不正アクセス・ランサムウェアが起きたときの初動｜最初の72時間にやること・やらないこと
仕様確認・更新日: · 編集: 株式会社ウェステリア
画面に脅迫文が出た、取引先から「御社から不審なメールが来た」と言われた、監視の通知が鳴った。不正アクセスやランサムウェアの被害は、たいてい突然気づきます。最初の数日の判断で、被害の広がりと、その後の調査のしやすさが変わります。この記事では、個人情報保護委員会のガイドラインが求める措置と、国内の事案で公表された対応をもとに、最初の72時間にやること・やらないことを整理します。被害の調査そのものは、フォレンジックの専門会社に依頼してください。
結論から
- 最初にやるのは、責任者への報告と、被害を広げないための切り離しです。個人情報保護委員会のガイドラインも、内部での報告と被害の拡大防止を最初の措置に挙げています。ログや端末は消さずに残します
- 72時間のうちに、専門会社と警察への相談、取引先への連絡、個人情報保護委員会への速報の準備を進めます。速報の目安は、事態を知ってから概ね3〜5日以内です。相談先に迷ったら、IPAの「不正アクセス特別相談窓口(事業者向け)」も使えます
- やらないことは、初期化や電源断を自己判断で進めること、身代金をすぐに決めること、分かっていないことを推測で公表することです
ガイドラインが求める5つの措置
個人情報保護委員会のガイドライン(通則編)3-5-2は、漏えい等またはそのおそれのある事案が発覚した場合に、内容に応じて次の5つの措置を講じるよう求めています。
- 事業者内部における報告及び被害の拡大防止(責任ある立場の者に直ちに報告し、被害が広がらないようにする)
- 事実関係の調査及び原因の究明
- 影響範囲の特定
- 再発防止策の検討及び実施
- 個人情報保護委員会への報告及び本人への通知
ガイドラインはあわせて、二次被害の防止や類似事案の防止の観点から、事実関係と再発防止策を速やかに公表することが望ましいとしています。以下は、この5つを時間の順に並べ直したものです。
最初の72時間の流れ
時間は目安です。個人データの漏えい(おそれを含む)が報告の対象になる場合、委員会への速報は、事態を知ってから概ね3〜5日以内が目安とされています。
| 時間の目安 | やること | 主な担当 |
|---|---|---|
| 気づいてすぐ | 責任者に報告する。被害が疑われる端末・サーバをネットワークから切り離す。気づいた時刻と画面を記録する | 情シス・発見者 |
| 当日中 | 対策の体制(誰が決めるか)を決める。専門会社に相談する。ログや端末を保全する。被害を受けていない範囲を確かめる | 経営者・情シス |
| 1〜2日目 | 警察に相談する。影響を受ける取引先・委託元に連絡する。業務を手作業で続ける手順に切り替える | 経営者・各部門 |
| 3日目まで | 分かったことと分かっていないことを整理し、個人情報保護委員会への速報と、顧客向けの第1報を準備する | 法務・広報・情シス |
やらないこと
警察庁は、攻撃者が内部を探索したあとに、ログや使ったツールなどの痕跡を消して攻撃を終える流れを示しています。残っている痕跡は、原因の特定に欠かせない材料です。
- 自己判断で端末を初期化したり、再インストールしたりしない(侵入の痕跡が消え、原因と影響範囲が分からなくなる)
- 電源を切るかどうかを、迷ったまま決めない(電源を切ると、メモリ上の証拠が消えることがある。専門会社に相談してから判断する)
- バックアップを、安全を確かめないまま社内ネットワークにつながない
- 身代金を払うかどうかを、すぐに決めない
- 分かっていないことを推測で公表しない(侵入経路や件数は「調査中」と書く)
- 攻撃者が公開したとするデータを、社内の端末で探したりダウンロードしたりしない
専門会社と警察に相談する
侵入経路と、何が盗まれたかの調査は、フォレンジック(端末やログから侵入の痕跡を調べる調査)の専門会社に依頼します。
個人情報保護委員会は2026年1月28日に、「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」を公表しています。依頼する前に目を通すと、調査範囲を決めやすくなります。
警察には、都道府県警察のサイバー犯罪相談窓口か、警察庁のオンラインの通報・相談窓口から相談します。警察庁は、風評などを心配して被害者が相談をためらう「被害の潜在化」があるとしたうえで、通報・相談を呼びかけています。
経済産業省は2026年10月9日、所管業界の事業者に、被害が起きたら担当課室(業所管課室)へ速やかに一報するよう依頼しました。一報を受けたら、関係する専門機関の紹介や今後の対応の助言をするとしています。
JPCERT/CC(国内のインシデント対応の調整機関)も、インシデント対応の相談を受け付けています。2026年10月8日の注意喚起で、相談先として案内しています。
IPA(情報処理推進機構)は2026年10月9日の注意喚起で、ログやアカウントの異常を見つけたら、すぐにセキュリティインシデントと判定するよう求めました。情報漏えいの可能性を考え、専門のセキュリティベンダーに詳しい調査を頼むことを強く勧めています。IPAの企業組織向けの相談窓口は、インシデントが起きたときの初動の相談も受け付けています。
IPAは2026年10月16日、「不正アクセス特別相談窓口(事業者向け)」のページを公開しました。不正アクセスの被害を受けている、またはその可能性がある全国の企業・組織が対象で、被害が疑われる段階でも相談できます。初動対応の相談に応じ、被害が起きた可能性について助言し、インシデント対応を行う専門業者の一覧を紹介するとしています。
