マルウェア感染被害が発生した際、適切な証拠保全を行わなければ、刑事告訴が受理されない、民事訴訟で立証できない、サイバー保険が支払われないといった二次被害に発展します。本記事では、デジタルフォレンジックの基礎から、Chain of Custody（証拠の連鎖）の維持方法、法執行機関への通報手順、規制当局への報告義務まで、法的対応に備えた証拠保全の実践手順を詳しく解説します。インシデント発生時に慌てないための事前準備についても触れています。
なぜ証拠保全が重要なのか
サイバーインシデントにおける証拠は、デジタルデータという特殊な性質を持ちます。適切な手順で収集・保管しなければ、法的な証拠能力を失うだけでなく、被害の全容解明や再発防止にも支障をきたします。
法的対応における証拠の役割
| 証拠が必要な場面 | 目的 | 必要な証拠の例 |
|---|---|---|
| 刑事告訴 | サイバー犯罪者の訴追 | 侵入ログ、マルウェア検体、通信記録 |
| 民事訴訟 | 損害賠償請求 | 被害範囲、因果関係、損害額の根拠 |
| サイバー保険請求 | 保険金の受領 | インシデント発生証明、対応費用明細 |
| 規制当局報告 | 法令遵守 | 漏洩データ範囲、対応状況 |
| 内部調査 | 責任所在、再発防止 | 時系列記録、操作ログ |
証拠が不十分だった場合のリスク
- 刑事告訴の不受理
- 証拠が不十分または改変の疑いがある場合、警察は告訴を受理しても捜査に進めないことがあります。サイバー犯罪の捜査には技術的な証拠が不可欠であり、被害者側の証拠収集能力が事件解決に直結します。
- 民事訴訟での立証失敗
- 電子証拠は改変が容易であるため、その信頼性を担保する手続きが求められます。Chain of Custody（証拠の連鎖）が維持されていなければ、証拠として採用されない可能性があります。
- 保険金支払い拒否
- サイバー保険の請求には、インシデントの発生と被害内容を証明する必要があります。証拠が不十分な場合、保険会社が支払いを拒否するケースがあります。
- 株主代表訴訟リスク
- 上場企業では、インシデント対応の不備により株主から経営責任を問われるリスクがあります。適切な証拠保全は、経営者の善管注意義務履行の証明にもなります。
デジタルフォレンジックの基礎
デジタルフォレンジックとは、デジタルデータを法的な証拠として収集・分析・保全する科学的手法です。ランサムウェア対応や標的型攻撃の調査において、不可欠な技術領域です。
証拠収集の4原則
- 完全性（Integrity）
- 証拠データに改変を加えないことが最重要です。オリジナルデータには直接触れず、完全なコピー（イメージ）を作成してから分析を行います。書き込み防止装置（Write Blocker）の使用が推奨されます。
- 正確性（Accuracy）
- データの正確な複製を作成します。ビットレベルでの完全なコピーを取得し、ハッシュ値で原本との同一性を検証します。MD5やSHA-256などの暗号学的ハッシュ関数を使用します。
- 包括性（Completeness）
- 関連する全てのデータを収集します。明らかに関連するデータだけでなく、後から必要になる可能性のあるデータも含めて収集することが重要です。ストレージ全体のイメージ取得が理想的です。
- 説明責任（Accountability）
- 証拠の取り扱いに関する全ての手順を文書化します。誰が、いつ、何を、どのように行ったかを記録し、第三者が検証可能な状態を維持します。
揮発性順序での証拠収集
デジタル証拠には、消失しやすいものとそうでないものがあります。揮発性の高いデータから優先的に収集することが鉄則です。
| 優先度 | データ種類 | 消失リスク | 収集方法 |
|---|---|---|---|
| 1（最優先） | CPUレジスタ・キャッシュ | 即時消失 | 通常は収集困難 |
| 2 | メモリ（RAM） | 電源切断で消失 | メモリダンプツール |
| 3 | ネットワーク状態 | 常時変動 | netstat、接続情報取得 |
| 4 | 実行中プロセス | 常時変動 | プロセスリスト、ハンドル情報 |
| 5 | ディスク | 比較的安定 | ディスクイメージング |
| 6 | 外部メディア・バックアップ | 安定 | 物理的な保全 |
Chain of Custody（証拠の連鎖）
Chain of Custodyは、証拠の取り扱い履歴を途切れなく記録することで、証拠の信頼性を担保する仕組みです。
- 取扱者の記録
