暗号化されたデータを復元する方法：実践ガイド

暗号化されたデータを復元する方法は、ランサムウェアの攻撃、ディスクの故障、パスワードの喪失、または暗号化されたアーカイブの操作中のエラー後に浮上する質問です。重要なルールは急がず、メディアを上書きせず、状況を分析することなく身代金を支払わないことです。この記事では、どのような復元シナリオが可能なのか、最初の数分間に何をすべきか、バックアップの確認方法、キーを探す場所、および専門家に相談するべきタイミングについて説明します。

暗号化されたデータを復元するとはどういうことか

暗号化されたデータとは、暗号アルゴリズムによって内容が変換されたファイル、ディスク、アーカイブ、またはデータベースを指します。正しいキー、パスワード、または作業手順がないと、このようなデータはランダムなバイトの集合のように見えます。

したがって、復元はさまざまなタスクを意味する可能性があります：

• ランサムウェアによって暗号化されたファイルへのアクセスを戻すこと；
• 暗号化されたコンテナのパスワードまたはキーを復元すること；
• バックアップからデータを取得すること；
• 壊れた暗号化ディスクを復元すること；
• パスワードが分かっている場合は古いアーカイブからファイルを取り出すこと；
• クラウドまたはパスワードマネージャーへのアクセスを復元すること。

重要なのは、制約を理解することです：現代の暗号化は、正しく実装されている場合、合理的な時間内に単純にハッキングすることはできません。もしキーが永久に失われ、バックアップがない場合、復元は不可能な場合があります。しかし、実際には、しばしば足跡が残ります：シャドウコピー、バックアップ、同期、保存されたキー、古いファイルのバージョン、操作ログ、または既知のウイルスファミリーのための復号化ツールがあります。

問題を発見した後の最初の行動

ファイルが突然奇妙な拡張子を持ち始めたり、開けなくなったり、画面に身代金の要求が表示された場合は、慎重に行動してください。不適切な行動は、復元の最後のチャンスを台無しにする可能性があります。

最初の30分間のステップバイステップ計画

1. デバイスをネットワークから切り離す。 イーサネットケーブルを引き抜き、Wi-FiとBluetoothをオフにします。これにより、ランサムウェアがネットワークフォルダや他のデバイスに広がるリスクが低減します。
2. 暗号化が進行中の際に、コンピュータを突然オフにしないでください。 まずネットワークを切り離します。その後、状況を評価します。場合によっては、専門家にとって有用なメモリとアクティブなプロセスがあります。
3. 暗号化されたファイルや身代金を要求するメモを削除しないでください。 それらには、犠牲者のID、アドレス、ファイルの拡張子、およびマルウェアのバリエーションが含まれている可能性があります。
4. 旧システム上に新たにインストールしないでください。 再インストールすると、シャドウコピー、ログ、および一時ファイルが消去される可能性があります。
5. メディアまたは重要なフォルダのコピーを作成する。 コピーで作業し、元のものは変更せずに保存します。
6. インシデントの証拠を記録する。 日付、時間、ファイルの拡張子、メモのテキスト、疑わしいプロセスの名前、最後のユーザーの行動を記録してください。
7. 他のデバイスとネットワークストレージを確認する。 暗号化がNASや共有フォルダに達している場合は、ネットワークから切り離します。

この順序は、証拠を保持し、データの状態を悪化させないのに役立ちます。

暗号化の原因を特定する

復元の方法は原因によって異なります。復号化ツールを探す前に、何が起こったのかを理解する必要があります。

ランサムウェア

これは最も一般的なシナリオです。マルウェアは文書、写真、データベース、およびアーカイブを暗号化し、その後キーのための支払いを要求します。兆候は次のとおりです：

• ファイルに新しい拡張子が付いた；
• フォルダに支払い指示ファイルが含まれている；
• 一部のプログラムが起動しなくなった；
• アンチウイルスがランサムウェアまたは疑わしいプロセスを検出した；
• ネットワークフォルダと外部ディスクが暗号化された。

