マルウェアインシデント対応の完全ガイド｜検知から復旧まで体系的に解説

2025年12月24日作成

コラム

マルウェア感染が発生したとき、組織の対応力が被害の大きさを左右します。初動対応の遅れは被害を拡大させ、証拠保全の不備は法的対応を困難にし、コミュニケーションの失敗は信頼を損ないます。本記事では、マルウェアインシデント対応の全体像を、NIST SP 800-61に基づくフレームワークで体系的に解説します。検知から封じ込め、根絶、復旧、そして事後の根本原因分析まで、各フェーズで必要なアクションを網羅。ランサムウェア、情報窃取型、ファイルレスなど、マルウェア種類別の対応ポイントも含め、実践的なインシデント対応の指針をお伝えします。

マルウェア感染は、現代の組織が直面する最も深刻なセキュリティ脅威のひとつです。攻撃者の手法は年々巧妙化し、従来の防御策をすり抜けるマルウェアが増加しています。感染を完全に防ぐことが困難な現在、インシデント発生時にいかに迅速かつ適切に対応できるかが、被害の規模を決定づける重要な要素となっています。

本ガイドでは、マルウェア感染対策における実践的なインシデント対応の全体像を、国際標準フレームワークに基づいて解説します。IT管理者、セキュリティ担当者、経営層まで、それぞれの立場で必要な知識と行動指針を提供します。

マルウェアインシデント対応の重要性

なぜインシデント対応力が問われるのか

サイバー攻撃の現状を示す統計データは、組織のインシデント対応力がいかに重要かを物語っています。

攻撃の巧妙化と検知の遅れは、多くの組織が直面する課題です。IBM社の「Cost of a Data Breach Report 2024」によると、データ侵害の平均検知日数は約200日に達しています。つまり、マルウェアが組織内に潜伏してから発見されるまでに半年以上かかるケースが珍しくありません。この間、攻撃者は機密情報を窃取し、さらなる侵害の足場を築くことができます。

初動対応の遅れによる被害拡大も深刻な問題です。感染発覚から封じ込めまでの時間が長いほど、被害は指数関数的に拡大します。特にランサムウェアの場合、対応が1時間遅れるごとに暗号化されるファイルが増加し、復旧にかかるコストと時間も比例して増大します。

対応の遅れ	想定される被害拡大
1時間の遅れ	感染端末から同一セグメントへの横展開開始
24時間の遅れ	複数部門への感染拡大、重要データの暗号化完了
72時間の遅れ	事業継続に影響、外部への情報漏洩リスク増大
1週間の遅れ	全社規模の影響、復旧費用の大幅増加

事業継続への直接的影響も無視できません。ランサムウェア攻撃を受けた組織の平均ダウンタイムは約23日間との報告もあり、その間の機会損失、顧客離れ、ブランドイメージの毀損は計り知れません。

インシデント対応の目的

効果的なインシデント対応には、明確な目的意識が不可欠です。以下の4つの目的を常に念頭に置いて対応を進める必要があります。

被害の最小化: 感染の拡大を防止し、影響を受けるシステムやデータの範囲を可能な限り抑制します。早期発見と迅速な封じ込めが鍵となります。
事業継続の確保: 重要な業務プロセスを維持または迅速に復旧させ、組織の運営への影響を最小限に抑えます。優先順位に基づく段階的復旧が重要です。
再発防止: インシデントの根本原因を特定し、同様の攻撃が再び成功しないよう対策を講じます。技術的対策だけでなく、プロセスや人的要因も見直します。
ステークホルダーへの説明責任: 経営層、従業員、顧客、取引先、規制当局など、関係者に対して適切な情報開示と説明を行います。透明性のある対応が信頼維持につながります。

