ランサムウェアに感染したかもしれないが、まず何をすればいいか分からない

朝、事務所のパソコンを開くと、見慣れない画面が出ている。英語まじりの文章と、連絡先らしき文字列。共有フォルダを開こうとしても、ファイル名の末尾に知らない文字が付いていて、どれも開かない。何かの間違いであってほしいと思いながら、頭のどこかでは「これは、まずいやつではないか」という考えが動き出している。何から手をつければいいのか——この辞典が扱うのは、その場面である。

• 画面に、金銭を要求する文面が出ている。英語のこともあれば、日本語のこともある。
• ファイルが開かない。名前の末尾が、見たことのないものに変わっている。
• 一台だけかと思ったら、共有フォルダの中身も同じ状態になっていた。
• とっさに、そのパソコンの電源ボタンを長押しして落とした。
• バックアップは取っているが、その保存先も同じネットワークにつながったままだった。
• 誰にどの順で連絡すればいいのか、社内で決まっていない。取引先に何と言うのかも決まっていない。

起きた後に落ち着いて動ける会社は、多くない。ただ、この場面でやるべきことの順序そのものは、すでに公の形で示されている。慌てて考え出すものではなく、参照できるものになっている。

この場面で、たいていの会社が取る手は決まっている。

まず電源を落とす。次に、一刻も早く元の状態に戻す。それから、身代金を払えば本当に戻るのかを考える。業務が止まっている以上、動く状態に戻すことへ手が向かう。

だが、この三つの動きは、いずれも同じ方向に働いている。「早く元に戻すこと」を急ぐほど、「どこから入られたか」を確かめるための材料が、その手で消えていく。

情報処理推進機構（IPA）が中小企業向けに出しているインシデント対応の手引きには、初動でやることが具体的に書かれている。被害が広がる可能性がある場合は、ネットワークの遮断、機器の隔離、システムやサービスの停止を行う——ここまでは、多くの人の感覚と一致する。

だが、そこに一文が続く。対象機器の電源を切る等、不用意な操作で、システム上に残された記録を消さないようにする、と書かれている。

線を抜くことと、電源を切ることは、どちらも「止める」に見える。だが結果が違う。ネットワークから切り離せば、他の機械への広がりは止まる。一方、電源を落とすと、その機械の中に残っていた動作の記録の一部が失われる。止めるために抜くのが線で、切ってはいけないのが電源——この区別が、最初の分かれ目になる。

なぜ記録が要るのか。ここが、この困りごとの核心につながる。

暗号化されたデータをバックアップから戻せたとする。業務は動き出す。だがそのとき、攻撃した側がどこから入ってきたのかが分からないままなら、入り口は開いたままだ。動くようになることと、入られなくなることは、別のことである。記録は、その入り口をたどるための、ほとんど唯一の手がかりになる。急いで電源を落とし、急いで作り直すという一連の動きは、業務を戻しながら、同時にその手がかりを消していく作業でもある。

バックアップについても、同じ手引きに一つの注意が書かれている。バックアップの装置や媒体をパソコンに常時つないでいる場合、そのバックアップも一緒に暗号化されていることがある、という点だ。だから復旧の入口で「戻せるはずのものが戻せない」という事態が起きる。つないだままの保存先は、本体と運命を共にする。

そして身代金について。JPCERTコーディネーションセンターは、公開している資料の中で、支払いを選択するべきではないと考える、という立場を示している。理由として挙げられているのは三つ——暗号化されたファイルが復元される保証がないこと、被害の原因や他の侵害は解決されないまま残ること、支払った後に別の攻撃や再度の要求を受けるおそれがあること。払えば終わる話ではない、という整理である。

つまり、この困りごとの本当の問題は「データが戻らないこと」ではない。戻したあとに、同じ道からもう一度入られることにある。

やることを、三つの段階に分けて考える。順番を入れ替えないことが、この場面では効いてくる。

一つ目、広がりを止める。ネットワークから切り離す。無線も切る。共有フォルダにつながっている他の機械も、順に外していく。電源は切らない。

二つ目、残して、知らせる。何がいつ起きて、どの機械で、何が見えたのか。誰が何をしたのか。これを書き留める。前掲の手引きには、整理しておくべき事項として、発覚した日時、発生した事象、対応の経過、想定される原因、被害を受けたシステムの状況といった項目が並べてある。これは、後から専門の相手に渡すときの材料であり、届け出るときの材料でもある。ウイルスや不正アクセスは同機構の届出窓口へ、犯罪に当たる場合は警察へ、個人の情報が漏れた場合は個人情報保護委員会へ——という届け先も、同じ手引きに一覧で示されている。報告が必要になる場合には期限が決められているものもあるため、後回しにせず、早い段階で確かめる部分になる。

三つ目、原因に手を当ててから、戻す。ここが逆になりやすい。戻してから原因を探すのではなく、入り口を塞いでから戻す。

この順序を守るために必要なのは、技術ではなく、記録である。二つ目をやったかどうかで、三つ目にかけられる時間と精度が変わる。

止めた後、どう進めるか。会社の置かれ方によって、取れる道は変わる。

A案：止めた直後の「記録」と「報告の文面」を、AIに整えさせる

止めた直後、社内はいちばん混乱している。電話が鳴り、現場から報告が上がり、経営者は取引先への説明を考えている。この状態で、時系列の記録を整った形で残せる人は、まずいない。ところが後から効いてくるのは、その記録である。ここをAIに肩代わりさせる、という道がある。