この場合、まず広がりを停止し、マルウェアファミリーを特定し、無料の復号化ツールの有無を確認する必要があります。

忘れたパスワードまたは失われたキー

時には、データが合法的なツール（BitLocker、VeraCrypt、FileVault、7-Zip、WinRAR、企業のDLPシステム、またはスマートフォンの内蔵暗号化）によって暗号化されていることがあります。問題は、パスワードを忘れた、TPMが変更された、リカバリーキーが削除された、またはアカウントが利用できないときに発生します。

ここでは、アンチウイルス行動ではなく、キーの検索、アカウントの確認、古い記録、パスワードマネージャー、企業ストレージのチェックが重要です。

メディアまたはファイルシステムの障害

暗号化されたディスクは物理的に損傷している可能性があります。この場合、パスワードは知られているが、コンテナが開かないことがあります。原因は、損傷したセクター、コントローラの障害、更新エラー、または突然の電源オフです。

物理的な損傷の兆候がある場合は、大規模なスキャンを実行せず、ディスクを何度もマウントしようとしないでください。まずは可能な場合はセクターごとのイメージを作成し、データ復旧ラボに相談してください。

同期またはクラウドサービスのエラー

ファイルがあるデバイスで暗号化され、その後クラウドと同期された可能性があります。しかし、多くのサービスには、バージョン履歴とごみ箱があります。これが迅速なロールバックの手段となることがあります。

確認してください：

• ファイルのバージョン履歴；
• クラウドのごみ箱；
• アカウントにおける削除されたデバイス；
• 最後の同期日；
• 疑わしいログインの有無。

暗号化されたファイルを復元する際に避けるべきこと

いくつかのアクションは論理的に思えるかもしれませんが、復元を妨げる可能性があります。

しないべきこと：

• コピーを作成する前にディスクをフォーマットする；
• フォーラムからランダムな復号化ツールを実行する；
• コンサルテーションとリスク評価なしに身代金を支払う；
• 疑わしいサイトから未知のファイルをダウンロードする；
• 犯罪者からのメモに従ってコマンドを実行する；
• 一時ファイルや復元ポイントをクリアする；
• 感染したコンピュータを通常通り使用し続ける；
• データがある同じディスクに復元ソフトウェアをインストールする。

特に偽の復号化ツールは危険です。それらは追加的にパスワードを盗んだり、マイナーをインストールしたり、ファイルを再暗号化する可能性があります。信頼できるソースからのみ使用してください：アンチウイルスの開発者のウェブサイト、ランサムウェアに対するプロジェクト、サプライヤーの公式文書。

ランサムウェア後に暗号化データを復元する方法

以下は、安全なアクションのシーケンスです。成功を保証するものではありませんが、すべての実行可能なオプションを活用するのに役立ちます。

ステップ1. 感染したシステムを隔離する

ネットワークと外部ストレージを切り離します。コンピュータがオフィスにある場合は、管理者に知らせてください。企業環境では、アカウントをすぐにブロックし、共有フォルダを確認し、危険にさらされたマシンを切り離すことが重要です。

もしランサムウェアがまだ動作している場合、プロセスを終了する必要がありますが、慎重に行ってください。家庭用ユーザーの場合、通常はネットワークを切り離し、インジケーターを記録した後にコンピューターをオフにするのが安全です。ビジネスの場合、インシデント対応の専門家が到着するまでシステムの状態を保持するほうが良いでしょう。

ステップ2. データのコピーを作成する

暗号化されたファイル、身代金のメモ、いくつかの未暗号化のオリジナルをコピーします（それらがある場合）。コピーは別のディスクに保持します。可能であれば、メディア全体のイメージを作成します。

作業はコピーで行う必要があります。これは重要です。なぜなら、いくつかの復号化ツールは、ランサムウェアのファミリーの誤った選択や不完全なキーによってファイルを損傷する可能性があるからです。

ステップ3. ランサムウェアのタイプを特定する

同定するために必要なのは：

• 暗号化されたファイルの拡張子；
• メモのテキスト；
• 身代金の要求からのメールアドレスやサイト；
• 暗号化されたファイルの例；
• 同じバージョンの元の未暗号化ファイルがあれば。

情報は信頼できるリソースでのみ確認してください。多くのアンチウイルス会社は、既知のランサムウェアのデータベースと無料の復号化ユーティリティを公開しています。復号化ツールが存在する場合は、指示を注意深く読み、最初にコピーで試してください。

