「パソコンのファイルが急に開けなくなった」
「取引先から、自社のアカウントによる不審なメールを受信したと連絡があった」
このような異常が発生したとき、原因を調べ終わるまで報告を待ってはいけません。
サイバー攻撃や情報漏えいは、調査している間にも被害が広がる可能性があります。まず対象の端末やアカウントを隔離し、発生時の状態を記録したうえで、社内責任者と経営者、外部IT業者へ連絡します。
この記事では、中小企業がサイバー攻撃や情報漏えいの疑いを発見した直後に行うことを、実際の対応順に沿って解説します。
最初に行うことは、次の4つです。
- 対象端末やアカウントの利用を止める
- ネットワークから隔離する
- 発見時の状態と操作内容を記録する
- 社内責任者、経営者、外部IT業者へ連絡する
電源断、初期化、ファイル削除などは、調査に必要な情報を失うおそれがあるため、自己判断で行わないでください。
サイバー攻撃・情報漏えいを疑う主な場面
実際の漏えいが確定した場合だけが対応対象ではありません。次のような異常を発見した段階で、社内連絡と記録を開始します。
- ファイルが突然暗号化され、開けなくなった
- 身に覚えのないログイン通知や多要素認証の要求が届いた
- 従業員のアカウントから不審なメールが送信された
- 顧客情報を含むメールを誤送信した
- 業務用パソコンやUSBメモリを紛失した
- クラウド上のファイルが意図せず外部公開されていた
- ホームページが改ざんされた
- ウイルス対策ソフトや監視サービスから警告が届いた
- 社内システムやサーバーへ突然接続できなくなった
- 取引先や外部IT業者から不正アクセスの可能性を指摘された
原因が分からないからといって、担当者だけで調査を続けてはいけません。
第一報は暫定的な内容で構いません。「何が起きているか」「どこで起きているか」「発見後に何をしたか」を先に共有し、詳しい情報は調査後に更新します。
発見直後に行う4つの初動対応
1．対象端末やアカウントの利用を止める
不審な動作が発生しているパソコンは、業務での利用を直ちに止めます。
そのまま操作を続けると、次のような被害が広がる可能性があります。
- 攻撃者による遠隔操作が続く
- ほかの端末やサーバーへ感染が広がる
- 社外へ情報が送信される
- 調査に必要な記録が上書きされる
不審な端末を使って外部IT業者へメールを送ったり、インターネットで対応方法を調べたりすることも避けます。連絡や調査には、別の安全な端末を使用してください。
2．ネットワークから隔離する
パソコンに異常がある場合は、LANケーブルを抜くか、Wi-Fi接続を切ります。
ただし、方法が分からない場合は、むやみに操作を続けず、外部IT業者へ連絡してください。
クラウドアカウントへの不正アクセスが疑われる場合は、管理者が次の対応を検討します。
- 対象アカウントの一時停止
- サインインセッションの無効化
- パスワードの変更
- 多要素認証の再設定
- 不審なメール転送設定や受信ルールの確認
- 権限や管理者設定の変更履歴の確認
パスワードを変更する場合も、不正アクセスを受けた可能性のある端末ではなく、別の安全な端末から行います。
3．電源断・初期化・削除は自己判断で行わない
感染したパソコンを見つけると、すぐに電源を切ったり初期化したりしたくなります。
しかし、電源断や初期化によって、原因調査に必要な情報が失われる場合があります。
次の操作は、外部IT業者や専門会社へ確認してから行います。
- パソコンの再起動や電源断
- 不審なファイルやウイルスの削除
- OSの初期化
- バックアップからの上書き復元
- ログやメールの削除
- 通常業務での再利用
端末をネットワークから隔離することと、電源を切ることは別の対応です。
まずネットワークから切り離し、その後の操作は専門家の指示を受けてください。
ただし、発煙や異常発熱などの物理的な危険がある場合は、安全確保を優先します。
4．発見時の状態を記録する
調査や社外報告では、「最初に何が起きていたか」が重要になります。
分かる範囲で、次の内容を記録してください。
- 発見日時
- 発見者
- 対象となる端末、アカウント、システム
- 画面に表示されたメッセージ
