ランサムウェアに感染したら：中小企業が最初にやることと、平時の備え
感染が疑われたら、パソコンや機器をネットワークから切り離し、電源は切らずにそのままにして、警察（サイバー犯罪相談窓口）に通報・相談します。個人データが漏れたおそれがあれば、個人情報保護委員会への報告も必要です。平時は、バックアップをネットワークから切り離して保管しておくことが大切です。
ランサムウェアは、データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムです。最近は、データを盗んだうえで「公開する」と脅す手口もあります。IPA の「情報セキュリティ10大脅威 2026」でも、組織編の1位は「ランサム攻撃による被害」でした。
中小企業も狙われている
警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年に警察に報告されたランサムウェアの被害は226件で、そのうち 143件（約6割）が中小企業 でした。
侵入の経路（アンケートで回答のあったもの）は次のとおりで、メールよりも、外からつながる機器が入口になっています。
| 侵入の経路 | 件数（2025年） |
|---|---|
| VPN 機器 | 61件（約66%） |
| リモートデスクトップ | 19件（約21%） |
| 不審なメールやその添付ファイル | 2件（約2%） |
| その他 | 10件（約11%） |
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（有効回答92件のアンケート）
感染が疑われたら、最初にやること
画面に脅迫文が出た、ファイルが開けず拡張子が変わっている、といった異変に気づいたら、次のように動きます（1・2・5は警察庁の案内、3・4は実務上の進め方です）。
- ネットワークから切り離す：LAN ケーブルを抜く、Wi-Fi をオフにする。ほかのパソコンやサーバーへの広がりを防ぐ
- 電源は切らない：警察庁は、原因の調査に必要なログなどが消えるおそれがあるため、パソコンやネットワーク機器の電源を落とさないよう案内している
- 記録する：画面の脅迫文（ランサムノート）を写真に撮り、気づいた日時、機器、起きたことをメモする
- 社内の責任者に報告する：決めておいた連絡体制で、経営者と担当者に知らせる
- 警察に通報・相談する：最寄りの警察署、または都道府県警察のサイバー犯罪相談窓口へ。被害の拡大を防ぐための初動の支援や、復号ツールの案内を受けられる場合がある
通報・相談・報告の先
| 先 | どんなとき | 内容 |
|---|---|---|
| 警察（最寄りの警察署・サイバー犯罪相談窓口） | 被害に遭った、または疑いがあるとき | 通報・相談。初動の支援を受けられる場合がある |
| 個人情報保護委員会（業種によっては所管の省庁） | 個人データの漏えい・滅失・毀損、またはそのおそれがあるとき | 法律にもとづく報告。ランサムウェアで個人データが暗号化されて戻せない場合も含め、不正な目的によるものは人数にかかわらず報告の対象 |
| IPA（企業組織向けサイバーセキュリティ相談窓口） | 対応に迷ったとき | メールで相談でき、初動の助言を受けられる（調査・解析は行わない）。ランサムウェアの感染は、IPA の「ウイルス・不正アクセス届出」の対象としても案内されている |
| JPCERT/CC | インシデントの報告・対応の調整 | ウェブのフォームなどで報告できる |
| 契約しているセキュリティ事業者・保守業者 | 調査と復旧 | 原因と範囲の調査、復旧の支援 |
個人情報保護委員会への報告の期限や手順は、個人情報が漏えいしたときの報告と本人への通知で詳しく解説しています。
身代金は払うべきか
警察庁は、要求された金銭を支払うことについて、犯罪グループの活動資金になるおそれがあること と、データの復号が保証されるわけではないこと を被害者に説明しています。あわせて、支払ったかどうかも含めて、捜査への情報提供への協力を求めています。
復旧の前に、入口をふさぐ
バックアップから戻しても、侵入された入口が残っていれば、再び攻撃される可能性があります。警察庁は、侵入の経路と被害の範囲を調べること、VPN 機器などの脆弱性に対処すること、パスワードを変更することを求めています。
平時の備え
バックアップを、ネットワークから切り離して保管する
警察庁の調査（2025年）では、被害に遭った組織の 約9割がバックアップを取っていました（有効回答116件中105件）。ところが、バックアップから 復元できたのは約2割 にとどまりました（復元の結果についての有効回答99件中20件）。復元できなかった理由には、バックアップの暗号化・消去や、運用の不備が挙げられています。
警察庁は、バックアップを なるべくこまめに取り、ネットワークから切り離してオフラインで保管する など、暗号化されないように備えることを勧めています。あわせて、次のような工夫も一般的に勧められています。
- 複数の世代を残し、感染前の状態に戻れるようにする（IPA も推奨）
- 実際にバックアップから戻せるかを、定期的に試す（IPA も推奨）
- ログも、バックアップと同じように適切に保管する（警察庁が推奨）
外からつながる機器を見直す
侵入の入口の多くは、VPN 機器とリモートデスクトップです。
- 使っている VPN 機器・ルーター・リモートデスクトップを洗い出す
- ソフトウェアを最新に保ち、使っていないものは止める
- 推測されにくいパスワードと、多要素認証を使う
- 退職した人や使っていないアカウントを残さない
もしもの手順を決めて、練習する
警察庁は、サイバー攻撃を想定した業務継続計画（BCP）を作り、連絡体制、警察への通報の手順、広報の対応、復旧の手順を訓練で確かめておくことを勧めています。同じ調査では、サイバー攻撃を想定した BCP を作っていた組織は、有効回答111件中20件（約2割）にとどまりました。
まずは、この記事の「最初にやること」と「通報・相談・報告の先」を自社の連絡先に置き換え、1枚の紙にまとめて共有するところから始めてください。
出典
- ランサムウェア被害防止対策（警察庁）
- 令和7年におけるサイバー空間をめぐる脅威の情勢等について（PDF、警察庁）
- 情報セキュリティ10大脅威 2026（IPA）
- サイバーセキュリティ 相談・届出窓口一覧（IPA）
- 情報セキュリティ10大脅威 2025 組織編 解説書（PDF、IPA）
- インシデント対応依頼（JPCERT/CC）
- 漏えい等の対応とお役立ち資料（個人情報保護委員会）
よくある質問
身代金を払えばデータは戻りますか？
保証はありません。警察庁は、支払った金銭が犯罪グループの活動資金になるおそれがあることと、データの復号が保証されるわけではないことを被害者に説明しています。支払いを検討する前に、警察に相談してください。
警察に通報すると、被害を公表しなければいけませんか？
警察庁は、警察から公表を求めることはないと案内しています。まずはログの保存などを依頼し、後から詳しい状況を聞くといった配慮もされています。
バックアップがあれば安心ですか？
それだけでは安心できません。警察庁の調査（2025年）では、被害に遭った組織の約9割がバックアップを取っていましたが、復元の結果を答えた組織のうち、バックアップから復元できたのは約2割でした。バックアップごと暗号化・消去されたり、運用に不備があったりするためです。ネットワークから切り離して保管し、実際に戻せるか確かめておくことが大切です。