ステップ4. バックアップを確認する

バックアップは、ランサムウェア後の最も信頼できる復元経路です。しかし、これを確認する必要もあります。時には、ランサムウェアがローカルバックアップを削除したり、接続されたUSBディスクを暗号化したりします。

確認してください：

• 攻撃中に接続されていなかった外部ディスク；
• スナップショットを持っているNAS；
• クラウドコピー；
• OneDrive、Google Drive、Dropboxなどのサービスにおけるバージョン履歴；
• Windows、macOS、Linuxのバックアップ；
• 企業のバックアップシステム；
• 古いプロジェクトアーカイブ。

感染したシステムにバックアップディスクを接続しないでください。最初にコンピュータをクリーンにするか、安全な環境を使用してください。

ステップ5. シャドウコピーと以前のバージョンを探す

Windowsでは、一部のランサムウェアがシャドウコピーを削除しますが、すべてがこれを成功させるわけではありません。以前のファイルおよびフォルダのバージョンを確認してください。また、復元ポイントが有効化されている場合は、それを調査することもできます。

macOSではTime Machineをチェックしてください。Linuxでは、以前に使用されたBtrfs、ZFS、LVMのスナップショットまたはバックアップツールに注意してください。

シャドウコピーが存在する場合、最初にいくつかのテストファイルを復元してください。その後、システムがすでにマルウェアからクリーンであることを確認します。

ステップ6. クラウドのバージョン履歴を確認する

ファイルがクラウドと同期されていた場合、バージョンのロールバックが、ローカルコピーが暗号化されている時であっても助けになることがあります。多くのクラウドサービスは、特定の日以前の状態でファイルを復元できます。

次のように操作します：

1. クリーンなデバイスからクラウドにログインします。
2. パスワードを変更し、二要素認証を有効にします。
3. ログイン履歴と接続されたアプリケーションを確認します。
4. 暗号化されたファイルが生じたフォルダを見つけます。
5. 前のバージョンの復元またはバルクロールバックを使用します（サービスがそれに対応している場合）。
6. 復元されたデータを安全なメディアにダウンロードします。

ステップ7. 無料の復号化ツールを利用する（利用可能な場合）

無料の復号化ツールは、特定のランサムウェアファミリーのみに存在します。それらは、研究者が暗号化の実装におけるバグを見つけたり、法執行機関からキーを取得したり、犯罪者のインフラを分析したりすることで出現します。

実行する前に：

• 復号化ツールがあなたのバリエーションのためのものであることを確認します；
• ツールを公式サイトからダウンロードします；
• 暗号化されたファイルのコピーを作成します；
• 元のファイルに関する要件を確認します；
• 小さなフォルダでテストします。

復号化ツールが動作しなかった場合、似たようなユーティリティを連続して実行しないでください。これはファイルの構造を損傷し、分析を複雑にする可能性があります。

ステップ8. システムをクリーンにし、データを復元する

復元のソースが確認されたら、マルウェアを削除する必要があります。信頼できる選択肢は、確認されたメディアからシステムを完全に再インストールし、アップデートをインストールすることです。その後、クリーンなバックアップからデータを戻すことができます。

ビジネスについては、追加で以下を確認してください：

• ドメインアカウント；
• RDP、VPN、リモートアクセス；
• ログイン履歴；
• メールの添付ファイル；
• ネットワークフォルダの権限；
• 他の感染したノードの有無。

原因を除去せずにファイルを復元すると、再暗号化される可能性があります。

忘れたパスワードやキーでアクセスを復元する方法

データがあなたや組織によって暗号化されている場合、合法的なキーを探すことから始めてください。これは、ブルートフォース攻撃よりも安全で効率的です。

パスワードマネージャーと記録を確認する

パスワードを探してください：

• パスワードマネージャー内；
• ブラウザのストレージ；
• 電話のメモ；
• 紙の記録；
• 古いメール；
• 企業のナレッジベース；
• ヒントファイル；
• ユーザープロファイルのバックアップ。

また、アーカイブやコンテナを作成した期間中に使用したテンプレートを思い出してください：言語、キーボードレイアウト、日付、特殊文字、古いパスワードのバリエーション。

