ランサムウェア攻撃を受けたら： 最初の数分ですべきこと

1 · 封じ込めと診断

被害を受けたシステムを隔離したら、チームは攻撃の実際の範囲を再構成します。どのランサムウェアの亜種か、侵入口はどこか、どのアカウントが侵害されたか、攻撃者がどのくらいの期間内部にいたか。このフェーズがほかのすべてを左右します。暗号化されたシステムだけを封じ込め、攻撃者の永続的なアクセスを見逃せば、復旧の後にインシデントが再発します。Operation Storming Tide（英語）では、Matanbuchus 3.0 → Astarion → SystemBCのチェーンを暗号化の前に断ち切りました。診断が単一のホストではなく、チェーン全体を対象としていたからです。

2 · 根絶

マルウェア、バックドア、作成されたアカウント、窃取された認証情報、永続化の仕組みなど、攻撃者の痕跡をすべて取り除きます。ランサムウェアグループは初期侵入の手段を専門の初期アクセスブローカー（IAB）から購入することが多く、Nebula Broker（英語）の分析でもその実態を記録しています。根絶とは、ペイロードを削除するだけでなく、その侵入経路も閉じることです。デジタルフォレンジックは、何に触れられ何が持ち出されたかを明らかにし、報告に必要な証拠を作成します。

3 · バックアップからの復旧

復旧は根絶を確認してから始めます。攻撃者が内部に残ったまま復元すると再暗号化につながります。場当たり的な対応で最も多い誤りの一つです。業務上の重要度に応じた復旧の順番、バックアップの完全性の確認（ランサムウェアグループはバックアップを探し出し、真っ先に暗号化します）、復元直後のシステムに対する監視の強化を行います。

4 · 報告とコミュニケーション

技術的なフェーズと並行して、上記の報告を進めます。個人データの漏えい等が該当する場合は個人情報保護委員会への漏えい等報告（速報は概ね3〜5日以内）、特別社会基盤事業者であればサイバー対処能力強化法にもとづく報告（第一報は速やかに）です。あわせて、従業員と経営層への社内コミュニケーション、必要に応じてお客様や取引先への説明を行います。相手によって異なる説明をすることや、フォレンジック調査で持ち出しがなかったと確認される前に持ち出しを否定することは、法的な立場と評判の両方を悪化させます。

5 · 事後レビュー

インシデントの収束後に確認します。攻撃者はどこから侵入したのか、なぜもっと早く検知できなかったのか、どの対策が欠けていたのか。初期侵入の経路はほぼ常に特定でき、繰り返されます。認証後のセッショントークンを窃取するAiTMフィッシングキット、購入された認証情報、パッチ未適用の公開システムなどです。警察庁によると、2025年にランサムウェア被害を受けた組織へのアンケートでは、侵入経路の6割超がVPN機器でした。レビューでその経路を閉じなければ、次の攻撃も同じ入口を使います。ここで緊急対応は構造的な予防へと変わります。多くの場合、MDR（マネージド・ディテクション・アンド・レスポンス）サービスやマネージドSOCによるものです。

誰が対応すべきか：経験は代わりがききません

ランサムウェア攻撃は、どれほど優秀でも社内のIT部門だけで対応できるものではありません。実際のランサムウェアグループと対峙し、退けてきた経験のあるインシデント対応チームが必要です。その差はすべてのフェーズで具体的に表れます。亜種と攻撃者のTTPを見分けることで診断が数日から数時間に短縮され、グループが永続化を隠す場所を知っていることで不完全な根絶を避けられ、報告に必要な事実の整理を経験していることで、プレッシャーの中での手続き上の誤りを避けられます。Fortgaleのインシデント対応チームは、2017年からミラノで運用するSOCから24時間365日体制で、欧州各地で活動する攻撃者に対する記録された事例にもとづいて対応しています。攻撃者の特定を支えるため、287の脅威アクターを継続的に追跡しています。対峙する前に相手を知っていることが、危機を管理されたインシデントに変えます。

Operation Storming Tideでは、Fortgaleのチームが多段階の侵入（攻撃者Mora_001、チェーンMatanbuchus 3.0 → Astarion → SystemBC）を封じ込め、RCloneによるデータの持ち出しとランサムウェアの実行を阻止しました。