会社のパソコンに、見慣れない警告が出た。ファイルが開けない。取引先から「御社から変なメールが届いた」と電話があった——。
「電源を切ったほうがいいのか」「ケーブルを抜くのか、ルーターを止めるのか」「誰に、どうやって言えばいいのか」。情報システムの担当者がいない会社だと、その場にいる人が迷うことになります。
実は、最初にやることは4つだけです。見分ける・切り離す・消さずに残す・知らせる。原因を突き止めたり、元に戻したりするのは、見つけた人の仕事ではありません。
そして、ここで間違えやすいのが「抜く場所」です。抜くのは自分の席のパソコンのケーブルで、会社のルーターの電源ではありません。
1. どの場面かを見分ける。ブラウザの中に出た、電話番号つきの警告なら、偽物のことが多い。ウイルス対策ソフトの警告、身代金を求める画面、自分のパソコンのファイルが開けないなら、本物を疑う。警告の画面が偽物か本物か見分けがつかなければ、本物として扱う。ネットが止まっただけのときや、どのパソコンか分からないときは、何も抜かずに知らせる。
2. そのパソコンだけを、ネットワークから切り離す。LANケーブルを抜き、Wi-Fiも切る。会社のルーターの電源は抜かない。
3. 電源は切らない。消さない。ノートパソコンのふたも閉じない。気づいた時刻など5つを紙に書く。
4. 社内の決まった窓口に、電話か口頭で知らせる。偽物だと思っても知らせる。そのパソコンのメールは使わない。窓口が決まっていなければ、経営者に直接。
⚠ 会社で決めている手順があるなら、そちらが先です。IPA（情報処理推進機構）も、会社のパソコンに警告が出たら「会社・組織の対応ルールに従い、落ち着いてシステム管理者（または上司）に連絡してください」と呼びかけています。この記事は、決まった手順が無い会社や、手順があっても中身を知らない人のためのものです。
この記事では、ITやネットワークの知識がない方でもわかるように、会社のパソコンでウイルス感染が疑われたときの最初の数手と、なぜ電源を切らないのか、なぜルーターを抜かないのかを解説していきます。
家のパソコンの話や、ウイルスを取り除く手順・元に戻す手順は扱いません。
目次
「ウイルス感染かも」と思ったら、まずどの場面かを見分ける
「ウイルスかも」と感じる場面は、大きく3つに分かれます。どれに当たるかで、このあとやることが少し変わります。
ブラウザの中に出た警告なら、偽物のことが多い
インターネットを見ている最中に、画面いっぱいに「ウイルスに感染しました」と出て、電話番号が書いてある。これは偽の警告のことが多い場面です。
警察庁は「偽のセキュリティ警告画面はウイルス感染の有無に関わらず表示されます。」と書いています。インターネットを見ているブラウザの画面の中に、本物に見せかけて表示されるものだと、IPA は説明しています。
ただし、見た目で決めつけないでください。警察庁は同じページで「偽のセキュリティ警告画面には、警告内容を信じさせるために、実在の企業ロゴ等が使われる場合があります。」としています。ウイルス対策ソフトの警告そっくりの偽物もある、ということです。見分けがつかなければ、本物として扱ってください。
偽物とはっきりしたときの画面の閉じ方と、電話をかけてしまったときの対処は、別の記事にまとめました。
会社のパソコンなら、あちらの記事の手順を使うときも、ルーターの電源は抜かず、疑わしいパソコンだけを切り離してください。理由は「会社のルーターの電源は抜かない」の見出しで説明しています。
そして、会社のパソコンなら、偽物だと思っても自分で片付けて終わりにしないでください。IPA は「対処を自分一人で判断せず」と書き、システム管理者か上司に連絡するよう求めています。画面の電話番号には、もちろんかけません。
IPA に寄せられた相談には、警告画面が出たら電源を切って連絡するよう、管理者が社員に通達していた会社の例もあります。会社で決まりがあるなら、そちらに従ってください。
この記事でいう「電源を切らない」は、決まりが無い会社で、本物の感染を疑うときの話です。
ウイルス対策ソフトの警告・身代金を求める画面・身に覚えのない送信は、本物を疑う
次のようなときは、本物の感染を疑います。IPA の「中小企業のためのセキュリティインシデント対応の手引き」が、感染に気づくきっかけとして挙げているものです。
- パソコンの動きがおかしい、またはウイルス対策ソフトが警告を出した