BitLockerのリカバリーキーを見つける

BitLockerのリカバリーキーは、次のいずれかの場所に保存されていることがあります：

• Microsoftアカウント内；
• 職場のデバイス用のAzure ADまたはEntra ID；
• Active Directory；
• 印刷物として；
• USBドライブのファイルに；
• システム管理者に；
• 設定時に暗号化が有効になったデバイスのドキュメント内。

BIOS、TPM、またはブートオーダーが変更された後にシステムがキーを要求する場合は、まず以前の設定に戻してください。時には、手動で復号化することなく問題を解決します。

FileVaultのキーとApple IDを確認する

Macでは、FileVaultのキーがApple IDに関連付けられているか、リカバリーキーとして保存されている可能性があります。信頼できるデバイス、Apple IDの設定、企業のMDMプロファイル、および暗号化を有効にしたときに作成されたドキュメントを確認してください。

ユーザーパスワードが知られているが、ディスクが開かない場合は、リカバリーモードで起動し、macOSの標準ツールを試みてください。ハードウェアの故障の兆候があれば、最初にディスクのイメージを作成してください。

パスワードのブルートフォース攻撃の可能性を評価する

ブルートフォース攻撃は、弱いまたは部分的に知られたパスワードがある場合にのみ可能です。例えば、パスワードの基本は覚えているが、年や記号を忘れてしまった場合です。長いランダムなフレーズに対しては、ブルートフォース攻撃はほとんど効果がありません。

合法的なブルートフォース攻撃は、自分のデータまたは所有者の公式の許可がある場合にのみ許可されます。機密アーカイブをアップロードする必要がある疑わしいオンラインサービスは使用しないでください。ローカルでファイルのコピーを使って作業するのが最善です。

損傷したメディアからの暗号化されたデータの復元

ディスクがカチカチと音を立てる、システムから消える、非常に遅く動作する、または読み取りエラーを示す場合、主な課題はメディアを壊さないことです。

物理的故障の兆候

次のような症状が見られた場合は、専門家に相談してください：

• ハードディスクからの異音；
• 焦げた匂いや過熱の兆候；
• ディスクが数回の試行でしか認識されない；
• 読み取り速度がゼロにまで低下する；
• SMARTが重大なエラーを示す；
• ストレージが水に浸されたか、落下した；
• SSDが突然利用できなくなる。

暗号化されたディスクにおいて、物理的なエラーは特に危険です。コンテナのヘッダー、メタデータ、またはサービス領域のわずかな損傷でも、全体へのアクセスをブロックする可能性があります。

なぜ最初にイメージが必要なのか

ディスクイメージは、セクタごとのコピーです。それによって、オリジナルメディアに負担をかけることなく、何度も作業できます。損傷したディスクには、不良セクターをスキップして後で戻る機能を持つツールが使用されます。

パスワードが知られている場合、通常のシーケンスは次のとおりです：

1. メディアの最大限の完全なイメージを作成する。
2. 元のものを他の実験なしで保持する。
3. ヘッダーやコンテナの整合性を確認する。
4. コピーをマウントしてみる。
5. 復号化されたイメージ内のファイルシステムを復元する。

もしパスワードが知られておらず、メディアが損傷している場合、問題は大幅に複雑になります。この場合は、実験しない方が良いでしょう。

復元方法の比較

以下は、状況に応じて適切な方法を選択するのに役立つ簡潔な表です。

状況	最良の最初のステップ	成功の可能性	リスク
クリーンなバックアップがある	システムをクリーンにしバックアップを復元する	高い	低い
知っているランサムウェア	公式の復号化ツールを見つける	中くらい	コピーで作業する場合は低い
知らないランサムウェア	特定と専門家に相談する	ファミリーによる	中くらい
アーカイブのパスワードを忘れた	ヒントを検索し、マスクに沿ってローカルブルートフォース攻撃を行う	低いまたは中くらい	低い
BitLockerキーが失われた	Microsoftアカウント、AD、またはEntra IDを確認する	中くらい	低い
ディスクが損傷している	イメージを作成するか、ラボに連絡する	損傷に依存	自分での試みの場合は高い
ファイルが暗号化されクラウドに同期されている	バージョン履歴のロールバック	中くらいまたは高い	低い