やり方は難しくない。感染した機械は切り離しているので、別のパソコンやスマートフォンから、思い出した順のまま、箇条書きで打ち込んでいく。「今朝8時40分、経理のパソコンに英語の画面。8時50分、共有フォルダのファイルが開かないと報告。9時10分、LANケーブルを抜いた」——順序も文体もばらばらでいい。そのうえで、こう頼む。

• 「これを、発覚日時・発生事象・対応経過・被害を受けた機器という項目に整理し直してほしい」
• 「この時点で分かっていることと、まだ分かっていないことを分けて並べてほしい」
• 「外部に調査を依頼するとき、先方に伝えるべき事項を、この記録から抜き出してほしい」
• 「取引先へ第一報として出す文面の下書きを作ってほしい。分かっていないことは、分かっていないと書く形で」

つまり、混乱の中で人がいちばんできない「整えて書き出す」部分だけを外に出し、何が起きたかを見た人の記憶が新しいうちに形にする、という考え方だ。専門の相手に渡すときも、届け出るときも、取引先に説明するときも、材料は同じ一つの記録になる。

• 向く場面：社内にITの専門家がおらず、何を記録すべきかの見当がつかない会社。同時に複数の相手（取引先・専門業者・届出先）へ説明する必要が出ている会社。
• 割に合わないこと：AIは、原因の特定も、復旧も、被害範囲の判定もできない。できるのは、人が見聞きしたことを整った形に直すところまでで、調査そのものは別の手段が要る。また、渡すのは事実の経過であって、顧客の名前や具体的な個人情報そのものを入れる必要はない（件数や種類で足りる）。文面の下書きも、そのまま出すのではなく、経営者が読んで直したものを出すことになる。
• 始める前に要ること：感染した機械とは別に、使える端末が一つあること。そして、気づいた人が見たものを、思い出せるうちに書き留めておくこと。

※AIにはいろいろな種類・サービスがある。ここでは「特定の製品を入れる」話ではなく、「記録と文面を整える部分をAIに任せ、判断と調査は別に立てる」という考え方を指している。どれが合うかは、会社の状況によって変わる。

B案：調査と復旧を、外部の専門の相手に任せる

どこから入られたか、どこまで及んでいるかを調べる作業は、機器の記録を読み解く専門の領分になる。手引き自身も、自社で対応が難しい場合は、機器のメーカー、保守を担っている事業者、公的な相談窓口などに支援や助言を依頼する、という進め方を示している。

• 向く場面：業務の停止が長引くと事業に直結する会社。顧客の情報を預かっていて、範囲を確定させる必要がある会社。
• 割に合わないこと：費用がかかる。緊急対応を担う事業者の一覧は公にも出ているが、有償と明記されている。加えて、渡す材料（いつ・何が・どの機械で）が社内に無いと、調べる範囲が広がって時間も費用も膨らむ。
• 始める前に要ること：切り離した機械を、そのままの状態で保っておくこと。触るほど、調べられることが減る。

C案：戻すのをあきらめて、作り直す

復号の手立ても、バックアップからの復元も駄目だった場合、感染した機器やデータの復旧を断念し、再構築する——という進み方が、手引きにも書かれている。現実の選択肢として存在する。

• 向く場面：暗号化された範囲が限られている、あるいは業務の中核データが別の場所に残っている会社。
• 割に合わないこと：過去のデータは戻らない。設定や連携の情報も一緒に失われるため、作り直しの手間は「新しく入れる」より重くなることが多い。
• 始める前に要ること：何が失われて何が残っているかの線引き。それが分からないまま作り直すと、後から欠けに気づく。

どれか一つを選ぶ話ではない。止めて記録を残す部分は自社で、調査は外に、戻し方はその結果を見て決める——という重ね方になることが多い。

今まさにその画面が出ているなら、費用をかけずに今できることがある。

ネットワークから切り離す。電源は切らない。 有線ならケーブルを抜き、無線なら切る。そのうえで、画面をスマートフォンで撮る。時刻と、見えたもの、気づいた人の名前を、紙でいいので書き留める。ここまでが、専門知識なしにできて、しかも後の作業をいちばん軽くする部分になる。

まだ起きていないなら、確かめておけることが二つある。一つは、バックアップの保存先が本体と常時つながっているかどうか。つながったままの保存先は、いざというときに一緒に巻き込まれる側になる。もう一つは、この場面で誰に連絡するのかを、一枚の紙にしておくこと。手引きに載っている届出先も、その紙に書き写しておけば、探す時間がなくなる。

この一歩でできるのは「広がりを止める」「材料を残す」までだ。原因の特定と、どこまで戻すかという判断は、ここから先に残る。

「線を抜いたはいいが、次に何をすればいいのか分からない」「どこまで被害が及んでいるのか、自社では測れない」「取引先に何を、どこまで伝えるべきか判断がつかない」——この辺りで足が止まる会社は多い。起きた直後は、判断すべきことが一度に来る。しかも、そのほとんどが初めて向き合う種類の判断になる。

そういうときは、OSAKA AI-Center の窓口に相談するという選択肢がある。何かを買う必要はなく、こちらから売り込むこともない。「うちで今こういうことが起きていて、どこから手をつけたものか」——その整理を一緒に考えるところまでが、この辞典の役割である。

ITは、本来は専門家の領分でもある。弁護士や税理士のように、ITと経営の両方を知る第三者を"ブレイン"として側に置く——という考え方もある。何もかも自社だけで抱え込まなくていい。この辞典も、そうした相手と一緒に読めば、自社に合った次の一手につながりやすい。