これは機器の故障ではない
ファイルが開けないという症状は同じでも、原因がランサムウェアの場合、対処は根本的に異なります。
見分けるポイントは次のとおりです。
- ファイルの拡張子が見慣れないものに変わっている
- フォルダ内に身代金要求の文書（テキストファイルやHTMLファイル）が置かれている
- デスクトップの壁紙が変更され、支払いを促す表示が出る
- 特定のファイルだけでなく、文書・写真・データファイルが広範囲に開けなくなっている
- 一方で、ドライブ自体は正常に認識されている
ドライブが認識され、ファイルの一覧は見えるのに中身が開けない——この組み合わせであれば、物理的な故障ではなく暗号化を疑ってください。物理障害と論理障害の違いについては論理障害と物理障害の違いも参照してください。
最初にやること：ネットワークから切り離す
ランサムウェアは、接続されている他の端末や共有フォルダにも広がります。
感染が疑われる端末を、有線LANケーブルを抜く・Wi-Fiをオフにするなどしてネットワークから切り離してください。 家庭内でも、NASや共有フォルダが被害を受ける前に隔離することが重要です。
外付けHDDやUSBメモリを接続したままにしないでください。 バックアップのつもりで常時つないでいた外付けドライブが、一緒に暗号化されるのは典型的な被害の広がり方です。
電源を落とすかどうかは判断が分かれます。暗号化が進行中であれば止めたほうがよい一方、電源を切るとメモリ上の情報が失われ、後の調査や復号の手がかりが消える可能性があります。 業務データや法人の環境であれば、電源を落とす前に専門家へ相談してください。
身代金は支払わない
支払っても復号できる保証はありません。 復号ツールが提供されない、提供されても正常に動かない、といった事例があります。
さらに、支払いに応じた組織は「支払う相手」として認識され、再度標的にされるリスクが生じます。IPAや警察庁も、支払いではなく事前の備えと被害後の適切な対応を求めています。
復号ツールが存在する場合がある
見落とされがちですが、ランサムウェアの種類によっては、無償の復号ツールが公開されています。
- 警察庁は、特定のランサムウェア（Phobos／8Base など）により暗号化されたファイルの復号ツールの利用について案内しています
- No More Ransom は、欧州刑事警察機構などが運営する国際プロジェクトで、IPAも参加しています。 暗号化されたファイルや身代金要求文書から種類を判定し、対応する復号ツールがあれば入手できます
まず、自分が受けた被害がどの種類なのかを調べてください。 該当するツールがあれば、費用をかけずに復旧できる可能性があります。
ただし、出所の分からない「復号ツール」をダウンロードしないでください。 被害者を狙った二次被害の手口があります。警察庁・IPA・No More Ransom のような公的・公認の窓口から入手してください。
暗号化されたファイルを消さない
今すぐ復号できなくても、ファイルを削除しないでください。
ランサムウェアの復号ツールは、後から公開されることがあります。攻撃者の摘発や鍵の押収によって、数か月後・数年後に復号可能になった事例があります。
暗号化されたファイルは、外付けメディアに退避して保管しておいてください。 保管しておかなければ、将来ツールが出ても復旧できません。
相談先
警察に相談してください。 都道府県警察のサイバー犯罪相談窓口が受け付けています。法人の場合、被害の内容によっては個人情報保護委員会への報告義務が生じることもあります。
IPAには情報セキュリティ安心相談窓口があり、個人・法人を問わず相談できます。
データ復旧業者に依頼する場合は、ランサムウェア被害に対応しているかを事前に確認してください。 物理故障の復旧とは必要な技術が異なります。何をどう伝えるかは復旧業者に伝えるべきことを参照してください。
再発を防ぐ：バックアップの置き方
被害の大きさを決めるのは、バックアップが生きているかどうかです。
IPAは、バックアップがランサムウェアによって一緒に暗号化される事例が多数確認されているとして、こまめに取得したうえでネットワークから切り離してオフラインで保存することを推奨しています。
つまり、常時接続されている外付けHDDやNASだけでは、バックアップとして不十分だということです。詳しくはバックアップは「取っているつもり」が一番危ないにまとめています。
なお、RAIDはバックアップの代わりにはなりません（バックアップとRAIDの違い）。ランサムウェアはRAID構成のNASも暗号化します。
よくある質問
# Q. 個人のパソコンでも被害に遭いますか？
遭います。企業を狙った攻撃が報道されやすいだけで、個人の端末も対象になります。家庭内のNASや共有フォルダが被害を受ける事例もあります。
# Q. ウイルス対策ソフトで駆除すればファイルは戻りますか？
戻りません。 駆除はマルウェアを取り除く処理であり、暗号化されたファイルは暗号化されたままです。復号には別途ツールか鍵が必要です。
# Q. データ復旧業者に頼めば復号できますか？
暗号化の解除は、原理的に鍵がなければ困難です。「必ず復号できる」と断言する業者には注意してください。 復号ツールの適用や、暗号化を免れた領域からの救出が現実的な対応になります。
# Q. バックアップも暗号化されていました。
接続されたままのバックアップは、暗号化の対象になります。 過去のバックアップメディアが手元にあれば確認してください。今後はオフライン保存を前提にしてください。