- 画面に身代金を要求するようなメッセージが出た
- 取引先などから、ウイルスの付いたメールが届いたと知らされた（どのパソコンから送られたのか分からなければ、何も抜かずに窓口へ知らせる）
2つ目はランサムウェアと呼ばれるものです。パソコンの中のファイルを使えない状態にして、元に戻すのと引き換えにお金を求めてきます。
画面に書かれた連絡先には連絡せず、お金も払わないでください。どうするかは責任者が決めます。警察庁は支払いについて、「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」と説明しています。同じページは、感染したパソコンを「ＬＡＮケーブルを抜く・無線をオフにするなどして」ネットワークから隔離するよう求めています。
愛知県警察も、感染した端末の症状の例に「ファイルが開けない／データが消えている。」「インストールした覚えのないアプリが入っている。」を挙げています。同じページにはアプリのアンインストールなど自分で進める手順も並んでいますが、会社の業務で使う端末については、早急に管理部門へ連絡するよう書いています。
この記事の「切り離す・残す・知らせる」は、この場面のための手順です。
ネットが止まっただけなら、故障のこともある。原因が分かるまでは、抜かずに知らせる
インターネットにつながらない、共有フォルダにつながらない。こうした止まり方は、機器の故障などで起きることもあります。
ただ、IPA の手引きは、原因がわからないうちは「セキュリティの問題の可能性も含めて対応を行う必要があります」としています。このときは何も抜かずに、自分で直そうともせず、システムの担当者か責任者に知らせてください。
遅い・つながらないときに誰へ連絡するかは、社内のネットワークの持ち主によって変わります。こちらの記事で整理しています。
ウイルス感染が疑われるパソコンは、会社のネットワークから切り離す
本物の感染を疑ったら、最初にやるのはそのパソコンを会社のネットワークから外すことです。IPA の手引きも、ウイルス感染やランサムウェア感染の初動として「感染したパソコンやサーバーの利用を停止し、ネットワークから切り離します。」と書いています。
つないだままにしておくと、同じネットワークの中の他の機器まで狙われることがあります。会社の中だけで使うネットワークでも、1台の感染が社内の他の機器に及ぶことがあるのです。
火事で言えば、燃えている部屋の扉を閉めるようなもの。閉めるのはその部屋の扉で、建物の電気を落とすことではありません。
有線はLANケーブルを抜き、無線はWi-Fiも切る
愛知県警察の案内は短く、はっきりしています。「パソコンの場合、Wi-Fi等であればオフラインにし、有線LANであればすぐに線を外してください。」
有線でつないでいるなら、パソコンに挿さっているLANケーブルを抜きます。抜くのはパソコン側の端です。壁や机の下の機器側を抜くと、どれが自分の線か分からなくなり、別の人の線を抜いてしまうことがあります。
ノートパソコンは、ケーブルを抜いただけでは切れていないことがあります。ケーブルとWi-Fiの両方でつながっていることがあるからです。Wi-Fiも必ず切ります。
Windowsなら、機内モードがいちばん早い方法です。Microsoft は、機内モードを使うと「PC 上のすべてのワイヤレス通信をすばやく無効にできます」と説明しています。タスクバー（画面下の帯）にあるネットワーク・音量・バッテリーのアイコンのどれかを押すと、機内モードのボタンが出てきます。
⚠ ただし、機内モードにしてもWi-Fiがオンのまま残ることがあります。Microsoft の同じページによると、機内モードのあいだにWi-Fiをオンにしたことがあると、Windowsはそれを覚えていて、次に機内モードにしたときもWi-Fiをオンに戻します。
機内モードにしたら、Wi-Fiのボタンがオフになっているかを目で確かめてください。オンになっていたら、そのボタンを押して切ります。
会社のルーターの電源は抜かない
「いっそ、会社のインターネットごと止めてしまえば安全では」と考えるかもしれません。ですが、ルーターの電源を抜くのは避けてください。理由は2つあります。
1つ目は、会社全体が止まり、しかもそれを決めるのはあなたではないことです。ルーターは会社のネットワークとインターネットの出入り口なので、電源を抜けば社内の全員がインターネットを使えなくなります。