- 発生直前に行った操作
- 開いたメール、添付ファイル、Webサイト
- 不審なログイン通知の内容
- 発見後に行った操作
- 社内外へ連絡した日時と相手
- 顧客、取引先、業務への影響
- スクリーンショットや写真の保存場所
記録では、確認できた事実と推測を分けることが重要です。
例えば、原因が確定していない段階では「ウイルス感染」と断定せず、次のように記載します。
10月28日9時15分、経理担当者のパソコンで複数のファイルが開けない状態を確認。画面には「ファイル形式が無効」と表示された。原因は未確認。
社内外への連絡順序
基本的な連絡順序は、次のとおりです。
発見者
→ 総務・兼任IT担当者・情報セキュリティ責任者
→ 経営者
→ 外部IT業者・保守会社・クラウド事業者
→ 必要に応じて警察・行政機関・取引先・本人
小規模な会社では、総務担当者がIT担当を兼任していることもあります。その場合でも、技術対応を担当者一人に任せず、経営者へ早い段階で共有してください。
業務停止、顧客への連絡、行政機関への報告、公表などは、技術担当者だけでは決められないためです。
第一報で伝える内容
第一報では、すべての項目を埋める必要はありません。分からない項目は「不明」「確認中」と記載します。
以下の書式を社内で準備しておくと、緊急時にも情報を整理しやすくなります。
Plain Text
【セキュリティ事故・第一報】
発見日時：
発見者：
対象端末・アカウント：
発生していること：
画面に表示された内容：
直前に行った操作：
発見後に行った操作：
現在の対応状況：
顧客・取引先への影響：
原因：
折り返し連絡先：
※不明な項目は「不明」「確認中」と記載
第一報の目的は、原因を説明することではありません。被害拡大を防ぐために、対応を開始できる状態にすることです。
技術対応と経営判断を分ける
外部IT業者や専門会社は、端末の隔離、ログ確認、影響範囲の調査などを支援できます。
一方で、次の事項は会社側が判断しなければなりません。
- 業務やシステムを一時停止するか
- 外部専門会社へ調査を依頼するか
- 顧客や取引先へ連絡するか
- 本人へ通知するか
- Webサイトなどで公表するか
- 問い合わせ窓口を設置するか
- 警察や行政機関へ相談・報告するか
- 法務やサイバー保険会社へ連絡するか
- どの業務から復旧させるか
外部IT業者へ「すべて任せる」のではなく、次の内容を書面やメールで受け取ります。
- 実施した作業
- 確認できた事実
- まだ確認できていない事項
- 調査対象と調査対象外の範囲
- 保存すべき端末やログ
- 復旧できる条件
- 専門調査会社への依頼が必要か
事象別の初動対
ランサムウェアやウイルス感染が疑われる場合
まず対象端末の利用を止め、ネットワークから隔離します。
画面に身代金要求や警告が表示されている場合は、画面を写真などで記録します。ほかの端末にも同じ症状がないか確認し、責任者と外部IT業者へ連絡してください。
バックアップがある場合でも、すぐに接続・復元してはいけません。バックアップ側まで感染したり、調査に必要な状態を上書きしたりする可能性があります。
メールを誤送信した場合
次の情報を最初に確認します。
- 送信日時
- 宛先
- 本文
- 添付ファイル
- 含まれる個人情報や機密情報
- 対象となる人数
- 添付ファイルの暗号化やパスワードの有無
- 相手が閲覧した可能性
送信取消機能が利用できるかを確認するとともに、誤送信先へ削除を依頼するか、責任者と相談します。
個人データが含まれる場合は、行政機関への報告や本人通知が必要かどうかも確認します。
クラウドアカウントの不正ログインが疑われる場合
対象アカウントを一時停止し、管理者へ連絡します。
その後、ログイン履歴を保存したうえで、次の項目を確認します。
- 不審な接続元やログイン時刻
- メールの転送設定
- 不審な受信ルール
- 権限や管理者設定の変更
- 送信済みメール
- ファイルの閲覧・ダウンロード履歴
- 同じパスワードを使用している別サービス
- 管理者アカウントや共有アカウントへの影響
すぐにログが消えないよう、保存期間や取得方法をクラウド事業者または外部IT業者へ確認してください。