これらの目的を達成するためには、事前の準備と体制構築が不可欠です。インシデント対応チーム構築について、組織規模に応じた体制整備を検討してください。

インシデント対応のライフサイクル

NIST SP 800-61に基づくフレームワーク

米国国立標準技術研究所（NIST）が発行する「SP 800-61 Rev.2（Computer Security Incident Handling Guide）」は、インシデント対応の国際標準的なフレームワークとして広く採用されています。日本においても、JPCERT/CCやIPAのガイドラインがこのフレームワークを参照しています。

NIST SP 800-61では、インシデント対応を4つのフェーズに分類しています。

フェーズ	主要タスク	目標時間
準備（Preparation）	計画策定、体制構築、ツール整備	平時から継続
検知と分析（Detection and Analysis）	異常検知、トリアージ、影響範囲特定	発生後1時間以内
封じ込め・根絶・復旧（CEE）	隔離、マルウェア除去、システム復旧	発生後24〜72時間
事後活動（Post-Incident Activity）	根本原因分析、改善策実施、文書化	復旧後1〜2週間

このフレームワークは直線的なプロセスではなく、各フェーズが相互に関連し循環するモデルです。事後活動で得られた教訓は準備フェーズにフィードバックされ、次のインシデントへの対応力を高めます。

各フェーズの概要と重要ポイント

準備フェーズ

インシデント対応の成否は、準備段階で9割が決まると言っても過言ではありません。事前準備には以下の要素が含まれます。

インシデント対応計画の策定では、対応手順、役割分担、連絡体制、エスカレーション基準などを文書化します。計画は定期的に見直し、組織の変化や新たな脅威に対応させる必要があります。

体制構築（CSIRT/SOC）は、インシデント対応を担う専門チームの設置です。大企業では社内CSIRTを設置することが一般的ですが、中小企業では外部のマネージドセキュリティサービス（MSSP）やMDRサービスの活用も選択肢となります。詳細はインシデント対応チーム構築のページで解説しています。

ツール・環境の整備には、EDR（Endpoint Detection and Response）、SIEM（Security Information and Event Management）、フォレンジックツール、隔離用ネットワーク環境などが含まれます。ツールを導入しただけでなく、実際に使いこなせるようトレーニングを実施することが重要です。

検知・分析フェーズ

感染の早期発見と正確な状況把握が、このフェーズの目標です。

異常の検知は複数の経路から行われます。EDRやアンチウイルスソフトによる自動検知、SIEMによるログ相関分析、ネットワーク監視による不審な通信の検出、さらにはユーザーからの報告も重要な検知チャネルです。ユーザー意識向上プログラムを通じて、従業員が異常を報告しやすい環境を整えることも検知力向上につながります。

トリアージと優先順位付けでは、検知されたアラートの重要度を判断し、対応の優先順位を決定します。すべてのアラートに同じリソースを割くことは現実的ではないため、ビジネスへの影響度、感染の拡大可能性、データの機密性などを考慮して優先順位をつけます。

影響範囲の特定では、感染が確認された端末だけでなく、横展開の可能性がある他のシステムや、アクセスされた可能性のあるデータを特定します。マルウェア解析の技術を活用し、マルウェアの挙動を分析することで、影響範囲をより正確に把握できます。

封じ込め・根絶・復旧フェーズ

このフェーズは、インシデント対応の中核をなす実行段階です。

短期封じ込め（隔離）では、感染端末をネットワークから切り離し、さらなる被害拡大を防止します。物理的なLANケーブルの切断、無線LANの無効化、ファイアウォールによる通信遮断など、複数の手段を組み合わせます。

短期封じ込めの原則: 感染拡大を止めることを最優先とし、証拠保全のため電源は切らない。可能であればメモリダンプを取得してから隔離を実施する。
長期封じ込め（恒久対策）: 脆弱性の修正、認証情報のリセット、セグメンテーションの強化など、根本的な対策を講じて再感染を防止する。
マルウェアの根絶: 感染システムからマルウェアを完全に除去する。クリーンなイメージからの再構築が最も確実な方法。
システム復旧: 業務優先度に基づき段階的にシステムを復旧。バックアップからのリストア、動作確認、監視強化を経て本番復帰。

