ランサムウェアで個人情報漏えいのおそれがあるときの初動｜技術調査と法務対応

最初の数時間：隔離と証拠保全を両立する

感染端末やサーバをネットワークから隔離し、被害拡大を止めます。ただし、電源断や初期化の可否は状況で異なります。揮発性情報が失われる可能性があるため、社内判断だけで一律に電源を切らず、可能なら専門業者の指示を受けます。身代金要求画面、脅迫文、ファイル拡張子、発見日時、発見者、異常が起きた端末、ネットワーク構成、直前の操作を記録します。

攻撃者との接触、身代金の支払、暗号資産の送金は、復旧可能性だけで決める問題ではありません。反社会的勢力・制裁、犯罪助長、再攻撃、支払っても復号・削除されない危険などを含むため、警察、技術、法務、保険会社と検討します。支払えば漏えいがなかったことになるわけではありません。

• 感染が疑われる機器とアカウントを業務ネットワークから切り離す
• 脅迫文、画面、ログ、時刻、発見経緯を保存する
• 管理者アカウントやリモート接続の認証情報を安全な端末から変更する
• バックアップを本番環境から切り離し、感染・改変の有無を確認する
• 対外連絡の窓口と、社内で事実を集約する責任者を一人ずつ決める

技術専門業者が調べること、弁護士が整理すること

技術専門業者は、侵入経路、侵害されたアカウント、攻撃者の滞在期間、外部通信、持ち出された可能性のあるデータ、影響端末、復旧方法を調査します。弁護士は、その結果から、個人データの漏えい等またはそのおそれがあるか、報告対象事態か、本人通知や公表、契約上の通知が必要かを評価します。

法務が調査項目を示さないと、マルウェア除去はできても報告判断に必要な対象人数・データ項目・外部転送の有無が分からないことがあります。反対に、技術的に未確認の事実を法務が断定すると、後で説明が変わり信用を損ないます。確定事実、技術的推定、攻撃者の主張、未確認を明確に分けた共通表を使います。

漏えいが確定していなくても報告検討は始める

個人情報保護法上、一定の個人データの漏えい等は、実際に発生した場合だけでなく、そのおそれがある場合も報告・本人通知の検討対象です。ランサムウェアで外部通信が確認された、攻撃者がデータ一覧を示した、管理者権限が奪われ閲覧範囲を限定できない、といった事情を評価します。暗号化だけで持出しがないと断定するには根拠が必要です。

報告対象事態では、個人情報保護委員会への速報は事態を知った時点（いずれかの部署が知った時点）から概ね3〜5日以内が目安です。確報は原則30日以内ですが、不正な目的で行われたおそれがある場合は60日以内です。速報時点では把握している事項を報告すれば足り、全ての調査完了を待つ制度ではありません。本人通知は別に、状況に応じて速やかに行います。

公表・本人通知・取引先連絡の順序

公表を急ぎすぎると、攻撃者に調査状況を知らせ、被害拡大や証拠隠滅を招く場合があります。一方、漏えいした認証情報や連絡先が詐欺に利用されるおそれがあるなら、本人がパスワード変更やカード停止を行える情報を早く伝える必要があります。公表の有無・時期は、法令、本人保護、捜査、技術対応、事業継続を合わせて決めます。

通知には、概要、対象となった個人データの項目、原因、二次被害のおそれ、本人が取れる措置、問い合わせ先を分かりやすく記載します。取引先との契約にインシデント通知条項があれば、その期限と必要事項も確認します。攻撃者の主張を事実として書かず、未確認事項と調査継続を明示します。

• 本人が変更すべきパスワードや停止すべきサービスを具体化する
• 攻撃者のリークサイトや脅迫文の内容は『攻撃者の主張』と明記する
• 対象者ごとに漏えい項目が違う場合は通知を分ける
• 問い合わせ窓口へ想定問答と、本人確認の方法を渡す

復旧と再発防止：戻す順番を決める

バックアップがあっても、侵入経路を塞がずに戻せば再感染します。安全が確認できた基盤から、業務上の優先順位に沿って復旧し、管理者権限、多要素認証、リモート接続、脆弱性、ログ保存、ネットワーク分離を見直します。復旧作業の開始・完了時刻、確認者、残る制限を記録します。

IPAの中小企業向け手引きは、検知と連絡受付、初動対応、調査・対応、復旧などを段階化し、ランサムウェアでは平時の適切なバックアップが被害を小さくする要点としています。訓練では、システム復旧だけでなく、個人情報の棚卸し、報告期限、保険承認、本人向け案内まで含めると、実際の判断遅延を減らせます。

相談時に用意する資料

身代金要求文、障害発生の時系列、影響端末・サーバ一覧、ネットワーク図、保有データ一覧、委託先一覧、バックアップ状況、ログの保存場所、顧客・委託元との契約、サイバー保険資料、既に行った連絡を用意します。資料が暗号化されている場合は、分かる範囲を口頭で整理し、後から根拠を補います。

相談の目的は、単に届出書を書くことではありません。止血、調査、復旧、報告、説明、保険を一つの進行表にし、各判断の根拠を残すことです。ブライトはAI・クラウドを含むデータの流れと法的義務をつなぎ、技術専門業者や保険関係者との役割を整理します。