ウイルスによるデータ復旧：何をすべきか、損失を減らす方法

ウイルスによるデータ復旧は「魔法の」プログラムを探すことから始まるのではなく、攻撃を発見した直後の正しい行動から始まります。感染したデバイスを隔離し、暗号化されたファイルを保持し、ランサムウェアの種類を特定し、バックアップを確認してから復旧方法を選択する必要があります。この記事では、すぐに行うべきこと、ランサムウェアの後にファイルを戻すために実際に役立つ方法、専門家に相談する時期、再感染から保護する方法について詳しく説明します。

ウイルス暗号化ソフト、つまりランサムウェアは、暗号化を通じてデータへのアクセスをブロックし、鍵のために身代金を要求します。しかし、犯罪者に支払うのは危険です。鍵が提供される保証はなく、支払いが新たな攻撃を誘発する可能性もあります。計画に従って行動し、早急に行動を起こすことで状況を悪化させないことがはるかに安全です。

ウイルス暗号化ソフトとは何か、そしてどのようにデータを損傷させるのか

暗号化ソフトは、文書、アーカイブ、データベース、写真、プロジェクト、仮想マシンなどの貴重なファイルを見つけて暗号化する悪意のあるソフトウェアです。その後、通常は身代金の要求書が現れることになります。ファイルは新しい拡張子を持つ場合があり、たとえば、.locked、.encrypted、.crypt、.lockbitなど、マルウェアのファミリーによって異なるものです。

重要なのは、大多数の現代的な攻撃ではデータは単に「名前を変更」されるのではなく、実際に暗号化されているということです。したがって、手動で拡張子を変更してもほとんど役に立ちません。さらに、注意を怠った「治療」の試みは、分析に必要な痕跡を削除する可能性があります。

暗号化ソフトは、最もよく次のような方法でシステムに侵入します：

• フィッシングメールの添付ファイル；
• マクロ付きの感染した文書；
• ハッキングされたRDPまたはVPNのリモートアクセス；
• 古いソフトウェアの脆弱性；
• 海賊版のアクティベーターや不正なプログラムのビルド；
• 感染したウェブサイトとダウンローダ；
• 侵害された管理者アカウント。

企業環境では、攻撃がネットワーク全体に広がる可能性があります。この場合、ワークステーションだけでなく、サーバー、ネットワークフォルダ、NAS、バックアップストレージ、およびクラウド同期も影響を受けます。

暗号化ソフトに感染した際の最初の行動

最初の数分の主要な目的は、感染の拡大を止め、復旧のために最大限の情報を保存することです。必要がない限り、コンピュータを再起動せず、インターネットからの任意の復号ツールを実行しないでください。

最初の30分間のステップバイステッププラン

1. デバイスをネットワークから切断します。 ネットワークケーブルを抜き、Wi-FiとBluetoothをオフにします。感染しているのがサーバーの場合は、ローカルネットワークから隔離します。
2. 暗号化されたファイルと身代金のメモを削除しないでください。 これらは、ランサムウェアのファミリーを特定し、可能な復号ツールを準備するのに役立ちます。
3. ディスクをフォーマットしないでください。 フォーマットすると復旧が難しくなり、シャドウコピーや元のファイルの残骸が破壊される可能性があります。
4. 感染したメディアのコピーを作成します。 可能であれば、ディスクのビット単位のイメージを作成するか、少なくとも暗号化されたデータを外部ストレージにコピーしてください。
5. 攻撃の兆候を記録します。 ファイルの拡張子、メモのテキスト、アドレス、犯人のメールアドレス、暗号化開始の時間を保存してください。
6. 他のデバイスを確認します。 暗号化ソフトがそれらに到達しないように、共有フォルダ、NAS、及び外部ストレージを切断します。
7. 情報セキュリティの専門家または管理者に相談します。 特に、感染が企業内で発生した場合は重要です。

