突然ファイルが開けなくなり、名前の末尾に見慣れない拡張子が付き、
金銭や連絡を求める画面が出た場合は、ランサムウェア感染を疑います。
この時に優先するのは、暗号化されたファイルをすぐ元へ戻すことではありません。
感染端末をネットワークから隔離し、正常な端末、共有フォルダー、バックアップへ被害が広がるのを止めることです。
慌てて再起動、復元ソフト、初期化、バックアップ接続を行うと、証拠や正常な世代を失うおそれがあります。
暗号化ファイルも、復号方法が後から見つかる可能性を考え、原本として残しておく必要があります。
この記事では、個人と小規模事業者を想定し、最初の10分で行う隔離、記録、影響範囲の確認、
バックアップの保全、復旧方法を選ぶ順番まで初心者向けに解説します。
目次
ランサムウェアで暗号化された時は復号より隔離を優先する
結論からいうと、暗号化を見つけた端末は、有線LANとWi-Fiから速やかに切り離します。
NAS、共有サーバー、クラウド同期、外付けバックアップへの接続も止め、被害の境界を作ってください。
ランサムウェアは一台のパソコン内だけで終わるとは限りません。ログイン済みの共有先、
割り当てドライブ、同期フォルダーへ書き込める状態なら、別の場所にあるファイルまで暗号化される場合があります。
最初に復号を試すと、その間も別の端末や共有先で処理が進んでいるかもしれません。
まず拡大を止め、どこまで影響したかを把握してから、復号、バックアップ復元、データ復旧を比較します。
社内端末なら、自己判断で全社ネットワークの設定を変更する前に、管理者や保守担当へ電話などで連絡します。
感染が疑われるメールやチャットを同じ端末から送らず、正常な別端末や電話を使うと安全です。
まず確認する症状｜故障・通常の暗号化・ランサムウェアを分ける
ファイルが開けないだけで、必ずランサムウェアとは限りません。HDDやSSDの障害、
アクセス権の変更、アプリの不具合、BitLockerなど正規の暗号化でも似た症状が出ます。
ただし、原因を断定するために多数のファイルを開いたり、別端末へ接続したりするのは避けます。
画面を眺める、写真を撮る、ケーブルを外すなど、状態を書き換えない確認から始めてください。
- 複数の文書、写真、表計算ファイルが同じ時期から一斉に開けない
- ファイル名の末尾へ見慣れない拡張子が追加されている
- フォルダーごとに同じ内容の要求文や案内ファイルが置かれている
- 壁紙や画面に支払い、期限、連絡先などの要求が表示される
- 共有フォルダーや接続中の外付けドライブでも同じ変化がある
- セキュリティソフトが不審なプログラムや通信を検知している
一方、特定の一台だけが認識されない、異音や焦げ臭さがある、容量が0バイトになる場合は、
記憶装置の物理障害も考えます。ランサムウェアと決めつけず、通電や再接続を止める判断が必要です。
BitLocker回復キーを求める青い画面だけなら、Windowsの正規機能が保護のために動作している可能性があります。
身代金要求文や一斉の拡張子変更がない場合は、正規暗号化の回復情報を先に確認します。
最初の10分で行う初動手順
初動では「直す操作」より、「広げない・消さない・記録する」を優先します。
複数人で対応する場合は、隔離担当、記録担当、連絡担当を分けると操作の重複を防げます。
1．LAN・Wi-Fi・共有・同期を切り離す
有線LANケーブルを抜き、Wi-Fiをオフにします。Bluetooth経由の共有やテザリングがあれば切り、
接続中のNAS、共有ドライブ、クラウド同期アプリへの通信を止めます。
外付けHDDやUSBメモリが接続されていても、書き込み中に勢いよく抜くと別の破損を招く場合があります。
暗号化の進行表示がなく操作可能なら、安全な取り外しを試し、難しければ専門担当へ状況を伝えます。
2．画面と発生時刻を記録する
スマートフォンなど別の機器で、画面全体、要求文、変更後の拡張子、表示時刻を撮影します。
要求文に書かれた識別子や連絡先は、公開投稿せず相談先へ安全に渡せる形で保管してください。
最後に正常だった時刻、直前に開いた添付ファイル、ダウンロード、更新、遠隔接続、USB利用も記録します。
推測と事実を分け、「分からない」項目は空欄のままにすると、後の調査を誤らせません。
3．隔離できない時だけ停止を検討する
ネットワークから切り離せるなら、いきなり電源を切らず、隔離した状態で担当者へ引き継ぐ方が証拠を残しやすくなります。
メモリー上の情報や動作中の処理は、電源断で失われるためです。
ただし、ケーブルもWi-Fiも切れず、共有先への暗号化が続いているなど、拡大を止める方法がない場合は停止を検討します。