復旧の詳細については、復旧と事業継続のページで段階的なアプローチを解説しています。

事後活動フェーズ

インシデント終息後の振り返りは、組織の対応力を継続的に向上させるために不可欠です。

根本原因分析では、なぜインシデントが発生したのか、なぜ検知が遅れたのか、対応のどこに改善の余地があるかを多角的に分析します。根本原因分析の手法を用いて、表面的な原因だけでなく、組織的・プロセス的な要因まで掘り下げます。

教訓の文書化は、分析結果を報告書としてまとめ、関係者と共有します。この文書は、今後のインシデント対応計画の改訂や、セキュリティ意識向上トレーニングの教材としても活用できます。

改善策の実施では、特定された課題に対する具体的な対策を計画し、実行します。技術的対策だけでなく、プロセスの見直し、人材育成、ベンダー選定の見直しなど、多面的なアプローチが必要です。

マルウェア種類別の対応ポイント

マルウェアの種類によって、対応のポイントや優先事項は異なります。代表的なマルウェア種類ごとの対応方針を解説します。

ランサムウェア対応

ランサムウェアは、データを暗号化して身代金を要求する攻撃です。時間との勝負であり、暗号化の進行を止めることが最優先となります。

経過時間	推奨アクション
発見直後（0〜15分）	感染端末の即時ネットワーク隔離、関係者への第一報
15分〜1時間	影響範囲の特定、暗号化進行の確認、バックアップ状況の確認
1〜4時間	封じ込め完了確認、経営層への報告、外部専門家への相談検討
4〜24時間	身代金支払い判断、復旧計画策定、法執行機関への報告検討
24時間〜	バックアップからの復旧開始、段階的システム復旧

身代金支払いの判断は極めて難しい問題です。支払いは攻撃者を利することになり、データが復号される保証もありません。一方、事業継続のために支払いを選択せざるを得ないケースも存在します。この判断は経営層が行うべきであり、法務、広報、外部専門家を交えた協議が必要です。

詳細な対応手順については、ランサムウェア対応プレイブックで段階的に解説しています。

情報窃取型マルウェア（インフォスティーラー）

スパイウェア／キーロガーなどの情報窃取型マルウェアは、認証情報、個人情報、機密文書などを外部に送信します。ランサムウェアと異なり目に見える被害が発生しにくいため、漏洩範囲の特定が対応の中心となります。

対応のポイントは以下の通りです。

漏洩範囲の特定: マルウェアがアクセスしたファイル、送信したデータ、キーロガーによって記録された可能性のある入力情報を調査します。ネットワークログ、プロセスログの分析が重要です。
認証情報のリセット: 感染端末で使用されたすべての認証情報（パスワード、APIキー、証明書など）をリセットします。特権アカウントは最優先で対応します。
関係者への通知判断: 個人情報の漏洩が確認または疑われる場合、個人情報保護法に基づく報告義務が発生する可能性があります。法務部門と連携して判断します。

ボットネット感染

ボットネット感染は、感染端末が攻撃者のネットワークに組み込まれ、DDoS攻撃やスパム送信などに悪用されます。

C&C（Command and Control）通信の遮断が最優先です。ファイアウォールやプロキシでC&Cサーバーへの通信をブロックし、感染端末を無力化します。その後、組織内の他の感染端末を特定するため、同様の通信パターンを持つ端末を調査します。

ファイルレスマルウェア

ファイルレスマルウェアは、ディスクにファイルを書き込まず、メモリ上で動作するため、従来のアンチウイルスソフトでは検知が困難です。PowerShellやWMIなどの正規ツールを悪用するLiving off the Land攻撃の手法を用いることが多く、検知には振る舞い分析やEDRが有効です。

対応においてはメモリフォレンジックの重要性が特に高くなります。電源を切るとメモリ上の証拠が消失するため、まずメモリダンプを取得し、その後に通常のフォレンジック作業に移行します。詳細はマルウェア解析のページで解説しています。

