中小企業のマルウェア感染疑い時の初動対応手順｜情シス1人でも迷わず動ける感染確認・隔離・調査・復旧フロー

PCの動作が急に重くなった。身に覚えのないプロセスが動いている。社内から「変なポップアップが出た」という報告が入った——。

マルウェア感染を疑う状況は突然訪れます。しかも、情シスが1人しかいない中小企業では、誰かに指示を仰ぐことも難しく、その場の判断がそのまま被害の大きさに直結します。

この記事では、マルウェア感染の疑いが生じたときに情シス1人でも迷わず動ける初動対応フローを、感染確認・ネットワーク隔離・証拠保全・業務復旧の順に解説します。「何から手をつければよいか分からない」という方が、この記事を読んだ翌日から動けることを目指して構成しました。

マルウェア感染を疑うべき主な兆候

すべての異常がマルウェアというわけではありませんが、以下のような症状が複数重なる場合は、感染の可能性を前提に行動することが賢明です。

端末・PCの異常

・CPU・メモリ使用率が常に高い（処理していないのに80％以上を推移している）
・見覚えのないプロセスやサービスが常駐している
・ファイルが暗号化され拡張子が見知らぬ文字列に変わっている（ランサムウェアの典型症状）
・ログイン後すぐに画面が固まる、または原因不明の再起動を繰り返す

ネットワークの異常

・業務負荷がないのに通信量が急増している
・外部の見知らぬIPアドレスへ定期的に通信している（C2通信の疑い）
・ファイアウォールやUTMのアラートログに不審な検知が出ている

ユーザーからの報告

・「ウイルスに感染しました」という警告ポップアップが突然出た
・ブラウザのホームページやデフォルト検索が勝手に変わった
・自分では送っていないメールが送信済みフォルダに残っている

初動で最も大切なこと：「焦って再起動しない」

感染が疑われる場面で一番よくある誤りが、とにかくPCを再起動してしまうことです。再起動するとメモリ上の証拠（実行中プロセスの情報・ネットワーク接続状態）が消えてしまい、その後の調査が格段に難しくなります。また、ランサムウェアによっては再起動を機に暗号化処理が一気に走るケースもあります。

感染を疑ったら、まず落ち着いて次の初動5ステップを順番どおりに実施してください。

感染疑い時の初動5ステップ

1. 状況を記録する（スクリーンショット・メモ）

「今何が起きているか」を記録することが最初の一手です。再起動すると消えてしまう情報を、今この瞬間に残しておきます。

・画面の異常なポップアップやメッセージのスクリーンショットを撮る（スマートフォンで画面を撮影するだけでも構わない）
・タスクマネージャーやプロセス一覧を記録する（Windowsなら Ctrl+Shift+Esc で起動）
・「いつ、誰が、何を発見したか」を日時つきでメモする

この記録は後の調査・報告書作成・警察への被害届提出のときに必ず役立ちます。デジタルフォレンジックの観点でも、初期状態のスナップショットは貴重な情報です。

2. 該当端末をネットワークから隔離する

感染の疑いがある端末を社内ネットワークから切り離し、横感染の拡大を止めます。

・有線LANのケーブルをすぐに抜く
・Windowsの場合は「設定 → ネットワークとインターネット → 機内モード → オン」にする
・Wi-Fiを無効化する（ネットワークアダプターを右クリック → 無効化）

重要なのは「インターネット接続を切るだけでは不十分」という点です。社内ネットワーク（LAN）からも切り離す必要があります。外部への通信だけ止めても、社内の他のPCやファイルサーバーへの感染拡大が続く可能性が残ります。

隔離前に、現在の接続状態を記録しておくと調査に役立ちます。

# Windowsのコマンドプロンプト（管理者）で現在のネットワーク接続を確認する
netstat -ano | findstr ESTABLISHED

# 不審な外部IPへの接続が残っていないか目視確認する
# 出力結果はスクリーンショットまたはテキストファイルに保存してから切断する

3. 経営者・関係者へ第一報を入れる

技術的な対応と並行して、経営層への報告を忘れてはいけません。対応が長引いた後に「なぜ報告が遅かったのか」という問題に発展するケースは少なくないため、第一報は早い段階で行います。

・発生日時・発見者・影響が疑われる端末・現時点で取っている措置を簡潔に伝える
・個人情報が含まれるデータへのアクセスがあった可能性がある場合は、個人情報保護法上の報告義務（原則として72時間以内の個人情報保護委員会への報告）も念頭に置く
・会社のインシデント対応手順書がある場合は、手順書に従ってエスカレーションする

なお、個人情報漏洩が疑われる場合の行政報告・被害届の手順については、当サイトの中小企業のセキュリティインシデント発生時の報告義務で詳しく解説しています。

4. 感染範囲を調査する

隔離した端末だけが感染しているのか、社内の他の端末にも広がっているのかを確認します。

確認すべき優先事項（一般的な調査観点として参考にしてください）

・同じネットワークセグメントにある他の端末のウイルス対策ソフトでフルスキャンを実行する
・ファイルサーバーやNASにアクセスして、ファイルの拡張子が一括変更されていないか確認する
・UTM・ファイアウォールのログで、同じ不審なIPアドレスへの通信が他端末からも出ていないか確認する
・Active Directoryがある場合は、ドメインコントローラーのイベントログで不審なログイン・権限変更がないか確認する