- 証拠に触れた全ての人物の氏名、所属、役割を記録します。証拠の受け渡しがあった場合は、引き渡し者と受領者の両方が署名します。
- 日時の記録（タイムスタンプ）
- 証拠の発見、収集、移動、分析の各段階で正確な日時を記録します。タイムゾーンも明記し、後から時系列を再構成できるようにします。
- 実施内容の詳細記録
- 証拠に対して行った全ての操作を記録します。使用したツール、コマンド、設定なども含めます。
- 保管場所と状態の記録
- 証拠の保管場所（施錠されたキャビネット、金庫など）と、保管時の状態（封印の有無など）を記録します。
証拠収集の実践手順
CSIRT/SOCが実施する証拠収集の具体的な手順を解説します。
メモリフォレンジック
マルウェアの多くはメモリ上で動作するため、メモリダンプの取得は極めて重要です。特にファイルレスマルウェアの痕跡はメモリにしか残らないことがあります。
- メモリダンプ取得の考慮事項
- メモリダンプを取得する際、ツール自体がメモリに読み込まれるため、わずかながら証拠に影響を与えます。しかし、電源を切断するとメモリ内容は完全に失われるため、ダンプ取得による軽微な影響は許容されます。
- 取得のタイミング
- インシデント発覚後、可能な限り早くメモリダンプを取得します。システムの再起動やシャットダウンの前に必ず実施してください。
| ツール名 | 対象OS | 特徴 | ライセンス |
|---|---|---|---|
| WinPmem | Windows | 軽量、コマンドライン | オープンソース |
| DumpIt | Windows | シンプル、ダブルクリックで実行可能 | 無料 |
| FTK Imager | Windows | GUIあり、多機能 | 無料 |
| LiME | Linux | カーネルモジュール方式 | オープンソース |
ディスクフォレンジック
ディスクの証拠保全では、ビットストリームイメージ（物理イメージ）を作成することが理想的です。
- 物理イメージと論理イメージ
- 物理イメージはディスク全体のビットレベルコピーであり、削除されたファイルや未割り当て領域も含まれます。論理イメージはファイルシステムレベルのコピーで、取得は高速ですが情報量は限定的です。法的対応を見据える場合は物理イメージが推奨されます。
- ハッシュ値による完全性検証
- イメージ取得前後でハッシュ値を計算し、一致することを確認します。SHA-256が現在の標準です。MD5は単独での使用は推奨されませんが、SHA-256と併用して記録することがあります。
- タイムライン分析
- ファイルの作成日時、更新日時、アクセス日時（MACタイム）を分析し、インシデントの時系列を再構成します。マルウェアの侵入日時や活動履歴を特定する重要な手法です。
ネットワークフォレンジック
ネットワーク上の証拠は、マルウェアの通信先（C2サーバー）や情報漏洩の有無を特定するために重要です。
- パケットキャプチャ
- ネットワークを流れるパケットを記録します。Wiresharkやtcpdumpが一般的なツールです。ストレージ容量の制約があるため、インシデント発生後に焦点を絞った記録が現実的です。
- フローデータ（NetFlow/sFlow）
- パケット全体ではなく、通信のメタデータ（送信元、宛先、ポート、データ量など）を記録します。長期間の記録が可能で、異常な通信パターンの検出に有効です。
- ログの活用
- ファイアウォール、プロキシサーバー、DNSサーバーのログは、ネットワーク通信の履歴として証拠価値があります。これらのログを確実に保存する体制を事前に整えておくことが重要です。
ログの収集と保全
各種システムのログは、インシデントの時系列を再構成する貴重な証拠です。
- Windows イベントログ
- セキュリティログ（ログオン、権限変更）、システムログ、アプリケーションログを収集します。特にセキュリティログは攻撃者の活動を追跡する上で重要です。
- Syslog
- Linux/Unixシステム、ネットワーク機器のログはSyslogで集中管理されていることが多いです。SIEMへの転送設定も確認します。
- クラウドサービスの監査ログ
- AWS CloudTrail、Azure Activity Log、Google Cloud Audit Logsなど、クラウドプロバイダーの監査ログも重要な証拠源です。デフォルト設定では保存期間が限られるため、長期保存の設定を事前に行っておく必要があります。
法執行機関への通報
