ランサムウェアは、ファイルを読めなくするなどして利用を妨げ、元に戻すための金銭を要求する不正なプログラムです。情報を盗み、公開すると脅す攻撃を組み合わせる場合もあります。
つまり、「データを使えないこと」と「情報が他人へ渡ること」は、別の問題です。バックアップからファイルを戻せても、外へ渡った写しまで取り戻せるわけではありません。
すでにファイルが開かず金銭要求が出ている場合は、まず後半の「ランサムウェア感染が疑われるとき」の対応を確認してください。会社・学校のPCなら、管理担当へすぐ連絡します。
ランサムウェアとは何を人質にする攻撃？
ランサム（ransom）は「身代金」という意味です。人ではなく、ファイルやシステムを使える状態を奪い、「戻してほしければ支払え」と要求するところから、この名前が付いています。
たとえば、昨日まで開けた仕事の資料や写真が、突然読めなくなる場合があります。データを一定の規則で変換し、元に戻すための情報がなければ読めない形にすることを「暗号化」といいます。
暗号化そのものは、情報を守るためにも使う技術です。ランサムウェアでは、攻撃者がその仕組みを悪用し、持ち主が自分のファイルを読めないようにします。基本の働きは暗号化とは何かで説明しています。
企業のサーバーが被害を受ければ、個人のPC一台にとどまらず、予約や注文、社内の仕事が止まる場合もあります。ただし、サービスが止まったという事実だけで、原因がランサムウェアだとは判断できません。故障や別の障害もあるため、運営元の発表で確認します。商品が無事でも出荷が止まる理由では、荷物を動かす仕事と情報のつながりを説明しています。
お金を払えば元に戻るのか
支払っても、ファイルやシステムが元に戻る保証はありません。 攻撃者が約束を守るとは限らず、復元に使う道具があっても、すべてのデータが戻るとは限らないからです。
金銭要求が表示されても、自分だけで交渉や送金を進めず、管理担当や公的な相談先につなぎます。画面にあるカウントダウンは、急いで判断させるための圧力にもなります。
ランサム攻撃は暗号化せず情報を盗む場合もある
ランサムウェアを使う攻撃の中には、ファイルを読めなくするだけでなく、先に情報を盗み、「支払わなければ公開する」と脅すものがあります。この組み合わせは「二重脅迫」「二重恐喝」などと呼ばれます。
さらに、ランサムウェアによる暗号化を行わず、盗んだ情報を使って金銭を要求する手口もあります。「ノーウェアランサム」と呼ばれるもので、パソコンが普段どおり動いていても、情報の持ち出しが問題になります。
ここでは、暗号化しない手口まで含む広い話を「身代金を要求する攻撃」として区別しています。暗号化するプログラムと、その周囲で行われる脅迫の手口を、同じものとして扱わないためです。
暗号化され、持ち主が読めなくなる
内容を知られ、公開すると脅されることがある
一つの攻撃で両方が起きる場合も、情報を盗むだけの場合もあります。個別の被害範囲は調査で確かめます。
| 起きていること | 困ること | ファイルを復元すれば終わる？ |
|---|---|---|
| ファイルを暗号化された | 読めない、仕事を進められない | 復元に加え、侵入の入口やほかの影響の確認が必要 |
| 情報を持ち出された | 非公開の内容を知られたり、公開を材料に脅されたりする | 手元の復元では、外のコピーは回収できない |
| 両方が起きた | 利用停止と情報漏えいが重なる | それぞれへの対応が必要 |
これらは、すべての感染で必ず同時に起きるという意味ではありません。調査では「何が使えなくなったか」と「何にアクセスされ、持ち出された可能性があるか」を別に確かめます。
ランサムウェア対策でバックアップが担う役割
バックアップは、故障や破壊などに備え、戻すためのデータを別に保存しておくことです。ランサムウェアへの備えとしても、使えなくなったファイルを取り戻す手段を残す役割があります。
ただし、元のデータと同じように書き換えられる場所に置いてあると、バックアップまで暗号化されたり、消されたりするおそれがあります。「コピーがもう一つある」だけで十分とは限りません。
確認したいのは、次の3点です。
- 別のコピーがあるか： 必要なファイルやシステムの情報を保存しているか。
- 同じ攻撃から守れるか： 元の環境から簡単に書き換え・削除されないようにしているか。
- 戻せるか： 保存が成功した表示だけでなく、復元する方法を確かめているか。
JPCERT/CCのランサムウェア対策では、時点の異なるバックアップを管理し、元の環境とは別のネットワークへ保管する考え方が示されています。必要な保存方法は、個人の写真か、会社の業務システムかによって変わります。
また、クラウドへ同期している場合も、削除や変更がそのまま反映される仕組みなら、古い状態に戻せるとは限りません。履歴が残る期間や復元できる条件を、利用するサービスで確認します。
安全なコピーから、使えなくなったデータを戻す
侵入の入口を直す、持ち出された情報の範囲を調べる
コピーの存在だけで復旧が成功するとは限りません。保存状態と戻す方法の確認も必要です。
バックアップを取っていても、情報の持ち出しそのものを止める対策にはなりません。侵入されにくくするための更新や、二要素認証、必要以上の情報へ触れさせない設定も、別に必要です。
特に、PC以外のネットワーク機器などが入口になる場合もあります。脆弱性の修正を、自分のPCだけの話だと思わず、会社なら担当する人と対象を確認しておくことが役立ちます。
ランサムウェア感染が疑われるときに独断で進めない操作
ファイルが突然読めなくなり、復元と引き換えに金銭を要求された。こうした場合は、操作を試し続けるより、被害の拡大を抑え、相談へつなげることを優先します。
警察庁のランサムウェア被害防止対策では、感染したPCをネットワークから切り離すことと、調査に必要な記録が失われるおそれがあるため電源を落とさないことが案内されています。会社・学校では、あらかじめ定められた対応手順に従い、担当へ速やかに知らせます。
一般のPCでネットワークから切り離す方法には、LANケーブルを抜く、Wi-Fiをオフにするなどがあります。相談するときは、問題のあるPCとは別の電話などを使うと、感染が疑われる環境で操作を増やさずに済みます。
| 先に避けたい操作 | 理由 |
|---|---|
| 再起動や初期化を試し続ける | 調査や復旧に必要な記録を失うおそれがある |
| バックアップ用の機器をつなぐ | 守っていたコピーまで被害に巻き込むおそれがある |
| 検索で見つけた復号・駆除ツールを次々に試す | 対象が違う道具や、偽の道具で状態を悪化させるおそれがある |
| 表示された要求に従い、独断で支払う | 復元の保証がなく、組織としての判断や調査にも関わる |
相談の際には、発見した時刻、画面の内容、開けないファイル、直前にした操作を、分かる範囲で伝えます。詳しい原因を自分で特定してから連絡する必要はありません。画像を残す場合も、会社の情報が写った画面を公開の場へ投稿しないようにしてください。
一部のランサムウェアには復号ツールがありますが、種類や版によって使えるかが違います。警察や公式の相談先を通じて確認し、「この道具なら必ず戻る」という案内だけを信じて使わないことが大切です。
今できる備えとして、会社の端末なら、困ったときの連絡先を一つ確認しておきましょう。ファイルを戻す準備と、被害を広げず相談できる準備。その両方が、ランサムウェアへの備えになります。
