サイバー攻撃に気づいた直後の初動｜中小企業が「止める・残す・相談する」

ランサムウェアの画面が出た、見覚えのないログインがある、ファイルが暗号化されている。サイバー攻撃の疑いに気づいた直後の数時間が、被害の大きさを左右します。慌てて初期化して証拠を消してしまったり、一人で抱えて対応が遅れたりするのは、よくある失敗です。

専任の担当者がいない中小企業でも、**「止める・残す・相談する」**の順番を決めておけば動けます。この記事では、発生直後の初動を実務的に整理します。

この記事は一般的な解説です。実際の対応は、自社の状況や専門家・関係機関の助言にもとづいて判断してください。

この記事でわかること

• 発生直後にやってはいけないこと
• 初動の流れ（止める・残す・相談する）
• 事前に決めておく連絡先と、復旧・再発防止

まず、やってはいけないこと

• むやみに再起動・初期化・再インストールしない：原因調査や復旧の手がかり（証拠）を失うおそれがあります（専門家の指示で行う場合を除く）
• 身代金を独断で払わない：払っても復旧する保証はなく、まず関係者・専門家に相談します
• 一人で抱えない／黙って様子を見ない：対応が遅れるほど被害は広がります

初動の流れ：止める・残す・相談する

「①止める」は被害を広げないため、「②残す」は原因究明と再発防止のため、「③相談する」は判断を誤らないため。それぞれ目的が違います。

事前に決めておく連絡先

初動は、連絡先をその場で探していると遅れます。あらかじめ一覧にしておきましょう。

復旧と再発防止

初動で被害を止めたら、復旧と再発防止に移ります。ここは慌てず、専門家の助言も得ながら進めます。

• バックアップから復元する（復元前に、原因が残っていないか確認）
• 入口を確認する（VPN機器・RDP・認証情報など、どこから入られたか）
• 被害範囲を確認する（接続ログで、どこまで到達されたか）

各テーマは、ランサムウェア対策の記事、SSL-VPNの脆弱性の記事、ログ管理の記事で詳しく扱っています。なお、ふだんから接続後の到達範囲を絞り（社内リソース・ルート制御などの考え方）、ログを確認できるようにしておくと、被害範囲の把握や封じ込めがしやすくなります。

初動チェック

「いざ」というときに動けるよう、次を準備しておきましょう。

まとめ：押さえるべき3点

1. 直後は**「止める・残す・相談する」**。むやみな初期化・独断の支払い・抱え込みは避ける
2. 連絡先の一覧を起きる前に用意し、その場で探さない
3. 復旧はバックアップ＋原因・被害範囲の確認とセット。ふだんの備えが効く

備えの全体像はランサムウェア対策の記事やテレワークのセキュリティ10項目を、自社の進め方はあわせて料金ページとFAQで確認してください。

参考・出典

• JPCERT/CC「インシデント対応のための準備・相談窓口」
• 警察庁「サイバー事案に関する通報・相談」
• 個人情報保護委員会「漏えい等の報告・本人への通知」
• IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版）