ランサムウェア被害やビジネスメール詐欺など、サイバー犯罪の被害を受けた場合、法執行機関への通報を検討します。
通報先と手順
| 通報先 | 役割 | 連絡先・窓口 |
|---|---|---|
| 都道府県警察（サイバー犯罪相談窓口） | 被害相談、被害届受理 | 各都道府県警察本部 |
| 警察庁サイバー犯罪対策課 | 重大事案の捜査 | 都道府県警経由 |
| JPCERT/CC | インシデント情報の収集・共有 | info@jpcert.or.jp |
| IPA（情報処理推進機構） | ウイルス届出、相談 | 03-5978-7509 |
通報時に準備すべき情報
- 被害概要
- 発生日時、発見日時、被害範囲（影響を受けたシステム・データ）、現時点での業務影響を整理します。
- 攻撃の詳細
- 判明している攻撃手口（フィッシングメール、脆弱性悪用など）、マルウェアの種類、侵入経路の推定を説明できるようにします。
- 証拠資料
- 収集した証拠（ログ、マルウェア検体、スクリーンショットなど）のリストを用意します。原本は厳重に保管し、必要に応じて複製を提出します。
- 被害額の算定根拠
- システム復旧費用、業務停止による損失、対応人件費、信用回復費用などを可能な範囲で算出します。
捜査協力の実際
- 証拠提出の手続き
- 捜査機関から証拠の任意提出を求められることがあります。提出するデータの範囲、複製の可否、返還時期などを確認します。
- 事情聴取への対応
- IT担当者、インシデント対応者が事情聴取を受ける可能性があります。事実関係を正確に説明できるよう、社内での情報整理と担当者の準備が必要です。
- 秘密保持との両立
- 顧客情報や営業秘密が証拠に含まれる場合、捜査協力と情報保護の両立について法務部門と相談します。
民事訴訟の検討
マルウェア被害の責任を第三者に追及する場合、民事訴訟が選択肢となります。
損害賠償請求の可能性
- 攻撃者特定時の請求
- 攻撃者が特定できた場合、不法行為に基づく損害賠償請求が可能です。ただし、攻撃者が海外にいる場合や、資産がない場合は実効性に課題があります。
- 委託先のセキュリティ不備
- システム運用を委託している事業者のセキュリティ不備が原因でインシデントが発生した場合、債務不履行または不法行為に基づく損害賠償請求を検討できます。
- 製品・サービスの脆弱性
- 使用していたソフトウェアやサービスの脆弱性が原因の場合、製造物責任法の適用可能性を含めて検討します。ただし、セキュリティパッチを適用していなかった場合は、被害者側の過失相殺が問題となります。
電子証拠の証拠能力
- 証拠能力の要件
- 電子証拠が裁判で採用されるためには、真正性（本物であること）と完全性（改ざんされていないこと）の証明が求められます。Chain of Custodyの記録が重要な役割を果たします。
- 専門家証人の活用
- デジタルフォレンジックの専門家を証人として立て、証拠収集手順の適切性や分析結果の信頼性を証言してもらうことが有効です。
規制当局への報告義務
個人情報漏洩が発生した場合、法令に基づく報告義務があります。
個人情報保護法対応
2022年4月の改正個人情報保護法により、一定の要件を満たす漏洩等事案について、個人情報保護委員会への報告と本人への通知が義務化されました。
| 報告が必要なケース | 報告期限 | 報告内容 |
|---|---|---|
| 要配慮個人情報の漏洩 | 速報：3〜5日以内、確報：30日以内（不正目的は60日） | 概要、漏洩件数、原因、対応状況 |
| 財産的被害のおそれ | 同上 | 同上 |
| 不正目的による漏洩 | 同上 | 同上 |
| 1,000人超の漏洩 | 同上 | 同上 |
業界別の規制対応
- 金融業
- 金融庁への報告義務があります。銀行法、金融商品取引法、保険業法などに基づく監督指針に従います。
- 医療業
- 医療情報の漏洩は厚生労働省への報告対象となります。医療情報システムの安全管理に関するガイドラインに準拠した対応が求められます。
- 上場企業
- 投資判断に影響を与える重大なセキュリティインシデントは、適時開示の対象となる可能性があります。
- 重要インフラ事業者
- NISC（内閣サイバーセキュリティセンター）への報告が求められます。
外部専門家の活用
証拠保全と法的対応には、専門的な知識と経験が必要です。外部専門家の活用を積極的に検討してください。
フォレンジック業者の選定
- 資格と実績の確認