身代金を支払うべきか

犯罪者への支払いは、復元を保証しません。たとえキーが送られても、復号化ツールは遅く動作したり、一部のファイルを損傷したり、あなたのバリエーションには適さない可能性があります。また、支払いは犯罪のスキームを支え、企業の内部規則や規制要件に違反する可能性があります。

どんな決定をする前に評価してください：

• バックアップがあるか；
• 無料の復号化ツールが存在するか；
• 本当に重要なデータは何か；
• バックアップからの復元にどれだけの時間がかかるか；
• 法的な制約はあるか；
• クライアント、パートナー、または規制当局に通知する必要があるか；
• 暗号化前にデータが盗まれていないか。

組織にとっては、弁護士、情報セキュリティ専門家、そして経営陣を関与させることが重要です。時には、インシデントは単なるアクセスの喪失ではなく、データ漏洩とも関係しています。

成功的な復元の可能性を高める方法

たとえ状況がすでに発生したとしても、いくつかのアクションは成功の可能性を高めます。

すべてのアーティファクトを保存する

身代金要求のメモ、ファイルのサンプル、ログ、疑わしい添付ファイルのあるメール、拡張リスト、スクリーンショットを保存してください。これにより、ランサムウェアのファミリーを特定し、侵入経路を理解するのに役立ちます。

未暗号化のオリジナルを探す

オリジナルは以下にあるかもしれません：

• メールの添付ファイル；
• 電話内；
• メッセンジャーに；
• 古いラップトップに；
• 同僚のもとに；
• フラッシュドライブに；
• アプリケーションのキャッシュ内；
• ダウンロードフォルダ内；
• クラウドのごみ箱に。

時には、復号化ツールには暗号化ファイル一つとその元のバージョンが必要です。したがって、重複を削除しないでください。

復元と調査を分ける

復元の目的は、作業データを戻すことです。調査の目的は、インシデントがどのように発生したかを理解することです。これらのプロセスは関連していますが、お互いに干渉しないべきです。たとえば、クリーンコピーからサービスをすぐに復元し、感染したサーバーを分析のためにイメージとして保存することができます。

予防策：再び暗号化されたデータを失わないために

暗号化されたファイルを復元する最良の方法は、事前に策定された計画を持つことです。それは簡単で検証可能でなければなりません。

3-2-1ルールを利用する

異なる2つの種類のメディアにデータを最低3つのコピー保存し、一つは主要システムの外に置いてください。例えば：作業用コンピュータ、外部ディスク、およびバージョン履歴のあるクラウド。

ランサムウェアから保護するためには、変更できないコピーが特に役立ちます。これは、通常のアカウントから変更や削除ができないバックアップです。ビジネスでは、WORMストレージ、削除防止スナップショット、およびバックアップ用の別のアカウントが使用されます。

バックアップの作成だけでなく復元を確認する

バックアップは、復元できるときだけ価値があります。したがって、定期的なテストを実施してください：

1. いくつかの重要なファイルを選択します。
2. 別のフォルダに復元します。
3. ファイルが開いているか確認します。
4. 日付とバージョンを比較します。
5. 復元の時間を記録します。
6. 問題があった場合は指示を更新します。

このようなテストは少しの時間しかかかりませんが、事前に脆弱性を示してくれます。

アクセス権を制限する

ランサムウェアは通常、そのプロセスを開始したユーザーの権限で動作します。ユーザーがすべてのネットワークフォルダにアクセスできれば、損害は大きくなるでしょう。最小特権原則を使用してください：作業に必要なデータへのアクセスのみを許可します。

また、不必要なリモートアクセスをオフにし、RDPおよびVPNの多要素認証を保護し、システムを更新し、メールの添付ファイルをフィルタリングしてください。

リカバリーキーを別に保存する

BitLocker、FileVault、VeraCryptのキーやアーカイブのパスワードは、暗号化されたデータから別に保存する必要があります。良いオプションは、安全なパスワードマネージャーにリカバリーアクセスを保存するか、安全な金庫に印刷された緊急キット、または企業の秘密ストレージです。

