本記事はアフィリエイト広告（PR）を含みます。紹介料の有無で内容や評価は変えていません。
去年の8月、お客様先でランサムウェアの被害に立ち会いました。私にとっては3件目でした。1件目は感染の瞬間を目の前で見ています。2件目では、社長に「今すぐ線を抜いてください」と指示して、バックアップを1台だけ守りました。3件目は、どうやっても戻せませんでした。
3件を通して分かったのは、「バックアップを取っている」ことと「バックアップが助けてくれる」ことは、まったく別だということです。ここを取り違えている会社が、本当に多い。
お客様の業種や社名は伏せますが、起きたことはそのまま書きます。
1件目：目の前で、数秒で広がった
別件でお客様先に伺っていたときのことです。担当の方が、心当たりのないメールの添付ファイルを開きました。
数秒でした。そのパソコンの画面がおかしくなり、続けて同じ部屋の他のパソコンも次々と同じ状態になりました。ファイルが開けなくなり、拡張子が見慣れないものに変わっていく。私はその場にいて、何もできませんでした。
結局、データは復元できませんでした。その会社は数日間、仕事が止まりました。
「うちの社員はそんなメールは開かない」と言う経営者の方は多いです。ですが私が見たのは、普通に仕事をしている、真面目な担当者でした。特別に不注意な人ではありません。だから怖いのだと思います。
2件目：「今すぐ線を抜いてください」
2件目は電話から始まりました。「サーバーにアクセスしたら、ファイルが開けない」という連絡です。
症状を聞いた時点で、ランサムウェアの可能性が高いと判断しました。そこで、現地にいた社長にこう伝えました。
「サーバーのLANケーブルを抜いてください。それと、つないでいる外付けハードディスクの線も、今すぐ全部抜いてください」
その会社は、外付けHDDを3台使ってバックアップを取っていました。駆けつけて確認したところ、サーバーのデータは全滅。外付けHDDも3台のうち2台はやられていました。暗号化はネットワークとUSB接続をたどって、つながっているものへ順に広がっていたのです。
残った1台から復元して、その会社はどうにか業務を続けられました。
よく「奇跡的に1台助かった」と言われますが、私はそうは思っていません。電話を受けてから線を抜いてもらうまでの数分で、間に合ったのが1台だったというだけです。連絡がもう少し遅ければ、3台とも失っていました。
3件目：バックアップが無かった
3件目も「サーバーが開けない」という連絡でした。同じようにLANを抜いてもらいましたが、こちらは打つ手がありませんでした。
業務システムのバックアップを、誰も取っていなかったのです。ファイルサーバーのデータは別に控えがありましたが、業務システムの中身だけは対象から漏れていました。
この会社は、その後クラウド管理へ切り替えました。ただ、ここも正直に書いておきます。移行の際に、過去のデータが一部引き継げませんでした。「クラウドにすれば解決」ではありません。失ったものは失ったままです。
3件に共通していたこと
| バックアップ | 結果 | 分かれ目 | |
|---|---|---|---|
| 1件目 | 実質なし | 復元不可・数日停止 | 感染に気づくのが遅かった |
| 2件目 | 外付けHDD 3台 | 1台から復元して継続 | 連絡が早く、線を抜くのが間に合った |
| 3件目 | 業務システムは対象外 | 復旧不能・クラウド移行 | バックアップの範囲が漏れていた |
3件とも、セキュリティに無頓着な会社ではありませんでした。ウイルス対策ソフトも入っていましたし、バックアップも「取っているつもり」でした。
それでも差が出たのは、次の2点です。
- 異変に気づいてから、ネットワークとUSBを切るまでの時間
- バックアップが、感染したときに切り離されているかどうか
つないだままの外付けHDDは、一緒にやられる
ここが、いちばん伝えたいところです。
ランサムウェアは、感染したパソコンから見えるものを順に暗号化します。USBでつなぎっぱなしの外付けHDDも、共有されているNASも、「見えている」ので対象になります。毎晩きちんとバックアップを取っていても、その保存先がつながったままなら、本体と一緒に暗号化されます。