- CHFI（Computer Hacking Forensic Investigator）、EnCE（EnCase Certified Examiner）、GCFE（GIAC Certified Forensic Examiner）などの資格保有者が在籍しているか確認します。また、類似事案の対応実績も重要な選定基準です。
- 費用感
- フォレンジック調査の費用は、規模や複雑さにより数十万円から数百万円以上まで幅があります。事前に見積もりを取得し、調査範囲と期間を明確にすることが重要です。
弁護士との連携
- サイバーセキュリティ専門弁護士
- サイバーインシデント対応に経験のある弁護士を選定します。技術的な内容を理解し、法的戦略を立案できる専門家が必要です。
- 秘匿特権の活用
- 弁護士の指揮下でフォレンジック調査を行うことで、弁護士・依頼者間の秘匿特権（Attorney-Client Privilege）が適用される可能性があります。訴訟リスクが高い場合に検討すべき戦略です。
よくある質問（FAQ）
- Q: 証拠保全は社内で実施できますか？外部委託が必要ですか？
- A: 基本的な証拠保全（ログ収集、スクリーンショット等）は社内で実施可能ですが、訴訟や保険請求を見据える場合は、資格を持つフォレンジック専門業者への委託を推奨します。Chain of Custodyの適切な維持と、専門的な解析能力が証拠能力を大きく左右します。特に重大インシデントや法的対応が予想されるケースでは、早期に外部専門家を関与させることで、証拠の信頼性を高められます。
- Q: 感染した端末の電源は切るべきですか？
- A: 状況により判断が分かれます。メモリ上のマルウェア痕跡を保全したい場合は電源を維持し、メモリダンプを取得してからシャットダウンします。一方、横展開を即座に止める必要がある場合や、メモリダンプ取得の体制がない場合は、ネットワークからの切断を優先し、その後の判断を行います。事前にインシデント対応手順を定め、判断基準を明確にしておくことが重要です。
- Q: サイバー保険請求に必要な証拠は何ですか？
- A: 保険契約の内容により異なりますが、一般的にはインシデント発生の証明（ログ、アラート記録）、被害範囲の特定（影響を受けたシステム・データのリスト）、対応費用の明細（フォレンジック費用、復旧費用、法務費用など）、時系列の対応記録が求められます。保険会社が指定するフォレンジック業者を使用することが条件となっている場合もあるため、事前に契約内容を確認してください。
- Q: 警察に届け出ると情報が公開されますか？
- A: 捜査情報は原則非公開です。ただし、被害規模が大きい場合や社会的影響がある場合、警察発表として報道される可能性はあります。被害届提出時に、公表に関する懸念があれば相談することができます。なお、上場企業の場合は、適時開示義務との兼ね合いで別途判断が必要です。
- Q: 証拠保全にかかる時間はどのくらいですか？
- A: 規模により大きく異なります。端末1台のメモリダンプとディスクイメージ取得で2〜4時間程度、サーバー10台規模で1〜2日、大規模環境では1週間以上かかることもあります。また、フォレンジック業者による分析は、さらに1〜4週間程度を見込む必要があります。インシデント対応と並行して進めるため、リソース配分の計画が重要です。
まとめ
マルウェア感染被害における証拠保全は、法的対応の成否を左右する重要なプロセスです。デジタルフォレンジックの4原則（完全性、正確性、包括性、説明責任）に基づき、Chain of Custodyを維持しながら証拠を収集・保管することで、刑事告訴、民事訴訟、保険請求、規制当局報告のいずれにも対応できる体制を整えられます。
証拠保全は、インシデント発生後に慌てて行うものではなく、事前の準備が重要です。手順書の整備、必要なツールの準備、外部専門家との連携体制の構築を、平時から進めておくことを推奨します。
インシデント発生時の全体的な対応フローはランサムウェア対応プレイブックを、ステークホルダーコミュニケーションや根本原因分析についても併せてご参照ください。
重要なお知らせ
- 本記事は一般的な情報提供を目的としており、法的助言ではありません。
- 具体的な法的対応については、弁護士などの専門家にご相談ください。
- 記載の法令・手続きは作成時点のものであり、最新情報は各機関でご確認ください。
- 実際にマルウェア感染の被害に遭われた場合は、警察（#9110）やIPA（03-5978-7509）などの公的機関にご相談ください。
更新履歴
- 初稿公開