この段階では「疑わしいものはすべてリストアップ」するつもりで、範囲を広めに取ることが重要です。後から「実はあの端末も感染していた」という事態は対応を大きく複雑にします。

5. 証拠を保全する

後の調査・復旧・外部専門家への依頼・警察への被害届に備えて、以下の情報を保全します。

・UTM・ファイアウォールのログをCSV等でエクスポートし、日時・保存先を記録する
・Windowsイベントログ（セキュリティ・システム・アプリケーション）をevtx形式でエクスポートする
・疑わしいファイルはすぐに削除せず、隔離フォルダに移動してパスワード付きZIPに保管する
・感染端末のディスクイメージを取得できる環境があれば取得しておく（外部の専門家に調査を依頼する場合に必要になることが多い）

ツールを実行する場合は、隔離した端末に対してUSBメモリ経由で外部ツールを持ち込む方法が一般的です。証拠保全のためにインターネット接続を復旧させてツールをダウンロードすることは避けてください。

業務復旧の流れ

感染範囲の特定と証拠保全が完了したら、感染前の状態への復旧に進みます。

想定される復旧ステップ（優先度の高い順）

・クリーンなバックアップからのリストア（感染前の日付のバックアップが存在する場合。これが最も確実な方法）
・感染端末のOS再インストール（部分的なクリーニングでは再発リスクが残るため、原則フルクリーンインストール）
・最新パッチを適用した状態でソフトウェアを再インストールする
・パスワードの変更（感染端末で使用していたすべてのサービス・アカウントのパスワードを変更する）
・復旧後2週間程度は通常より詳細にログを監視し、再感染の兆候がないか確認する

ランサムウェアに感染した場合、バックアップがなければデータの復元はほぼ不可能です。3-2-1バックアップルール（3つのコピー・2種類のメディア・1つはオフサイト保管）を感染前から整備しておくことの重要性はここにあります。

感染前に準備しておくべき3つのこと

1. インシデント対応手順書の整備

「感染したかもしれない」という状況で初めて手順を考えるのでは遅すぎます。誰が隔離を行うか、誰に報告するか、外部窓口の連絡先はどこか——これらを事前に手順書にまとめておくことが、実際の被害を最小化する最大の準備です。

手順書の作り方と社内体制の整備については、中小企業のCSIRT設置ガイドで詳しく解説しています。

2. バックアップの定期確認

「バックアップを取っている」と思っていても、いざリストアしようとしたら壊れていた、というケースは一般的に起こりえます。月に1回程度、実際にファイルを1つリストアして復元できることを確認してください。この確認作業そのものが、ランサムウェア対策の最大の保険になります。

3. エンドポイント保護の状態確認

ウイルス対策ソフトが最新の定義ファイルで動作しているか、EDR（エンドポイント検知・対応）ツールが導入されているかを定期的に棚卸しします。特に、「かつて入れたまま更新が止まっているセキュリティソフト」が複数残っている中小企業のPCには注意が必要です。定義ファイルが古くなったセキュリティソフトは、「あるだけ意味がある」状態にはなりません。

よくある誤解と注意点

【誤解1】「ウイルス対策ソフトが反応しなければ安全」

ウイルス対策ソフトが検知しないマルウェアは数多く存在します。特にファイルレスマルウェア（ディスクにファイルを書き込まず、メモリ上でのみ動作する）は従来の定義ファイルベースの検知をすり抜けることがあります。「反応がない＝感染していない」という思い込みは危険です。疑わしい挙動があれば、検知ゼロでも調査を進めることが重要です。

【誤解2】「感染端末だけ対処すれば大丈夫」

マルウェアの多くは、感染後に社内ネットワークを横断して他の端末やサーバーに広がります（ラテラルムーブメント）。1台だけクリーンアップして「対応完了」とすると、数日後に別の端末から再感染が始まるという事態が生じます。ネットワーク全体のログ確認とスキャンが不可欠です。

【誤解3】「自分で全部対処しなければならない」

感染範囲が広い・暗号化が進んでいる・重要な個人情報が含まれている——そういった深刻なケースでは、専門のインシデント対応会社への依頼を躊躇しないことが重要です。初動を誤って証拠を消してしまうと、原因究明がかえって難しくなります。IPAのサイバーセキュリティ相談窓口や、民間のインシデント対応サービスを事前にリストアップしておくことも選択肢のひとつです。

本記事のまとめ

マルウェア感染疑い時の初動対応のポイントを整理します。

感染を疑ったらまず「記録して、切り離す」。この2つを頭に入れておくだけで、初動の判断は格段に落ち着きます。インシデント対応手順書がまだ整備できていない方は、今日から「緊急連絡先リスト」一枚から始めることをお勧めします。

姉妹サイトLinuxMaster.JPでは、Linuxサーバーのログ調査や不審プロセスの確認手順を詳しく解説しています。Linuxサーバーが社内に存在する場合は、あわせてご参照ください。