証拠保全と法的対応

なぜ証拠保全が重要か

インシデント対応において、証拠保全は復旧と同等に重要な活動です。証拠が必要となる場面は多岐にわたります。

法的対応（刑事告訴、民事訴訟）では、攻撃者を特定し、法的措置を講じる際に証拠が不可欠です。不適切な取り扱いで証拠能力が失われると、訴訟で不利になる可能性があります。

サイバー保険請求においても、被害状況と対応の妥当性を証明するために証拠が求められます。保険会社が認定したフォレンジック業者による調査が条件となることもあります。

規制当局への報告では、個人情報保護委員会や業界規制当局への報告時に、インシデントの経緯と対応を裏付ける証拠が必要となります。

詳細な手順については、証拠保全と法的対応のページで専門的に解説しています。

証拠保全の基本原則

証拠保全には確立された原則があり、これを遵守することで証拠の法的価値を維持できます。

収集優先順位	データ種類	揮発性
1（最優先）	メモリ（RAM）内容	非常に高い
2	ネットワーク接続状態、プロセス一覧	高い
3	ディスクイメージ	中程度
4	ログファイル（サーバー、ネットワーク機器）	低い
5	物理的証拠（書類、メモ）	非常に低い

揮発性順序での収集: 消えやすいデータから先に収集します。メモリ上のデータは電源を切ると失われるため、最優先で取得します。
Chain of Custody（証拠の連鎖）: 証拠の取得から保管、分析、提出までの一連の過程を記録し、証拠が改ざんされていないことを証明できるようにします。
改変を加えない: オリジナルの証拠には手を加えず、複製を作成して分析に使用します。書き込み防止装置の使用やハッシュ値による整合性確認が基本です。

法執行機関・規制当局への報告

警察への被害届は、サイバー犯罪として刑事告訴を行う場合に必要です。各都道府県警察のサイバー犯罪対策課が窓口となります。告訴には証拠資料の提出が求められるため、フォレンジック調査結果を準備しておきます。

個人情報保護委員会への報告は、個人情報の漏洩が発生した場合に義務となるケースがあります。2022年の改正個人情報保護法により、一定の要件を満たす漏洩事案は報告が義務化されています。

業界規制当局への報告は、金融、医療、電力などの規制業種では、それぞれの監督官庁への報告義務があります。報告期限や様式は業界ごとに異なるため、事前に確認しておく必要があります。

バックアップと復旧戦略

マルウェア耐性バックアップ

ランサムウェアをはじめとするマルウェア攻撃に対抗するため、バックアップ戦略の強化が不可欠です。従来の「3-2-1ルール」を発展させた「3-2-1-1-0ルール」が推奨されています。

3つのコピー: 本番データに加え、最低2つのバックアップコピーを保持します。
2種類のメディア: ディスク、テープ、クラウドなど、異なる種類のメディアに保存します。
1つはオフサイト: 災害対策として、地理的に離れた場所に1つのバックアップを保管します。
1つはオフライン（エアギャップ）: ネットワークから完全に切り離されたバックアップを保持し、ランサムウェアからの暗号化を防ぎます。
0エラー: バックアップのリストアテストを定期的に実施し、復旧可能であることを確認します。

イミュータブルバックアップ（変更不可バックアップ）は、一度書き込まれたデータを一定期間削除・変更できないようにする技術です。クラウドストレージのオブジェクトロック機能や、WORM（Write Once Read Many）ストレージを活用します。

詳細な戦略設計については、バックアップ戦略のページで解説しています。

復旧計画の重要性

事前に復旧計画を策定しておくことで、インシデント発生時に迅速な意思決定が可能になります。

RTO（目標復旧時間）とRPO（目標復旧時点）の設定は、システムごとに業務上の重要度を評価し、許容されるダウンタイムとデータ損失量を定義します。これに基づいてバックアップ頻度と復旧手順を設計します。