個人で迷う時は、被害端末へ新しい操作を重ねず、正常な電話から支援先へ相談してください。
被害端末を触り続けると上書きと感染拡大が起きる理由
ランサムウェア感染後もパソコンを使い続けると、暗号化処理だけでなく、ログ、キャッシュ、更新、同期による書き込みが増えます。
削除された一時ファイルや復旧に使える情報が、別のデータで上書きされる可能性があります。
再起動すれば止まるとは限りません。自動起動の設定や管理用アカウントの侵害が残っていると、
起動後に処理が再開したり、正常に見える別端末へ侵入が広がったりする場合があります。
共有フォルダーの名前を変える、暗号化ファイルを削除する、空き容量を増やすといった整理も避けます。
発生時点の状態を変えるほど、影響範囲と処理順序を後から確認しにくくなります。
「少しだけコピーできるか試す」場合も、感染端末から新しいUSBメモリへ直接保存すると、
持ち出した媒体に不審なファイルが混ざるおそれがあります。保全は隔離と調査の計画を決めてから行います。
感染直後にやってはいけない操作
感染直後は、エラーを消すための操作がかえって復旧を難しくします。次の操作は、
影響範囲と保全方法を決めるまで行わないでください。
- 見慣れない拡張子を手作業で元へ戻す
- 暗号化ファイル、要求文、不審なプログラムを一括削除する
- 感染端末へ復元ソフトや不明な復号ツールをインストールする
- 正常か未確認のバックアップを感染端末へ接続する
- NASの初期化、RAID再構築、共有フォルダーの整理を始める
- 証拠を残さずOSを再インストールして業務利用へ戻す
- 感染端末から要求先へ連絡し、認証情報や個人情報を渡す
拡張子はファイル名の一部であり、暗号化された内容そのものを元へ戻す鍵ではありません。
名前だけを変更すると、元の拡張子や暗号化の規則が分からなくなり、種類の特定を妨げる場合があります。
セキュリティソフトの隔離や削除も、組織の方針と証拠保全を確認してから行います。
検知内容の画面、対象ファイル、時刻を先に残し、被害拡大を止める操作と原因調査を混同しないことが大切です。
暗号化ファイル・身代金要求文・ログを消さずに保全する
暗号化されたファイルは、現時点で開けなくても削除しないでください。ランサムウェアの種類が特定され、
安全な復号ツールや鍵が後から提供された場合に、元の暗号化ファイルが必要になることがあります。
身代金要求文も、種類を見分ける手掛かりです。ファイル名、拡張子、要求文の名称、画面、
セキュリティソフトの検知名、時刻を、感染端末とは別の記録へまとめます。
- 影響を受けた端末名、利用者、設置場所
- 最初に異常を見つけた時刻と最後に正常だった時刻
- 変更前後のファイル名と拡張子の例
- 身代金要求文のファイル名と画面写真
- 接続していたNAS、サーバー、クラウド同期、外付け媒体
- セキュリティソフト、ルーター、認証、バックアップのログ保管場所
- 隔離・停止・連絡など実施した操作と時刻
ログを確認するために感染端末へ新しい解析ソフトを大量に入れると、状態が変わります。
業務データや個人情報がある場合は、保全手順と取り扱い範囲を先に決め、必要に応じて専門家へ任せます。
影響範囲を端末・共有・クラウド・バックアップに分けて調べる
一台を隔離できたら、正常と考えられる別端末から、同じ変化が他にもないか確認します。
感染端末を再接続して調べるのではなく、管理画面、集中ログ、クラウドの履歴など外側から確認します。
端末とアカウント
同じ利用者が使う別のパソコン、管理者アカウント、メール、VPN、遠隔操作の履歴を確認します。
身に覚えのないログインや新しい管理者があっても、証拠を残さず即削除する前に記録してください。
NAS・共有サーバー
共有フォルダーは、更新時刻、変更された拡張子、スナップショットの世代を確認します。
NAS自体に異音やRAID警告がある場合は、感染調査と機器障害を分けて考える必要があります。
共有が見えない時の安全な切り分けは、NASの共有フォルダーが見えない時の確認手順を参考にしてください。
RAID警告も出ているなら、RAID崩壊時にリビルドを急がない理由も確認し、再構築を先に始めないことが大切です。
クラウド同期
OneDriveなどの同期先では、削除、上書き、名前変更がクラウドにも反映されている可能性があります。
同期を停止したままWeb版の操作履歴、ごみ箱、版履歴、全体復元の利用条件を確認します。
個別の確認順は、OneDriveのファイルが消えた時の復元方法で詳しく解説しています。
復元後すぐ感染端末との同期を再開すると、戻したファイルが再び暗号化されるため注意してください。