この手順に従うことで、データ損失のリスクを減らし、適切な復旧戦略を選択するのに役立ちます。

ランサムウェア攻撃後に行ってはいけないこと

感染後には簡単に間違った行動をすることができます。一部の行動は論理的に見えるかもしれませんが、実際には状況を悪化させます。

お勧めしない行動：

• 専門家と相談せずに身代金を支払う；
• 不明なサイトから「汎用復号ツール」をダウンロードする；
• 感染したディスクに新しいプログラムをインストールする；
• 証拠を保持する前にシステムのクリーンアップを実行する；
• 身代金のメモや疑わしいファイルを削除する；
• 新しいファイルのボリュームでデータを上書きする；
• 感染したシステムにバックアップディスクを接続する；
• 攻撃の原因を分析せずに古いシステムの上にサーバーを復元しようとする。

特に危険なのは、偽の復旧サービスです。これらは無料のツールに料金を請求することがありますし、データを盗んだり、再感染させたりする可能性があります。

暗号化ソフトの種類をどう特定するか

ランサムウェアのファミリーを特定することは重要なステップです。これにより、無料の復号ツールがあるかどうか、分析に必要なファイルの種類、バックアップなしでの復旧がどれほど現実的かが決まります。

注意すべきポイント：

• ファイルの新しい拡張子；
• 身代金のメモの内容；
• 犯人のメール、Telegram、Torサイト、または別の連絡先；
• デスクトップの壁紙が変更されている；
• 疑わしいプロセスの名前；
• 大量のファイル変更の日時；
• Windows、Linux、またはネットワーク機器のログに残るイベント。

初期チェックでは、有名なランサムウェアの識別サービスを利用できます。通常、これらはメモといくつかの暗号化されたファイルをアップロードするよう求めます。この際、機密文書を送信しないようにしましょう。中立的なファイルを選ぶ方が良いです。

復号ツールの探し方

チェックするための安全なソース：

• No More Ransomプロジェクト；
• 大手アンチウイルス研究所のウェブサイト；
• 情報セキュリティプロバイダーの公式復号ツールデータベース；
• 国家的コンピュータインシデント対応センターの推奨；
• データ復旧の専門家による相談。

復号ツールが見つかった場合は、最初にファイルのコピーでテストし、唯一の例に対して使用しないようにしてください。これにより、さらなるデータ損傷を防ぐことができます。

ウイルスによるデータ復旧の方法

すべての人に合う単一の方法は存在しません。選択は、暗号化ソフトの種類、バックアップの有無、ディスクの状態、オペレーティングシステムのバージョン、暗号化後に元のファイルが削除されたかどうかによって異なります。

主な復旧方法の比較

方法	適している場合	利点	限界
バックアップからの復元	攻撃前にクリーンなバックアップがある場合	最も信頼性の高い方法	コピーが感染していないことを確認する必要がある
公式の復号ツール	ランサムウェアのファミリーが既に研究されている場合	身代金なしでファイルを戻せることがある	すべての暗号化ソフトに対応しているわけではない
Windowsのシャドウコピー	シャドウコピーが削除されていない場合	特定のファイルやフォルダの迅速な復元が可能	多くのランサムウェアがコピーを削除する
ファイル履歴および復元ポイント	機能が事前に有効化されていた場合	家庭用PCには便利	すべてのデータタイプが常に保存されるわけではない
削除されたオリジナルの復元	暗号化ソフトがコピーを作成し、オリジナルを削除した場合	時には部分的に助ける	ディスクの上書きが最小限必要
クラウド版ファイル	Google Drive、一部のOneDrive、Dropboxなどが利用された場合	変更を元に戻せる	料金プランやバージョンの保存期間に依存する
プロのラボ	データが重要で、状況が複雑な場合	深い分析と安全なメディア作業	時間と予算が必要

これらの選択肢について詳述します。

バックアップからの復元

最新のバックアップがある場合、これが最善のシナリオです。しかし、復元の前に、バックアップが感染前に作成されており、悪意のあるファイルが含まれていないことを確認することが重要です。

