パソコンやサーバー上のファイル拡張子が突然変わり、デスクトップに身代金要求のメッセージが表示された場合、ランサムウェア攻撃の被害に遭われている可能性が高いといえます。これは大変つらい状況ですが、慌てずに正しい手順を踏むことで、ファイルを復旧できる可能性は十分に残されています。実際に多くのケースで復旧に成功しています。一方で、パニック状態で取ってしまった誤った対応は、その可能性を大幅に低下させることがございます。本記事では、攻撃発生後の最初の24時間に取るべき対応について解説いたします。
1. ネットワークを直ちに遮断する
影響を受けたデバイスを、有線・無線を問わずネットワークから直ちに切り離し、ランサムウェアがネットワーク上の他のデバイスに拡散するのを防ぐ必要がございます。共有ドライブ、バックアップサーバー、接続中の外付けドライブもウイルスに感染している可能性があることをお忘れなく。
2. システムをシャットダウンせず、隔離する
パソコンを完全にシャットダウンすると、場合によってはメモリ上に残っている暗号化プロセスの痕跡が失われることがございます。代わりに、デバイスをネットワークから切り離すのみとし、可能な限り現在の状態を保つようにしてください。
3. 身代金を支払わない
身代金の支払いは、ファイルが復元される保証にはなりません。多くの場合、支払い後に復号ツールが全く送られてこない、あるいは正常に機能しないことがございます。さらに、身代金の支払いは攻撃者に経済的な支援を与えることになり、再攻撃のリスクを高めます。
4. 身代金要求メッセージと暗号化ファイルのサンプルを保存する
デスクトップやフォルダに残された身代金要求メッセージ、ファイル拡張子の変化のパターン、そして暗号化されたファイルのサンプルは、ウイルスの種類の特定や可能な復旧方法を判断する上で重要な役割を果たします。
5. 専門的な評価を求める
すべてのランサムウェアが同じ強度の暗号化を使用しているわけではございません。一部の種類では、既知の脆弱性を通じてファイルを復旧できる場合がございます。そのため、攻撃を受けた直後にシステムをシャットダウンしたり、ファイルを削除したりすることなく、速やかにご連絡いただくことで、復旧の可能性が大きく高まります。
よくある誤り
- 暗号化されたファイルの名前を変更したり、「修復」を試みたりすること
- 信頼性が確認されていない、インターネットからダウンロードした無料の「復号ツール」を実行すること
- システムをフォーマットすること（復旧可能なデータまで失われる可能性がございます）
- バックアップの整合性を確認しないまま、バックアップシステムを同じネットワーク上に保持し続けること
ランサムウェア攻撃を受けた際の最も正しい初動：ネットワークを遮断し、システムをそのままの状態に保ち、身代金を支払わず、専門的な分析を求めることです。
お客様おひとりで抱え込む必要はございません。これまでも多くのお客様や組織の皆様を復旧まで丁寧にサポートしてまいりました。Cryptolockerおよびランサムウェア復旧サービスの詳細や無料の事前分析については、Cryptolocker / ランサムウェア復旧ページをご覧ください。