バックアップは接続前に世代と汚染の有無を確認する
バックアップがある場合も、感染端末へすぐ接続してはいけません。常時接続の外付けHDD、
書き込み可能なNAS、同期先は、すでに暗号化や削除の影響を受けている可能性があります。
正常な別環境から、バックアップの作成日時、保持世代、対象範囲、最終成功時刻を確認します。
「バックアップ成功」という表示だけでなく、必要なファイルが暗号化前の状態で開けるかを検証します。
最も新しい世代だけを上書き復元すると、後で別の世代を試せなくなる場合があります。
原本のバックアップは変更せず、復旧用のクリーンな保存先へ必要な世代を複製して検証してください。
候補となる保存場所を整理する時は、データ復旧前に確認したいバックアップと保存場所も役立ちます。
メール添付、別端末、クラウドの版履歴など、感染端末を動かさず確認できるコピーから探します。
復旧後のために新しいバックアップを作ることと、今残っている世代を守ることは別の作業です。
事故対応中は、正常と確認できたバックアップをネットワークから切り離し、復旧計画が決まるまで保全します。
復号ツールと復元ソフトを試す前の判断
復号ツールは、すべてのランサムウェアへ共通して使えるものではありません。種類、亜種、鍵、
暗号化方式が合わないツールを原本へ実行しても戻らず、状態だけを変えるおそれがあります。
まず要求文、拡張子、検知名、暗号化ファイルのコピーから種類を特定します。公開されている復号手段があっても、
提供元、対象バージョン、必要条件を確認し、必ず複製した少数ファイルで試験してください。
一般的な復元ソフトは、削除されたファイルや壊れたファイルシステムを探す道具であり、
強固に暗号化された内容を元の鍵なしで解読する道具ではありません。
復元ソフトを感染ドライブへインストールすると上書きが発生します。暗号化前に削除されたコピーや、
残存データを探索する場合でも、原本の複製、別の実行環境、別の復元先を用意してから判断します。
復旧はクリーン環境と別の保存先で行う
復旧作業は、感染原因を残したまま暗号化ファイルだけを戻す作業ではありません。
正常な別環境を用意し、侵入口、残存プログラム、不正アカウントを確認した後でデータを戻します。
感染端末をそのまま業務へ戻すか、初期化して再構築するかは、被害範囲と調査結果で決めます。
重要な業務端末では、信頼できる標準イメージや正規インストール媒体から作り直す方が確認しやすい場合があります。
復旧先には、元ドライブや汚染された共有先とは別の保存先を使います。文書、画像、表計算、データベースなどを種類別に開き、
ファイル名だけでなく内容、更新日時、必要な関連ファイルまで確認してください。
データを戻す順番は、事業継続や生活への影響が大きいものから決めます。会計、顧客対応、契約、制作中データなどを優先し、
大量の古いファイルを一度に戻して検証を曖昧にしないことが大切です。
原因除去とデータ保全のどちらを先に相談するか迷う場合は、データ復旧とパソコン修理の違い・依頼順序も確認してください。
必要データの保全条件を伝えず修理だけを進めると、初期化で原本を失う場合があります。
身代金の支払いを急いでも復旧は保証されない
支払えば必ず復号できるとは限りません。受け取ったツールが動かない、鍵が合わない、
一部だけ壊れる、連絡が途絶えるなど、データを取り戻せない可能性があります。
また、暗号化前にデータが外部へ持ち出されている場合、復号できても情報漏えいの問題は残ります。
支払いの判断だけでなく、流出の可能性、関係者への連絡、契約や法令上の対応も確認が必要です。
画面に短い期限が表示されても、感染端末から慌てて連絡や送金を行わないでください。
組織の責任者、セキュリティ担当、保険や法務の窓口、警察など、状況に応じた相談先へ正常な経路から連絡します。
個人・小規模事業者が相談前に整理する情報
相談時に必要なのは、専門用語を正確に話すことではありません。何が、いつから、どこまで使えず、
どのデータを優先したいかを整理すると、初動と復旧方法を判断しやすくなります。
- 端末のメーカー、型番、OS、台数、利用者
- 内蔵HDD・SSD、外付け媒体、NAS、クラウドの構成
- 最初に見つけた症状、要求文、拡張子、検知名
- 最後に正常だった日時と事故発見日時
- 隔離、再起動、スキャン、削除など実施済みの操作
- 共有アカウント、管理者権限、遠隔接続の利用状況
- バックアップの場所、世代、最終成功日、接続状態
- 最優先で必要なフォルダー、ファイル種類、期限
- 顧客情報や個人情報など、外部流出時に影響する情報