正しい行動の順序：

1. 感染したシステムをクリーニングまたは再インストールします。
2. 攻撃が発生した脆弱性を閉じます。
3. ウイルス対策ソフトウェアやEDRツールがあればバックアップを確認します。
4. アイソレートされた環境にデータを復元します。
5. 文書、データベース、およびアプリケーションの整合性を確認します。
6. その後、システムを運用ネットワークに戻します。

ビジネスの場合、サーバーを古い侵害されたインフラに復元しないことが特に重要です。犯罪者がアクセスを保持している場合、再度暗号化が発生するリスクがあります。

安全なバックアップとは何か

最も堅牢なオプションは3-2-1のルールです：

• データの3つのコピー；
• 2種類の異なるメディアまたはストレージ；
• 1つのコピーを主要なネットワーク外または不変のストレージに持っている。

オフラインバックアップ、WORMストレージ、immutable snapshots、バックアップシステム用の別々のアカウント、定期的な復旧テストが特に役立ちます。コピーを作成するだけでなく、実際に復元できることを確認することも重要です。

ランサムウェアの復号ツール

時折、専門家は暗号化の実装に誤りを見つけたり、グループの逮捕後に鍵を入手したり、無料のツールを公開したりします。その場合、身代金なしで復旧が可能です。

ただし、復号ツールは特定のファミリーやバージョンに対してのみ動作します。もしツールが特定のランサムウェアのバリエーション向けに設計されている場合、他のファイルは復号できません。最悪の事態では、誤って使用するとコピーが破損する可能性があります。

復号ツールを実行する前に：

• 暗号化されたデータのコピーを作成します；
• 製造者の指示を読んでください；
• デジタル署名またはダウンロードソースを確認してください；
• テスト用フォルダーを使用してください；
• 結果のレポートを保存します。

もし復号ツールが不明なウェブサイトにプライベートな文書をアップロードするよう求めるなら、止まったほうが良いでしょう。安全なツールは通常、有名な組織によって公開され、明確な文書が添付されています。

シャドウコピー、ファイル版、復元ポイント

Windowsでは、シャドウコピー、ファイル履歴、および以前のバージョンが役立つことがあります。これにより、ファイルまたはフォルダーを暗号化前の状態に戻すことができます。ただし、多くの現代の暗号化ソフトは、vssadmin delete shadowsなどのコマンドでシャドウコピーを削除しようとします。

以前のバージョンを確認するには：

1. フォルダーまたはファイルのプロパティを開きます。
2. 「以前のバージョン」タブに移動します。
3. 攻撃前の日付を選択します。
4. 安全な場所にデータをコピーします。
5. 結果を確認します。

標準のインターフェースが何も表示しない場合、時にはシャドウコピーを表示するための専門的なツールが役立つことがありますが、これらは別のクリーンなコンピュータにインストールするか、ディスクのイメージで作業する必要があります。

macOSでは、Time Machineが同様の役割を果たします。Linuxでは、Btrfs、ZFS、LVMのスナップショットや、rsync、Borg、Resticなどのバックアップシステムがあります。要するに：暗号化の前のスナップショットが必要です。

削除されたオリジナルファイルの復元

一部の暗号化ソフトは、ファイルの暗号化されたコピーを作成し、オリジナルを削除します。このような場合には、オリジナルを削除されたファイルとして復元を試みることができます。成功の可能性は、対応するディスクの領域が上書きされたかどうかによります。

この方法は、ユーザーの行動に非常に敏感です。攻撃後にディスクで作業をすればするほど、成功の可能性は低くなります。したがって、記録を停止し、すぐにイメージを作成することが重要です。

推奨事項：

• 感染したディスクに復元プログラムをインストールしないでください；
• 見つかったファイルを同じ記憶媒体に保存しないでください；
• まずイメージを作成し、その後コピーで作業を行ってください；
• 可能であれば、読み取り専用モードを使用してください；
• 復元されたファイルの整合性を確認してください。