パソコンやUSBメモリを紛失した場合
最後に使用した日時と場所を確認し、責任者へ報告します。
遠隔ロックやアカウント無効化が可能な場合は実施を検討します。また、端末やUSBメモリに保存されていた情報、暗号化の有無、パスワード設定の有無を確認します。
盗難の可能性がある場合は警察への届出も検討し、個人情報が含まれている場合は、漏えい等としての対応が必要か確認してください。
社外への連絡
外部IT業者・保守会社
最初に、契約している外部IT業者や保守会社へ連絡します。
平常時から、次の事項を確認しておくことが重要です。
- セキュリティ事故が契約上の対応範囲に含まれるか
- 休日や夜間の緊急連絡先
- ログや端末の調査が可能か
- 専門調査会社と連携できるか
- 調査報告書を作成できるか
契約に緊急対応が含まれていないこともあるため、事故が起きる前に確認しておきます。
JPCERT/CC・IPA
対応方法が分からない場合は、JPCERT/CCやIPAの相談窓口も確認します。
JPCERT/CCでは、インシデントに関する対応依頼や情報提供を受け付けています。
- JPCERT/CC インシデント対応依頼
https://www.jpcert.or.jp/form/
IPAでは、情報セキュリティ安心相談窓口や、中小企業向けの情報セキュリティ対策資料などを案内しています。
- IPA 中小企業の情報セキュリティ対策ガイドライン
https://www.ipa.go.jp/security/guide/sme/about.html
警察
次のような犯罪性が疑われる場合は、都道府県警察のサイバー犯罪相談窓口へ相談します。
- 不正アクセス
- 身代金などの金銭要求
- 不正送金
- 詐欺
- 脅迫
- 内部不正
- パソコンや記録媒体の盗難
警察へ相談する場合も、ログ、メール、端末、画面の記録などを自己判断で削除せず、保存方法を確認してください。
個人情報保護委員会
個人データの漏えい等では、内容や原因、人数によって個人情報保護委員会などへの報告や本人通知が必要になる場合があります。
報告対象となる可能性があるのは、例えば次のような事態です。
- 要配慮個人情報が含まれる
- 財産的被害が生じるおそれがある
- 不正アクセスなど、不正な目的で行われたおそれがある
- 本人の数が1,000人を超える
実際に漏えいしたことが確定していなくても、漏えいした「おそれ」がある場合に対象となることがあります。
報告対象に該当する場合、速報は速やかに行い、確報は原則として30日以内、不正目的のおそれがある場合は60日以内とされています。
実際の報告要否については、個人情報保護委員会の公式情報、所管省庁、弁護士などへ確認してください。
- 個人情報保護委員会「漏えい等の対応」
https://www.ppc.go.jp/personalinfo/legal/leakAction/
顧客・取引先・委託元
次のような場合は、顧客や取引先への連絡が必要になる可能性があります。
- 預かっている情報が影響を受けた可能性がある
- 相手のシステムへ被害が広がる可能性がある
- 自社アカウントから不審なメールが送信された
- 契約で事故通知が定められている
- 相手側でもパスワード変更や通信遮断が必要になる
第一報では、確認済みの事実と未確認事項を分けます。
原因や漏えい範囲が分かっていない段階で、「情報漏えいはありません」「被害はありません」などと断定しないことが重要です。
復旧までの流れ
サイバー事故への対応は、端末を直したら終わりではありません。
次の順序で進めます。
- 発見
利用停止、第一報、画面や状態の記録を行います。 - 隔離
対象端末やアカウントをネットワークや業務環境から切り離します。 - 体制構築
対応責任者、技術担当者、記録担当者、対外窓口を決めます。 - 調査
ログや端末を確認し、原因と影響範囲を調べます。 - 報告判断
警察、行政機関、本人、顧客、取引先への連絡要否を判断します。 - 復旧
脆弱性や不正設定を修正し、認証情報を変更したうえで復元します。 - 再発防止
設定、運用、教育、委託契約などを見直し、担当者と期限を決めます。
復旧前には、原因や侵入経路が残っていないこと、不審なアカウントや設定が削除されていることを確認します。