「たぶん感染していない」「バックアップは大丈夫」と推測で埋めず、未確認と伝えてください。
実施した操作を隠さず時系列で共有した方が、残っている選択肢を安全に評価できます。
端末や記憶装置を渡す場合は、誰が受け取り、どこで保管し、複製をどう扱うかも確認します。
パスワードや回復キーは、チャットやメールへ不用意に書かず、依頼先が指定する安全な方法で扱ってください。
自力作業を止める基準
一台の個人パソコンであっても、代替のない写真や仕事データがあるなら、試行回数よりデータの重要度を基準にします。
次の条件がある時は、自力で復号や復元を繰り返さず相談へ切り替えてください。
- 複数端末、NAS、サーバー、クラウドへ被害が広がっている
- 顧客情報、個人情報、契約情報の外部流出が疑われる
- 管理者アカウントや遠隔接続が不正利用された可能性がある
- バックアップが一つしかなく、正常かどうか確認できない
- 暗号化ファイルの原本や要求文をすでに削除・変更した
- HDDの異音、切断、0バイト表示など物理障害もある
- 感染端末を隔離できず、別の場所でも変更が続いている
- 業務再開期限があり、証拠保全と復旧を並行して進める必要がある
相談先へは「パソコンを直したい」だけでなく、「データを先に保全したい」「感染範囲も確認したい」と伝えます。
作業範囲、初期化の有無、原本の扱い、復旧データの返却方法を書面で確認すると安心です。
復旧後に再感染を防ぐ確認
ファイルが開けるようになっても、すぐ全端末を元のネットワークへ戻さないでください。
侵入口や残存アカウントが残っていれば、復元したデータが再び暗号化されるおそれがあります。
- OS、アプリ、VPN、ルーター、NASを安全な版へ更新する
- 管理者、メール、クラウド、遠隔接続の認証情報を見直す
- 多要素認証と最小限の権限を設定する
- 不審な自動起動、タスク、サービス、アカウントがないか確認する
- 復元データを検査し、クリーンな環境へ段階的に戻す
- オフラインまたは変更されにくいバックアップ世代を用意する
- バックアップから実際に復元できるか定期的に試験する
- 発見から復旧までの記録を残し、連絡手順を更新する
バックアップは、同じパソコンへ常時接続した一台だけでは不十分です。日常利用のコピーに加え、
普段は切り離す媒体や、世代を保持できる保存先を組み合わせます。
再発防止は、製品を一つ導入して終わる作業ではありません。更新、権限、認証、監視、教育、
復元試験を小さく継続し、異常を早く見つけて切り離せる仕組みにします。
ランサムウェアでファイルが暗号化された時によくある質問
再起動すれば暗号化は止まりますか？
一時的に処理が止まっても、再起動後に自動実行される可能性があります。まずネットワーク隔離を優先し、
隔離できる場合は証拠を残すため、むやみな再起動を避けて担当者へ引き継ぎます。
暗号化ファイルは削除してもよいですか？
削除せず保全してください。現在は復号できなくても、種類の特定や将来の復号手段に必要となる場合があります。
容量を空けるために消さず、元媒体を変更しない方法で複製と保管を計画します。
バックアップがあればすぐ復元してよいですか？
感染原因を除去し、復旧先がクリーンだと確認する前の復元は避けます。バックアップ自体も暗号化や削除の影響、
不審なファイルの混入を確認し、原本を上書きせず別環境で試験してください。
無料の復号ツールなら安全ですか？
無料か有料かだけでは判断できません。信頼できる提供元か、対象の種類と亜種が一致するかを確認し、
暗号化ファイルの複製で試験します。原本へ直接実行しないことが重要です。
ファイルが戻れば感染対応は終わりですか？
終わりではありません。侵入口、不正アカウント、外部流出、別端末への感染が残っていないかを確認し、
パスワード変更や更新はクリーンな環境と正しい順序で実施します。
まとめ｜隔離、保全、範囲確認の順で復旧の選択肢を守る
ランサムウェアでファイルが暗号化された時は、復号より先に感染端末をネットワークから隔離します。
要求文、拡張子、時刻、接続先、実施した操作を記録し、暗号化ファイルとログを削除せず残してください。
次に、端末、NAS、クラウド、バックアップの影響範囲を外側から確認します。正常な世代を保全し、
復号ツールや復元ソフトは原本ではなく複製へ、復旧データはクリーンな別環境へ戻します。
被害が複数機器へ広がった、外部流出が疑われる、唯一のバックアップしかない場合は、試行を重ねないことが大切です。
必要データの優先順位と発生時刻を整理し、感染対応とデータ保全の両方を扱える相談先へ早めに引き継いでください。