東京都の中小企業向けの解説は、どこまで止めるかについて、「技術担当者・保守事業者から状況を聞き、経営者または決められた責任者が停止範囲を判断します。」と書いています。止める範囲を広げるかどうかは、見つけた人が決めることではありません。
会社のネットワークは、席のパソコンから壁の差込口やハブを通ってルーターまで1本道でつながっていて、途中の機器は社員が自分で変えるものではありません（オフィスのネットワークの仕組み）。
2つ目は、ルーターの中の記録が消えることがあるからです。ルーターには、自分の動きや通信の様子をログ（記録）として残すものがあります。IPA の手引きは、あとで行う調査の対象に「サーバーやネットワーク機器のログ」を挙げています。
警察庁は、ランサムウェアの被害が疑われたときの対応として、はっきりこう書いています。「感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさないでください。」
そして、電源を切るとログが消える機種があることを、メーカー自身が説明書やよくある質問に書いています。
- ヤマハ（業務用ルーター）: 「パワーオフ・ログ保存機能に対応していない機種では、ルーターの電源を切るとログは消去される。」（コマンドリファレンス）。この機能に対応した機種でも、電源ケーブルの抜き挿しで再起動したときはログが保存されないと案内しています
- NEC（家庭用のAterm WG1800HP2）: 「本商品の電源を切ると、ログは消去されます。」（ユーザーズマニュアル）
- バッファロー（法人向けのWi-Fiアクセスポイント）: 「アクセスポイントの電源をオフにするとログは消去されます。」（よくあるご質問）
すべての機種で消えるわけではありません。ですが、自分の会社のルーターがどちらなのかは、その場では分かりません。だから触らずにおくのが安全です。Wi-Fiの親機やハブも、止めるかどうかは責任者が決めるものです。
疑わしいパソコンのLANケーブル（パソコン側の端）と、そのパソコンのWi-Fi。
疑わしいパソコンの電源。会社のルーター・Wi-Fiの親機・ハブの電源。止める範囲を広げるかどうかは、責任者が決めます。
家のパソコンと、在宅勤務の会社のパソコン
このサイトの偽の警告の記事では、言われたソフトを入れてしまったときに「LANケーブルを抜くか、Wi-Fiルーターの電源を抜きます」と案内しています。これは、ルーターを止めるかどうかを自分で決められる人に向けた手順です。
家なら、ルーターを止めて困るのは家族だけで、止めると決めるのも自分です。会社では、止まるのは全員の仕事で、決めるのは責任者です。同じ「ルーター」でも、会社のルーターは自分だけの判断で止めてよい機械ではない、というのが違いです。
在宅勤務で、会社のパソコンを家のWi-Fiにつないでいるときも、切り離すのはそのパソコン（Wi-Fiとケーブル）で、知らせる先は会社の窓口です。IPA も、テレワーク中に起きた異常の連絡のしかたを会社のルールとして徹底するよう、管理者に求めています。
電源を切らない・消さない — ウイルス感染を調べる手がかりを残す
ネットワークから切り離したら、次はそのパソコンをそのままにしておくことです。慌てていると、つい電源を切ったり、怪しいファイルを消したりしたくなります。
やってはいけないこと — 電源を切る・消す・駆除する
東京都の解説は、切り離すことと消すことをはっきり分けています。「対象端末の電源を自己判断で切ったり、初期化したり、ファイルやログを削除したりすると、調査に必要な記録が失われる場合があります。ネットワークからの切り離しと、記録を消す操作は別です。」
IPA の手引きも、ネットワークを遮断するときの注意として、電源を切るなどの「不用意な操作でシステム上に残された記録を消さないようにします。」と書いています。
電源を切らない理由は、記録のほかにもう1つあります。愛知県警察は「再起動した際に作動するコンピュータウイルスもあるので、電源は切らないでください。」としています。
つまり、見つけた人がやらないのは次のようなことです。
- 電源を切る・再起動する
- 怪しいファイルやメールを削除する
- ウイルス対策ソフトで駆除したり、初期化したり、元に戻したりする（通知に出る「削除」「隔離」などのボタンも押さない）