復旧優先順位の決定では、すべてのシステムを同時に復旧することは現実的ではないため、事業継続に不可欠なシステムから段階的に復旧します。優先順位は事前にBCP（事業継続計画）で定義しておきます。

段階的復旧アプローチとして、まず最小限の業務継続に必要なシステムを復旧し、その後、順次システムを追加していきます。各段階で動作確認と監視強化を行い、再感染がないことを確認しながら進めます。

復旧プロセスの詳細は、復旧と事業継続のページで体系的に解説しています。

コミュニケーションと報告

社内コミュニケーション

インシデント発生時の社内コミュニケーションは、混乱を防ぎ、組織一丸となった対応を可能にするために極めて重要です。

経営層への報告は、インシデントの規模、ビジネスへの影響、対応状況、必要なリソースを簡潔に伝えます。技術的な詳細よりも、意思決定に必要な情報を優先します。報告のタイミングは事前に定めておき、第一報から定期アップデートまでのルールを明確にしておきます。

従業員への通知では、パニックを避けつつ、必要な行動（不審なメールを開かない、特定のシステムにアクセスしないなど）を伝えます。情報の過不足なく、明確な指示を出すことが重要です。

対応チーム間の連携は、IT部門、セキュリティチーム、法務、広報、人事など、複数の部門が関与するため、情報共有と役割分担を明確にします。専用のコミュニケーションチャネル（感染していないシステム上）を確保しておくことも推奨されます。

社外コミュニケーション

ステークホルダー	報告タイミング	主な報告内容
顧客・取引先	影響が確認され次第	影響範囲、対応状況、推奨アクション
メディア	公表判断後	事実関係、対応方針、再発防止策
規制当局	法定期限内	インシデント概要、影響、対応状況
法執行機関	被害届提出時	被害内容、証拠資料

顧客・取引先への通知は、個人情報や取引情報が影響を受けた可能性がある場合、適切なタイミングで通知します。通知の内容は法務部門と協議し、法的リスクを考慮して作成します。

メディア対応は、インシデントが公になった場合、または自主的に公表する場合に必要となります。広報部門が窓口となり、一貫したメッセージを発信します。推測や未確認情報は避け、事実に基づいた情報のみを提供します。

詳細なコミュニケーション戦略については、ステークホルダーコミュニケーションのページで解説しています。

サプライチェーン経由の攻撃への対応

サプライチェーン攻撃の特殊性

サプライチェーン攻撃は、ソフトウェアベンダーやサービスプロバイダーを経由して組織に侵入する攻撃です。2020年のSolarWinds攻撃に代表されるように、信頼された経路からの侵入であるため検知が困難であり、影響範囲が広範になる特徴があります。

影響範囲の広さ: 同じソフトウェアやサービスを利用する複数の組織が同時に被害を受ける可能性があります。自組織だけでなく、業界全体の問題となることもあります。
複数組織間の連携の必要性: 被害組織、ベンダー、セキュリティ研究者、規制当局など、多くの関係者との情報共有と連携が求められます。
信頼された経路からの侵入: 正規のソフトウェアアップデートやクラウドサービスを経由するため、従来のセキュリティ対策では検知しにくい側面があります。

対応のポイント

SBOM（Software Bill of Materials）による影響特定は、組織内で使用しているソフトウェアとその依存関係を把握しておくことで、特定のコンポーネントに脆弱性が発見された際の影響範囲を迅速に特定できます。

取引先との情報共有では、サプライチェーン攻撃の場合、被害組織とベンダー間の密接な連携が不可欠です。NDА（秘密保持契約）の範囲内で、技術的な情報を共有し、対策を協議します。

業界ISACとの連携として、金融ISAC、電力ISACなど、業界ごとの情報共有組織を通じて、攻撃情報や対策を共有することで、業界全体の防御力を高めることができます。

