください。サーバーがドメインに参加していた場合は、アカウント、ネットワークフォルダー、隣接するサーバーも確認してください。

データが盗まれたかどうかを判断するにはどうすればよいですか

外向きのトラフィックのログ、アカウントの行動、ファイルのアーカイブ、クラウドサービスへの接続、攻撃者のツールを分析する必要があります。明確な証拠がないからといって、情報漏洩がないとは限りません。データが敏感な場合、完全な調査を実施する方が良いでしょう。

攻撃後にどこに連絡すればよいですか

企業は、インシデントレスポンスの専門家、法律家、サイバー保険がある場合は保険会社、必要に応じて法執行機関に相談すべきです。家庭のユーザーは信頼できるサービスセンターに相談し、信頼されたリソースで復号ツールを探すといいでしょう。

最終的な行動計画

ランサムウェア攻撃の際に最も重要なのは、パニックに陥らず支払いをせず、目の前の復旧を行わないことです。まず感染したデバイスを隔離し、証拠を保存し、バックアップを保護し、インシデントのスケールを特定します。その後、クリーンな環境にのみデータを復元し、コンプロマイズされたアクセスを変更し、侵入点を閉じます。今すぐ隔離を始め、攻撃の兆候を記録し、サーバー、バックアップ、または重要なデータに被害があった場合は専門家に相談してください。