駆除や復旧は、責任者が方針を決めてから行うものです。東京都も「異常を見つけた人は、自己判断で復旧作業を始める前に、決められた社内窓口へ報告します。」としています。
操作に迷ったら、何もせずに、社内の窓口（窓口が無ければ経営者）へ電話で聞いてください。画面が次々に変わっていくように見えて不安なときも同じです。東京都の解説は、操作に迷う場合は「保守事業者や専門家へ相談します」としていますが、業者に相談するのは、知らせを受けた会社の側です。
電源は入れたまま、使わずに置いておく。これが見つけた人にできる、いちばん役に立つことです。
ノートパソコンは、ふたを閉じないでください。Microsoft は「多くの PC (特にノート PC やタブレット) では、カバーを閉じるか電源ボタンを押すだけでスリープ状態になります。」と説明しています。そして同じページによると、スリープのまま「バッテリー充電量が極度に少なくなると Windows によってすべての作業状態が保存されて PC の電源がオフになる」のです。ふたを閉じるのも電源の操作の1つと考えて、ふたも電源ボタンも触らないでください。バッテリーで動いているなら、電源アダプターをつないでおくと、電池が切れて電源が落ちるのを防げます。
紙に書き残す5つのこと
そのかわりに、見たことを残します。東京都の解説は、見つけた人が少なくとも次の内容を記録するとしています。
- 発見日時・発見者
- 対象（異常が起きた端末・システム・サービス）
- 表示されたメッセージや警告
- 異常の直前に行った操作
- 実施済みの対応（発見後に行った対応）
書くのは紙か、別の端末です。疑わしいパソコンのメモ帳に書くと、それ自体がそのパソコンを操作することになります。画面に出ている文字が長いときは、スマートフォンで画面を撮っておくのも手です。
全部を書き終えてから知らせる必要はありません。気づいた時刻だけ先に書いて、すぐ知らせてください。残りは電話のあとで書き足せば足ります。
5つ目の「発見後に行った対応」には、LANケーブルを抜いた時刻、機内モードにした時刻も書いておきます。あとで記録を読む人が、どこからが切り離したあとの動きなのかを区別できるからです。
時刻は「気づいた時刻」として書き、始まりの推測と分ける
時刻を書くときに気をつけたいのが、自分が気づいた時刻と、ウイルスが入り込んだ時刻は違うということです。
IPA の手引きは、整理しておく事項の表で、この2つを分けています。「発覚日時」は「インシデントを認知した日時」、「発生日時」は「調査で判明したインシデントの発生日時」です。東京都の5つにある「発見日時」は、IPA の「発覚日時」、つまり気づいた時刻のことです。
見つけた人が書けるのは、気づいた時刻のほうです。「たぶん朝から変だった」のような推測を始まりの時刻として書くと、調べる人の足を引っぱります。気づいた時刻は時刻として、推測は推測として書き分けてください。
気づいた時刻がとくに重く扱われる場面もあります。個人データ（お客様や従業員の情報など）が漏れたおそれがあるときです。
個人情報保護委員会のガイドラインでは、報告の中身に「発生日、発覚日、発生事案、発見者」が並びます。報告の期限を数え始める「知った」時点は、「個別の事案ごとに判断される」としたうえで、会社（法人）なら「いずれかの部署が当該事態を知った時点を基準とする」とされています（通則編）。同委員会は Q&A で、「部署内のある従業者が報告対象事態を知った時点で「部署が知った」と考えられます」と答えています。
報告の要件に当たる場合は、あなたが漏えいのおそれに気づいた時刻が、会社の期限の起点になりうるということです。最初の報告（速報）の目安は、知った時点から「概ね3～5日以内」とされています（同じ通則編）。
ウイルス感染を知らせる相手と、知らせる手段
最初に知らせるのは、社内の決まった窓口
切り離して、気づいた時刻を書いたら、すぐに知らせます。愛知県警察も「会社の業務で使用する端末が感染した場合は、早急に管理部門へ連絡してください。」としています。
東京都の解説は、そのあとの流れを役割で分けています。
| だれが | やること |
|---|---|
| 見つけた人 | 社内窓口へ事実を報告する |
| 情報セキュリティ責任者 | 経営者・技術担当者へ共有する |
| 経営者 | 業務停止・外部支援・社外連絡の方針を判断する |