電話は03-6759-5760(平日9時30分〜17時30分。12時〜13時を除く)、メールはincident-support@ipa.go.jpです。メールの回答は翌営業日以降になる場合があるとしています(2026-10-21時点)。
出典: 個人情報保護委員会「令和7年度 年次報告の概要」(2026年7月) / 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) / 経済産業省 商務情報政策局「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」(2026-10-09) / JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」(2026-10-08公開、10-09更新) / IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」(2026-10-09) / IPA「サイバーセキュリティ 相談・届出窓口一覧」 / IPA「不正アクセス特別相談窓口(事業者向け)」(2026-10-16公開)
報告する(要点)
不正アクセスなど不正の目的による個人データの漏えい(おそれを含む)は、個人情報保護委員会への報告と、本人への通知の対象です。速報は事態を知ってから概ね3〜5日以内、確報は60日以内(不正の目的によるもの以外は30日以内)が期限です。
基幹インフラの事業者は、2026年10月1日に施行されたサイバー対処能力強化法による報告も必要になる場合があります。報告の対象・期限・本人通知の詳しいルールは「個人情報の漏えい報告の義務と期限」で説明しています。
出典: 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」3-5 漏えい等の報告等 / e-Gov法令検索「重要電子計算機に対する不正な行為による被害の防止に関する法律に基づく特別社会基盤事業者による特定侵害事象等の報告等に関する命令」
取引先と顧客に知らせる
委託元から預かったデータが関係する場合、委託元には公表より先に連絡します。ガイドラインでは、委託先が委託元に通知すると、委託先の報告義務は免除されます。その通知も、知ってから概ね3〜5日以内が目安です。
顧客向けの知らせには、何が起きたか、漏れた可能性がある情報の項目、原因(分かっている範囲)、二次被害のおそれ、顧客がすべきこと(パスワードの変更、不審な連絡への注意など)を書きます。分かっていないことは「調査中」と書き、続報を出すことを伝えます。
問い合わせ窓口を先に用意しておくと、公表後の電話やメールに対応できます。
身代金と、業務の継続
身代金を払っても、データが戻る保証も、公開されない保証もありません。カシオ計算機は身代金の要求を拒否したと公表しました。アスクルは「攻撃者とは接触せず、身代金の支払いも交渉もしていない」と説明しています。アサヒグループは、会見の時点で犯人側からの身代金の要求はないと説明しました。
システムの復旧には時間がかかります。警察庁の2026年上半期のアンケートでは、1か月未満で復旧できた組織は5割弱でした。アサヒグループは手作業で段階的に出荷を再開しています。受注・出荷・決済を手作業で回す手順を、復旧と並行して動かします。
出典: ITmedia NEWS「カシオ、身代金要求を拒否」(2024-11-27) / ITmedia NEWS「アスクルが調査報告書を公表」(2025-12-12) / クラウド Watch「アサヒグループHDの会見」 / アサヒグループホールディングス「調査結果」(2025-11-27) / 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月)
よくあるご質問
- 感染した端末の電源は切るべきですか
- 迷ったら、切る前に専門会社に相談してください。ネットワークからの切り離しは急ぎますが、電源を切るとメモリ上の証拠が消えることがあります。状況によって判断が分かれるため、一律の答えはありません。
- 警察に相談すると業務が止まりますか
- 警察への相談は、復旧作業と並行して進められます。警察庁は、早期復旧に支障が出ることへの懸念から相談をためらう例があるとしたうえで、通報・相談を呼びかけています。犯行グループの情報や、ほかの被害との関係が分かることもあります。
- 個人情報保護委員会への報告はいつまでですか
- 速報は事態を知ってから概ね3〜5日以内が目安です。確報は30日以内、不正アクセスなど不正の目的によるものは60日以内です。期限の数え方は「個人情報の漏えい報告の義務と期限」で説明しています。
- 身代金は払うべきですか
- 払ってもデータが戻る、公開されないという保証はありません。国内では、カシオ計算機やアスクルが要求に応じない・交渉しないと公表しています。判断は、専門会社や警察と相談してから行ってください。
- どこに相談すればよいか分かりません
- IPAの「不正アクセス特別相談窓口(事業者向け)」は、被害を受けている、またはその可能性がある企業・組織の初動対応の相談を受け付けています。インシデント対応を行う専門業者の一覧も紹介しています。電話は03-6759-5760(平日9時30分〜17時30分。12時〜13時を除く)です(2026-10-21時点)。警察には、都道府県警察のサイバー犯罪相談窓口から相談できます。