詳細な対応フローについては、サプライチェーン攻撃対応のページで解説しています。

インシデント対応体制の整備

CSIRT/SOCの構築

効果的なインシデント対応には、専門のチーム体制が欠かせません。

体制	役割	適した組織規模
CSIRT	インシデント対応の統括、分析、調整	中〜大企業
SOC	24時間監視、アラート対応、初期分析	大企業
外部委託（MDR）	監視・分析・初動対応の外部化	中小企業〜

役割と責任の明確化は、インシデント発生時に誰が何を担当するかを事前に定義しておきます。インシデントマネージャー、技術リード、コミュニケーション担当など、役割ごとの責任範囲を文書化します。

必要なスキルセットとして、マルウェア解析、ネットワークフォレンジック、ログ分析、脆弱性管理、コミュニケーション能力など、多様なスキルが求められます。すべてを社内で賄う必要はなく、外部専門家との連携も視野に入れます。

内製vs外部委託の判断は、組織の規模、予算、セキュリティ成熟度によって異なります。中小企業では、IPAの「サイバーセキュリティお助け隊」やMDRサービスの活用が現実的な選択肢となります。セキュリティガバナンスの観点から、組織に適した体制を検討してください。

訓練と演習

体制を整備しただけでは不十分であり、定期的な訓練と演習によって実効性を高める必要があります。

訓練種類	内容	推奨頻度
机上演習（Tabletop Exercise）	シナリオベースの議論形式訓練	年2回以上
実機訓練	実際のツールを使った技術訓練	年1回以上
レッドチーム演習	攻撃者役による実践的テスト	年1回

机上演習（Tabletop Exercise）は、インシデントシナリオを設定し、関係者が集まって対応を議論する形式の訓練です。技術的なスキルよりも、意思決定プロセスやコミュニケーションの課題を発見するのに適しています。

実機訓練では、実際のフォレンジックツールやEDRを使って、マルウェアのサンプル（安全な環境で）を分析する訓練を行います。技術者のスキル維持・向上に有効です。

レッドチーム演習は、外部または内部の攻撃者役が実際に組織を攻撃し、防御側がどこまで検知・対応できるかをテストします。最も実践的ですが、リスクと費用も伴うため、成熟した組織向けの取り組みです。

まとめ：効果的なインシデント対応のために

マルウェアインシデントへの効果的な対応は、以下の5つの原則に集約されます。

準備が9割です。事前の体制構築と計画策定なくして、適切な対応はできません。インシデント対応計画の策定、チーム体制の構築、ツールの整備、そして定期的な訓練を平時から継続してください。

迅速な初動が被害を左右します。感染発覚後の最初の1時間が勝負です。隔離、影響範囲の特定、関係者への連絡を速やかに行うことで、被害拡大を防止できます。そのためには、判断に迷わない明確な手順書とエスカレーションルールが必要です。

証拠保全を怠らないことも重要です。法的対応、サイバー保険請求、再発防止のために、適切な証拠保全が不可欠です。復旧を急ぐあまり証拠を失わないよう、両者のバランスを取った対応を心がけてください。

コミュニケーションが信頼を守るという点も忘れてはなりません。ステークホルダーへの適切な情報提供は、組織の信頼維持に直結します。何を、誰に、いつ伝えるかを事前に計画し、インシデント発生時に混乱しないよう備えてください。

継続的改善でより強い組織へと成長していくことが最終目標です。すべてのインシデントを学習の機会と捉え、根本原因分析と改善策の実施を通じて、組織のセキュリティ成熟度を高め続けてください。

本ガイドで紹介した各トピックの詳細については、以下の関連ページをご参照ください。マルウェア感染対策の完全ガイド（ピラーページ）では、予防から対応までの全体像を俯瞰できます。また、各クラスターページでは、個別のトピックについてさらに深く掘り下げた情報を提供しています。

