ランサムウェアに感染したら お盆明けの被害発覚で問われるフォレンジック調査：初動対応が、事業継続と企業の信用を決める
出社すると、社内システムが利用できなくなっていた――。ランサムウェア攻撃は、ある日突然、業務をまひさせる。事業と信用を守る初動を、フォレンジック調査から考える。
※本記事は、企業のサイバーレジリエンスをテーマにした全3回連載の第1回です。「事後対応」（本記事）から「予防・対策」「継続的な運用支援」へと、3回にわたってお届けします。
ランサムウェア攻撃の猛威は収まることなく、国内でも名だたる大企業がシステム障害によって長期にわたる事業停止状態に追い込まれた事案が報道されている。ITインフラ事業者が攻撃を受けた結果、サービスを利用する企業に被害が生じたケースもある。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害に関する調査／復旧費用は高額化しており、復旧に総額1000万円以上を要した組織は全体の5割を超える。
セキュリティ対策の人材や予算に制約がある中、企業にはサイバー攻撃を防ぐだけではなく、被害発生時にも速やかに対応／復旧し、事業を継続できるサイバーレジリエンスの強化が求められる。そのための重要な取り組みの一つがフォレンジック調査だ。攻撃の経路や手口を明らかにして被害状況を正確に把握することは、企業としての説明責任を果たし、取引先など関係者への適切な対応につながる。
防御だけでは守れない時代に求められるサイバーレジリエンス
今やファイアウォールやUTMなどの入口対策に加え、EDRなどの内部対策や出口対策を含めた多層的な対策を講じていても、ランサムウェア攻撃を完全に防ぐことは難しくなっている。その背景には、企業を取り巻くIT環境の変化と、攻撃者側の技術の高度化がある。近年、DX推進に伴うクラウド利用やシステム連携の拡大によって、利便性が高まる一方で、攻撃対象となる領域も広がっている。さらに、ランサムウェア攻撃者は標的企業の情報を収集し、脆弱（ぜいじゃく）性や認証情報を悪用するなど、セキュリティ対策を突破する技術を高度化させている。
対策は不可欠だが、「対策をしているから安全」ではなく、万が一侵入された場合に被害を最小限に抑え、早期復旧につなげる備えも重要になる。
近年は、「ノーウェアランサム」も増えている。従来のランサムウェアのようにデータを暗号化するのではなく、企業から機密情報を窃取し、公開すると脅して金銭を要求する手法だ。攻撃者が長期間潜伏するケースも多く、被害が表面化するまで侵害に気付きにくい。
企業や自治体は年末年始やお盆休みなど、長期休暇の時期に攻撃を受けるリスクが高い。お盆明けに業務を再開した際に「何かおかしい」と感じたり、既にシステムが侵害されていることに気付いたりする可能性もあるだろう。フォレンジクス事業（以下、デジタルデータフォレンジックと表記）を手掛けるデジタルデータソリューションの井瀧義也氏は、「実際に『休み明けに出社してみたら被害が発生していました』という問い合わせは多い」と語る。同社の実績では、ランサムウェア相談件数は累計530件（算出期間：2020年9月〜）に上り、お盆休暇を挟む8月は、7月と比較して相談件数が約1.5倍に増加しているという。
ランサムウェアに感染したら、まず何をしなければならないのか
ランサムウェア攻撃に気付いたらどうすればよいのか。すぐに着手すべきなのは2つだ。1つは、攻撃経路や被害範囲を把握するための調査。もう1つは、被害を受けたシステムを復旧し、できる限り迅速に業務を再開できるようにすることだ。そのためには、復旧作業を進めながらも、攻撃の痕跡を残すための証拠の保全が重要になる。
なぜ証拠の保全が必須なのか。それは、被害後に企業が果たすべき説明責任と深く関わるためだ。攻撃の全容を正確に把握し、被害発生後の情報開示や再発防止につなげるためには、攻撃の痕跡を残しておく必要がある。復旧を急ぐあまり証拠を失ってしまうと、いつ、どの経路から侵入されたのか、どの情報が影響を受けたのかを特定できなくなる恐れがある。
一社だけで事業が完結するケースは少ない。多数の取引先や利害関係者が存在し、複雑かつ大規模なネットワークを構成しているのが一般的だ。そのため、自社が受けた被害が関係各社へ波及する可能性もある。場合によっては、自社の環境を踏み台として他社への攻撃につながるケースも考えられる。自社は攻撃の被害者であっても、取引先や関係者から見れば、間接的に影響を及ぼした存在と受け取られる可能性がある。だからこそ、攻撃経路や被害範囲を正確に把握し、関係各社へ適切な情報提供を行える状態にすることが重要になる。