リカバリーキーを同じ暗号化されたディスクのテキストファイルに保存しないでください。障害が発生したとき、それは利用できません。

暗号化データの復元に関するよくある質問

キーがなくても暗号化データを復元できますか？

時には可能ですが、強力な暗号をハッキングすることで実現されるわけではありません。本物のオプションは、バックアップ、クラウドバージョン履歴、シャドウコピー、見つかったキー、ランサムウェアのバグ、または公式の復号化ツールです。アルゴリズムが正しく実装されている限り、キーが失われ、コピーがない場合、復元は不可能です。

削除されたファイルを復元するためのプログラムは役立ちますか？

それは、元のファイルが暗号化コピー作成後に削除され、その場所がまだディスクに上書きされていない場合に役立つかもしれません。しかし、SSDでのTRIMの影響で、可能性は低くなります。重要なのはソフトウェアを別のディスクにインストールし、オリジナルではなくメディアのコピーをスキャンすることです。

ランサムウェアの後、無料でファイルを復号化できますか？

はい、特定のファミリーに対して無料の復号化ツールが存在する場合。これは、著名なアンチウイルス会社や専門プロジェクトのウェブサイトで探す必要があります。復号化ツールがない場合、無料の復元はバックアップ、シャドウコピー、またはクラウド版を通じて可能です。

電話にある写真が暗号化された場合、どうすればよいですか？

まず、インターネットを切断し、ファイルを削除しないでください。クラウドコピー（Google Photos、iCloud、OneDriveなど）を確認してください。ごみ箱や変更履歴をチェックしてください。SDカードが使用されている場合、そのイメージを作成し、そのコピーで作業してください。未知の復号化アプリをインストールしないでください。

暗号化されたディスクのフォーマット後にデータを復元できますか？

時には、フォーマットが迅速でキーが知られている場合に可能です。しかし、暗号化コンテナのヘッダーを削除したり、メタデータが上書きされると、タスクは困難になります。フォーマット後はすぐにディスクへの書き込みを停止し、イメージを作成してください。

警察に連絡すべきですか？

ランサムウェア攻撃時には、特に企業の場合、合理的なステップです。警察への通報は事件を記録し、保険、規制当局、または内部調査のために必要になることがあります。また、法執行機関は時折、知られたグループからキーを入手します。

専門家に相談するタイミング

独自のアクションは、バックアップがあり、明確なシナリオがあり、物理的な故障の兆候がない場合にまで含まれます。しかし、専門家の助けが必要になるのは次のような場合です：

• データがビジネスにとって重要である；
• サーバー、データベース、または会計が暗号化されている；
• 情報漏洩の兆候がある；
• ディスクが損傷している；
• バックアップがない；
• ランサムウェアのタイプが不明である；
• 証拠を保持する必要がある；
• 複雑なインフラストラクチャを復元する必要がある。

実行者を選ぶ際には、どういった方法でコピーに対処するのか、診断報告書を提供するのか、機密性を保持するのか、元のメディアを直ちに渡すことが要求されないかを確認してください。

簡潔な復元チェックリスト

このリストを迅速なガイドとして利用してください：

1. 感染したデバイスをネットワークから切り離す。
2. 暗号化ファイルやメモを削除しない。
3. データのコピーまたはディスクイメージを作成する。
4. 原因を特定する：ランサムウェア、忘れたキー、メディアの障害、またはクラウドの同期。
5. バックアップとバージョン履歴を確認する。
6. リカバリーキーやパスワードを探す。
7. 公的復号化ツールの有無を確認する。
8. 常にクリーンな環境で復元を行う。
9. 復元後はインシデントの原因を除去する。
10. セキュアなバックアップとキー管理を設定する。

結論

暗号化データを復元することが常に可能なわけではありませんが、正しい行動の順序を踏むことで成功の可能性を大幅に高めます。まずデバイスを隔離し、コピーを保存し、原因を特定します。その後、バックアップ、クラウド版、リカバリーキー、公式の復号化ツールを確認します。データが重要であるかメディアが損傷している場合は、実験することなく、専門家に相談し、常にコピーで作業してください。今すぐ上記のチェックリストから始めましょう — それが将来に渡るデータの復元と保護の最も安全な方法です。