よくある質問

Q: マルウェア感染が疑われたとき、最初に何をすべきですか？: A: まず感染端末をネットワークから隔離してください。LANケーブルを抜く、Wi-Fiを無効にするなどの物理的な隔離が最も確実です。ただし、電源は切らないでください。メモリ上の証拠が失われます。隔離後、IT部門またはセキュリティ担当者に報告し、組織のインシデント対応手順に従って対応を進めてください。迅速な初動対応が被害拡大の防止につながります。
Q: インシデント対応にどのくらい時間がかかりますか？: A: インシデントの規模と種類によりますが、一般的なマルウェア感染で数日から1週間、ランサムウェア攻撃では2週間から1か月以上かかることもあります。初動対応（封じ込め）は数時間以内に行い、その後の根絶・復旧・事後対応は段階的に進めます。事前の準備と体制構築により、対応時間を大幅に短縮できます。平時からの訓練と計画策定が重要です。
Q: 社内にCSIRTがない場合、どうすればよいですか？: A: 外部のインシデント対応サービス（MDR、セキュリティベンダーの緊急対応サービス）を活用してください。JPCERT/CCやIPAなどの公的機関にも相談できます。平時から外部専門家との連携体制を構築しておくことが重要です。中小企業向けにはIPAの「サイバーセキュリティお助け隊」などのサービスもあります。費用対効果を考慮して、自組織に適した選択肢を検討してください。
Q: 証拠保全と業務復旧、どちらを優先すべきですか？: A: 状況によりますが、基本的には並行して進めることが理想です。最低限の証拠（メモリダンプ、重要ログ）を確保した上で、復旧作業に移行します。ただし、訴訟やサイバー保険請求が想定される場合は、証拠保全を優先し、フォレンジック専門家に相談してください。事前に優先順位の判断基準を決めておくことで、インシデント発生時に迷わず対応できます。
Q: インシデント対応の訓練はどのくらいの頻度で実施すべきですか？: A: 机上演習（Tabletop Exercise）は年2回以上、実機を使った訓練は年1回以上が推奨されます。新たな脅威が出現した場合や、組織体制が変更された場合にも追加で実施してください。訓練後は必ず振り返りを行い、手順書や体制の改善につなげることが重要です。訓練の質を高めるため、外部ファシリテーターの活用も検討してください。
Q: ランサムウェアの身代金は支払うべきですか？: A: 身代金の支払いは推奨されません。支払いは攻撃者を利することになり、データが復号される保証もありません。また、支払い後も再度攻撃される可能性があります。ただし、事業継続が危機的状況にある場合、経営判断として支払いを選択せざるを得ないケースも存在します。この判断は経営層が法務・外部専門家と協議の上で行うべきであり、法執行機関への相談も検討してください。
Q: 個人情報が漏洩した可能性がある場合、どのような対応が必要ですか？: A: まず漏洩の範囲と影響を可能な限り特定します。個人情報保護法では、一定の要件（要配慮個人情報の漏洩、財産的被害のおそれ、不正目的での漏洩など）に該当する場合、個人情報保護委員会への報告と本人への通知が義務化されています。速報は発覚後速やかに、確報は30日以内（不正アクセスの場合は60日以内）に行う必要があります。法務部門と連携し、適切な対応を進めてください。

本記事は、マルウェアインシデント対応に関する一般的な情報提供を目的としています。記載内容は執筆時点の情報に基づいており、サイバー攻撃の手法は日々進化しているため、最新の状況とは異なる可能性があります。

実際のインシデント対応においては、組織固有の状況、法的要件、業界規制などを考慮した判断が必要です。法的対応については弁護士、技術的な対応についてはセキュリティ専門家への相談を推奨します。

本記事の情報を参考に行動した結果について、当サイトは一切の責任を負いかねます。重大なインシデントが発生した場合は、速やかに専門家や公的機関（警察、JPCERT/CC、IPAなど）に相談してください。

参考資料：

NIST SP 800-61 Rev.2（Computer Security Incident Handling Guide）
JPCERT/CC インシデントハンドリングマニュアル
IPA 情報セキュリティ10大脅威 2025
警察庁令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について

更新履歴

2025年12月24日: 初稿公開

マルウェアインシデント対応の完全ガイド｜検知から復旧まで体系的に解説