こうした対応ができるかどうかが、取引先や関係者との信頼関係を維持し、事業継続につなげられるかを左右する。個人情報の漏えいが発生した場合や、その恐れがある場合には、個人情報保護委員会への報告や本人への通知が法令上求められるケースもある。適切な対応を怠れば、行政の措置や罰則の対象となる可能性があり、結果として企業の負担は大きくなりかねない。こうした観点からも、初動対応ではスピードと専門性を兼ね備えたフォレンジック調査サービスの活用が有効だ。
デジタルデータフォレンジックの問い合わせ窓口は24時間365日体制で、法人からの相談には最速15分でWeb打ち合わせを設定するなど、初動対応のスピードを強みとする。では、フォレンジック調査では具体的に何を調査し、どのような役割を果たすのだろうか。
フォレンジック調査では何をするのか、なぜ必要なのか
ランサムウェア攻撃を受けた際のフォレンジック調査では、侵入経路や感染範囲、情報漏えいの有無などを調査・分析し、被害の全容を明らかにする。また、その結果を報告書として整理し、原因究明や再発防止策の検討、取引先や関係機関への説明責任を果たすために活用する。
攻撃を受けた際、IT部門では早期のシステム復旧が最優先となり、フォレンジック調査は後回しになりがちだ。しかしデジタルデータフォレンジックの馬渡邦明氏は、「フォレンジック調査では、報告書の作成など対外的な説明への対応が求められるケースがあります。ランサムウェア攻撃の場合はシステムに侵入されてから暗号化が実施されるまでに時間差があり、いわゆる潜伏期間が生じます。この期間が仮に決算のタイミングに重なると、監査法人から指摘を受けて決算ができなくなる例もあります」と指摘する。
攻撃手法の進化は加速しており、最近はAIを悪用することでこれまで以上に巧妙な攻撃が出現しているため、被害を完全に防ぐことは困難だ。企業活動が社会の中での営みである以上、事後に「何があったのか」を丁寧に説明し、今後の再発防止につなげなければ、事業継続そのものに支障が生じる可能性もある。だからこそ、被害発生時に迅速な復旧を図るだけでなく、攻撃の全容把握と説明責任を果たすため、即座にフォレンジック調査に着手できる体制を整えておくことが求められる。
こうした課題に対し、包括的な支援を行っているのがデジタルデータソリューションだ。「困った人を助け、困った人を生み出さず、世界中のデータトラブルを解決します。」という理念を掲げ、データリカバリー事業、フォレンジクス事業、セキュリティ事業を軸にサービスを提供している。
同社はフォレンジックに精通するエンジニアを多数擁し、調査・分析からデータの復旧、再発防止策の提案までを自社内で一気通貫して対応できる点が強みだ。捜査機関への捜査協力実績も豊富で、調査結果をもとにした外部機関や関係者向け報告資料の作成支援でも確かな実績を重ねている。
さらに、HDDが物理的にクラッシュした場合にも対応できるデータ復旧ラボやクリーンルームを備える他、セキュリティ分野では企業のネットワーク、サーバ、PC、クラウドを24時間365日体制で監視するSOCを自社運営している。フォレンジック業界では、エンジニアのリソースが逼迫（ひっぱく）して依頼への対応を断る事業者もあるというが、同社では、100人規模のエンジニア体制を生かし、緊急性の高いインシデントにも対応できる体制を整えている。
脆弱性診断やペネトレーションテスト、ダークウェブ調査といった事前の被害予防から、万が一の際のフォレンジック調査・復旧までを一括して任せられるパートナーの存在は、巧妙化するサイバー脅威に立ち向かう企業にとって大きな頼りになるはずだ。
防御から復旧までを備える力が、真のサイバーレジリエンス
攻撃を完全に防ぐことは容易ではない。だからこそ企業には、侵害を前提とした防御／検知／対応／復旧の体制を整え、被害発生時にも速やかに状況を把握し、事業を継続できる備えが求められる。これがサイバーレジリエンスの考え方だ。
有事の際に頼れる外部専門機関との連携ホットラインをあらかじめ確保すること。証拠の保全と復旧を両立させるワークフローを策定すること。「知らなかった」では済まされないからこそ、攻撃を受けた後にも企業の信用と事業を守り抜くための武器を、今すぐ手に入れることが重要だ。
＜本連載は全3回でお届けします＞
第1回（本記事）：事後対応――ランサムウェアに感染したら、まず何をすべきか
第2回：予防・対策――被害が起きる前に「気づく」ためのセキュリティ診断（10月公開予定）
第3回：継続的な運用支援――平時から専門家に相談できる体制づくり（11月公開予定）
Copyright © ITmedia, Inc. All Rights Reserved.
提供：デジタルデータソリューション株式会社
アイティメディア営業企画／制作：ITmedia エンタープライズ編集部／掲載内容有効期限：2026年9月17日