この方法は、部分的な結果をもたらすことが多いです。写真、文書、アーカイブ、あるいは特定のデータベースを戻すことができますが、フォルダーの完全な構造を復元する保証はありません。

クラウドストレージと同期

ファイルがクラウドと同期されている場合、暗号化ソフトはすでに暗号化されたバージョンをそこに送信する可能性があります。しかし、多くのクラウドサービスは変更履歴を保持しています。したがって、攻撃前の状態に文書、フォルダー、または全アカウントを戻すことができます。

確認してください：

• ファイルのバージョン履歴；
• クラウドサービスのごみ箱；
• ランサムウェア後の一括復元機能；
• アクティビティログ；
• 接続されたデバイスとアプリ；
• 外部ユーザーのアクセス。

復元後は必ずパスワードを変更し、多要素認証を有効にし、知らないセッションを無効にしてください。さもなければ、犯罪者が再びアクセスする可能性があります。

専門家の助けが必要な場合

一般のユーザーは、バックアップ、シャドウコピー、および公式の復号ツールを独自に確認できます。しかし、いくつかの場合には、専門家にすぐに連絡した方が良いです。

専門的な助けが必要な場合：

• 会計データ、CRM、ERP、または医療データが暗号化されている；
• サーバー、Active Directoryドメイン、NAS、または仮想インフラが攻撃されている；
• バックアップがない；
• メディアが物理的に損傷している；
• 調査のための証拠を保存する必要がある；
• 個人データの漏洩リスクがある；
• 犯罪者がネットワークにアクセスを持っている；
• ビジネスを最小のダウンタイムで復元する必要がある。

専門家はまずメディアのコピーを作成し、マルウェアを分析し、ログをチェックし、侵入点を探し、復旧オプションを評価します。このアプローチは、ファイルを復元しようとする混沌とした試みよりも安全です。

システムがクリアであることを確認する方法

ファイルを復元するだけでは十分ではありません。暗号化ソフトが削除され、侵入経路が閉じられていることを確認する必要があります。さもなければ、攻撃は再発する可能性があります。

最小限のチェックリスト：

1. オペレーティングシステムとすべての重要なアプリケーションを更新します。
2. 不明なアカウントを削除します。
3. 特に管理者のパスワードを変更します。
4. 多要素認証を有効にします。
5. 自動起動、サービス、そしてタスクスケジューラを確認します。
6. RDP、VPN、メールゲートウェイ、そしてログインのログを分析します。
7. 信頼できるウイルス対策またはEDRでシステムをスキャンします。
8. ネットワークフォルダとバックアップストレージを確認します。
9. 最小権限の原則に従ってユーザーの権限を制限します。
10. 疑わしいアクティビティの監視を設定します。

企業にとって、インシデントの分析を行うことが有益です。それは攻撃者がどのように侵入したか、彼らが何を達成したか、再発を防ぐための対策を明確にする必要があります。

再暗号化から保護する方法

予防は復旧よりも安価です。たとえデータが戻っても、保護を見直すべきです。

バックアップ

重要データの定期的なバックアップを設定してください。主要ネットワーク外に少なくとも1つのコピーを保存してください。バックアップへのアクセスには別のアカウントを使用してください。定期的にテスト復元を行ってください。

更新と脆弱性

古いシステムやプログラムは、しばしば侵入点になります。Windows、Linux、macOS、オフィスパッケージ、ブラウザ、VPNゲートウェイ、ハイパーバイザー、ネットワークデバイスを更新してください。ビジネスにおいては、脆弱性管理のプロセスが重要です。

リモートアクセスの保護

RDPを使用している場合は、直接インターネットにオープンにしないでください。VPN、多要素認証、IP制限、強力なパスワード、ブルートフォース攻撃のブロック、およびログインのログ記録を使用してください。リモートアクセスは管理者に表示されるべきであり、「自分で生きている」べきではありません。

ユーザー権限

管理者として機能するユーザーがいると、攻撃による損害が増加します。通常のアカウントと管理アカウントを分離してください。「念のため」としてネットワークフォルダへのアクセスを与えないでください。