2件目の会社が助かったのは、3台のうち1台が、線を抜いた時点でまだ無事だったからです。
だから私は、お客様にはこう説明しています。
- バックアップ用のディスクは、バックアップのときだけつなぐ
- 2台以上を用意して、日を分けて交互に使う（片方は必ず外れている状態を作る）
- 1台は事務所の外に置く（火災・盗難・水害はランサムウェアとは別に起きます）
- クラウドを使う場合も、過去の版に戻せる設定になっているかを確認する。上書き同期だけだと、暗号化されたファイルで上書きされて終わりです
「開けない」と言われたときの初動
社内の誰かから「ファイルが開けない」「見慣れない画面が出た」と言われたときに、最初にやることです。順番に意味があります。
| 順 | やること | 理由 |
|---|---|---|
| 1 | LANケーブルを抜く／Wi-Fiを切る | 他の端末への広がりを止める。最優先 |
| 2 | USB接続の外付けHDDの線を抜く | バックアップを守れる可能性が残る |
| 3 | 他の端末も同様に切り離す | 感染範囲がまだ分からないため |
| 4 | 画面をスマホで撮る | あとで種類の特定や相談に使える |
| 5 | 専門業者・保守業者に連絡する | ここでようやく落ち着いて判断できる |
やってはいけないこと
- 電源を落とす：とっさにやりがちですが、メモリ上に残っている情報が消え、後の調査が難しくなります。「線は抜く、電源は落とさない」と覚えてください
- とりあえず再起動する：状況が変わるだけで、良くなることはありません
- 身代金を払う：戻る保証はありませんし、支払いの実績は次の標的にされる理由になります
- 自分で復号ツールを探して実行する：偽物が出回っています。被害が増えるだけです
- 感染したパソコンにバックアップ用HDDをつなぐ：確認のつもりで、最後の1台を失います
画面で見ておくと、伝わり方が変わります
ここまで文章で書きましたが、実際の画面を見たことがある人はほとんどいないと思います。社内で説明するときも、言葉だけでは伝わりません。
そこで、感染したときに何が起きるかを画面で再現したデモを用意しました。本物のウイルスではなく、画面の動きを再現しただけのシミュレーションなので、開いても何も起きません。
添付ファイルを開いた数秒後からファイルが次々と開けなくなり、身代金を要求する画面に変わるまでを、そのまま見ることができます。社内研修で使っていただいても構いません。
（PR）入口の対策としてのセキュリティソフト
ここまで書いたとおり、3件の現場で結果を分けたのはセキュリティソフトの有無ではなく、バックアップが感染した機器から切り離されていたかどうかでした。そのうえで、怪しい添付ファイルや偽サイトを入口で止める対策は、被害に遭う確率そのものを下げます。個人事業主の方や、自宅から仕事に使うパソコンの対策の一例として挙げておきます。家庭向けの製品なので、法人として使う場合はライセンスの条件を事前に確認してください。
まとめ
3件に立ち会って、私が変えたことは2つです。
- お客様に「バックアップは取っていますか」ではなく、「そのバックアップ、今つながっていますか」と聞くようにしました
- 異変の連絡を受けたら、原因を聞く前に「まず線を抜いてください」と言うようにしました
2件目の会社が助かったのは、運が良かったからではありません。連絡が早く、線を抜くのが数分間に合っただけです。逆に言えば、その数分で結果が変わります。
今日、自社の外付けHDDがつながったままになっていないか、確認してみてください。それだけでも意味があります。
あわせて読みたい
運営元からのご案内（法人・個人事業主の方へ）
この記事のようなネットワーク・パソコン・サーバーのトラブルや、導入・保守のご相談は、このサイトを運営している株式会社ヒューマンシスコム（千葉市）で承っています。
※ご相談は法人・個人事業主の方に限らせていただいています。個人のお客様からのご相談（ご家庭のパソコンやスマートフォンなど）はお受けしていません。
お問い合わせ（公式サイト）