原因が分からないまま元の環境へ戻すと、再び侵入や感染が発生する可能性があります。
よくある失敗
原因を確定してから報告しようとする
第一報は暫定情報で構いません。
担当者が原因調査に集中しすぎると、被害拡大の防止や外部報告が遅れる可能性があります。
感染が疑われる端末を使い続ける
外部IT業者への連絡や対応方法の検索には、別の安全な端末を使用します。
慌てて初期化する
初期化すると、原因や影響範囲を調べるための記録が失われる場合があります。
まず隔離し、その後の操作は専門家へ相談します。
担当者一人で対応する
少なくとも、次の役割を分けます。
- 経営判断を行う人
- 技術対応を行う人
- 対応内容を記録する人
- 社外への説明を行う人
従業員数が少ない会社では一人が複数の役割を兼ねても構いませんが、最終判断を誰が行うのかは明確にします。
外部IT業者へ任せたままにする
調査を委託しても、顧客への説明や行政報告の責任がなくなるわけではありません。
実施した作業、確認結果、未確認事項、復旧条件を必ず受け取ります。
未確認情報を全社員へ一斉送信する
情報共有は必要ですが、未確認情報が広がると、社内外で混乱が生じます。
対応メンバーと対外窓口を決め、必要な範囲に限定して共有します。
緊急初動チェックリスト
チェックリストは、発見直後に使うものだけに絞ります。
発見した人が行うこと
- 対象端末やアカウントの利用を止めた
- 可能な範囲でネットワークから隔離した
- 電源断、初期化、ファイル削除を行っていない
- 発見日時と画面の状態を記録した
- 発見後に行った操作を記録した
- 社内責任者へ第一報を入れた
責任者・経営者が行うこと
- 外部IT業者へ連絡した
- 対応責任者、技術担当者、記録担当者を決めた
- 顧客、取引先、個人情報への影響を確認している
- 警察や行政機関への相談・報告要否を確認している
- 契約上の通知義務とサイバー保険の条件を確認した
- 安全が確認されるまで対象端末やシステムを復旧していない
よくある質問
小さな会社でも対応フローは必要ですか
必要です。
複雑な体制を作る必要はありませんが、最低限、次の3点を決めてください。
- 最初に誰へ連絡するか
- 業務停止などの経営判断を誰が行うか
- 技術対応をどの外部IT業者へ依頼するか
漏えいしたか分からなくても報告しますか
まず社内責任者と経営者へ報告します。
行政機関、顧客、取引先などへの外部報告は、情報の種類、原因、対象人数、漏えいのおそれなどを確認して判断します。
感染したパソコンはすぐに電源を切りますか
一律に電源を切るのではなく、まずネットワークから隔離し、外部IT業者や専門家へ相談します。
ただし、発煙や異常発熱などの危険がある場合は、安全を優先してください。
外部IT業者へ任せれば、社内対応は不要ですか
不要にはなりません。
技術調査は依頼できますが、業務停止、顧客への説明、行政機関への報告、公表などは会社側が判断します。
個人情報が1件なら報告は不要ですか
件数だけでは判断できません。
情報の種類や漏えいの原因によっては、少人数でも報告や本人通知が必要になる可能性があります。
まとめ
サイバー攻撃や情報漏えいが疑われるとき、初動段階で完璧な調査結果を用意する必要はありません。
まず、次の4点を共有してください。
- いつ発見したか
- どの端末・アカウントで起きているか
- 何が表示され、何が発生しているか
- 発見後に何を操作したか
そのうえで、対象端末やアカウントを隔離し、社内責任者、経営者、外部IT業者へ連絡します。
また、技術対応と経営判断を分けることも重要です。
外部IT業者は、端末の隔離やログ調査を支援できます。しかし、業務を停止するか、顧客や取引先へ連絡するか、行政機関へ報告するかは会社側が判断しなければなりません。
緊急連絡フローには担当者名だけでなく、次の役割まで記載しておきましょう。
- 誰が技術対応を行うか
- 誰が業務停止を判断するか
- 誰が対応内容を記録するか
- 誰が顧客や取引先へ説明するか
事故が起きてから連絡先を探すのではなく、平常時に外部IT業者の緊急連絡先と対応範囲を確認しておくことが、被害を小さくする第一歩です。