従業員の教育

フィッシングメールは、感染の一般的な方法であることがわかっています。従業員に送信者、添付ファイル、リンク、緊急の支払い要求をどのように確認するかを説明してください。人が疑わしいメールに気づくのが早いほど、インシデントのリスクは低くなります。

ネットワークのセグメンテーション

すべてのデバイスが互いに見える必要があるわけではありません。ワークステーション、サーバー、バックアップストレージ、カメラ、ゲストWi-Fi、および重要なシステムを分けてください。そうすれば、1台のコンピュータが感染しても、ネットワーク全体が暗号化されることはありません。

ウイルス暗号化ソフト後の復旧に関するFAQ

ウイルス暗号化ソフトの後、身代金なしでファイルを復元可能ですか？

はい、可能な場合もあります。最も現実的なオプションはクリーンなバックアップ、公式の復号ツール、シャドウコピー、クラウド版ファイル、または削除されたオリジナルの復元です。これらがなければ、成功の可能性は特定のランサムウェアによります。

データを復号するために身代金を支払う必要がありますか？

支払うのは危険です。犯罪者が鍵を送らないか、無効なツールを送るか、さらなる報酬を要求する可能性があります。加えて、支払いは攻撃の原因となった脆弱性を排除しません。

ファイルの名前を変更すればアクセスを取り戻せるのですか？

ほとんどの場合、そうではありません。新しい拡張子は通常、外見的な特徴に過ぎません。ファイルの内容は暗号化されたままです。名前を変更することで分析を妨げる可能性があるため、元の名前を保存した方が良いです。

アンチウイルスを使用してファイルを復号できますか？

アンチウイルスは、悪意のあるプログラムを削除し、さらなる感染を防ぐことができますが、通常、すでに損傷したファイルを復号することはありません。復号には適切な復号ツールまたはバックアップが必要です。

なぜディスクをすぐにフォーマットしてはいけないのですか？

フォーマットは、復元に必要に可能性のある情報の一部を破壊します：削除されたオリジナル、シャドウコピー、イベントログ、および悪意のあるソフトの痕跡。まずディスクのイメージを作成し、分析を行った方がいいでしょう。

バックアップが感染していないことをどう確認しますか？

作成日、バックアップシステムのログ、ファイルの整合性、ウイルススキャンの結果を確認してください。データを最初に隔離された環境で復元し、すぐに運用ネットワークでは復元しないことをお勧めします。

NAS上のファイルが暗号化された場合、どうすればよいですか？

NASをネットワークから切断し、データを上書きせずに、スナップショット、ゴミ箱、ファイルのバージョン、およびバックアップを確認してください。もしNASが感染したコンピュータからSMBでアクセスされていた場合も、そのコンピュータをクリーンにし、パスワードを変更する必要があります。

復旧のための簡略チェックリスト

このリストを指針として使用してください：

1. 感染したデバイスをネットワークから隔離します。
2. 暗号化されたファイルと身代金のメモを保存します。
3. ディスクまたは重要なデータのコピーを作成します。
4. ランサムウェアのファミリーを特定します。
5. 公式の復号ツールがあるか確認します。
6. バックアップ、シャドウコピー、クラウド版を確認します。
7. データをクリーンな環境でのみ復元します。
8. 感染の原因を取り除きます。
9. パスワードを変更し、MFAを有効にします。
10. 将来のために安全なバックアップを設定します。

結論

ウイルスによるデータ復旧は、冷静かつ一貫したアプローチを必要とします。まず感染の拡大を止め、証拠とコピーを保存し、その後バックアップ、復号ツール、シャドウコピー、クラウド版を確認します。身代金を支払わず、疑わしいプログラムを実行しないでください。データが重要な場合や企業のネットワークが感染している場合は、できるだけ早く専門家に相談してください。これによって復旧の可能性が高まり、再攻撃の前に脆弱性を閉じることができます。