| 技術担当者・保守事業者 | 隔離・被害状況の確認を進める |
| 記録担当者 | 対応の経過を残す |
| 連絡担当者 | 影響を受ける顧客・取引先への第一報や、必要な外部機関への相談・連絡を行う |
表の中での見つけた人の役目は、1行目です。「情報セキュリティ責任者」という係が無い会社も多いはずですが、東京都は「情報セキュリティ責任者は専任でなくても構いません」としています。総務の人や社長が兼ねていることもあります。
決まった窓口が無い、窓口の人がつかまらない、窓口が自分自身——小さな会社では、よくあることです。そのときは、経営者（社長・所長）に直接知らせてください。IPA の手引きも、情報セキュリティ責任者が経営者に報告し、経営者が対応の体制を立ち上げる、という流れで書いています。
業者を呼ぶかは経営者が、ほかのパソコンや共有フォルダをどうするかは経営者と業者が決めることです。IPA の手引きは、ほかのパソコンやサーバーが感染していないかの確認を、調査・対応の段階に置いています。
「本当に感染したのか分からないのに、騒ぎにしていいのか」とためらう必要はありません。東京都は、会社の側に「「異常かどうかわからない段階でも連絡してよい」と周知しておくことも大切です」と求めています。同じ段落には「速やかな報告が、被害範囲の拡大を抑えることにつながります。」ともあります。黙って様子を見るより、早く知らせるほうが会社を守ります。
感染したパソコンのメールでは知らせない。電話か口頭で
知らせる手段は、電話か、直接会って口頭で。疑わしいパソコンはもうネットワークから外してあるので、そこからメールやチャットは送れません。送れるとしても、使えばそのパソコンを操作することになります。
別のパソコンから社内メールを送る手もありますが、社内のメールが使えるとは限りません。東京都は、社内メールが使えない事態も想定して「電話や別の連絡手段も決めておきます。」としています。
伝えるのは、「紙に書き残す5つのこと」で書いた5つと、いまの状態です。「LANケーブルは抜いた」「Wi-Fiは切った」「電源は入ったまま」と言えば、受けた人が次の手を決めやすくなります。
社外への連絡（業者・IPA・警察・個人情報保護委員会）は、責任者が決める
社外への連絡は、見つけた人が自分で電話する先ではありません。東京都の役割の表でも、社外連絡の方針を判断するのは経営者です。
そのうえで、責任者が選ぶ連絡先を知っておくと、話が早く進みます。
| 連絡先 | どんなときか |
|---|---|
| 機器を入れた業者・保守の契約先 | 自社で対応するのが難しいとき。IPA の手引きは、メーカーや保守ベンダーに支援や助言を頼むよう挙げている |
| IPA「企業組織向けサイバーセキュリティ相談窓口」 | 初動の相談。連絡先に迷ったらここ、と IPA が案内している。ただし事案の調査や解析はしない |
| IPA の届出窓口 | ウイルス感染・ランサムウェア感染のとき |
| 警察 | 犯罪のおそれがあるとき。警察庁は、ランサムウェアの被害に遭ったら、最寄りの警察署かサイバー犯罪相談窓口に通報・相談するよう案内している |
| 個人情報保護委員会 | 個人データが漏れたおそれがあり、報告の要件に当たるとき（要件に当たれば報告は義務） |
IPA の窓口と届出の違いは、IPA の「サイバーセキュリティ 相談・届出窓口一覧」にまとまっています。個人情報保護委員会は、「下記の要件に該当する場合、漏えい等報告が義務付けられています。」として、要件をページにまとめています。
機器を入れた業者の連絡先と、保守の契約で何をしてもらえるかは、ふだんから確かめておくと安心です。
慌てないために、今日のうちに紙1枚にしておくこと
ここまでの手順は、起きてから考えるには多すぎます。東京都の解説は、準備を分厚い規程から始める必要はないとして、「まずは、次の3点をそれぞれ1枚程度にまとめます。」と勧めています。手順書・緊急連絡先一覧・役割表の3つです。
全部をそろえる前に、まず次の2つを紙に書き、パソコンの近くに貼っておくだけでも違います。
連絡先の一覧（社内の窓口・保守業者・相談窓口）
東京都は、経営者・情報セキュリティ責任者・システム担当者・保守事業者・クラウドサービス事業者・相談機関の連絡先をまとめるよう挙げています。夜間や休日の連絡方法も書いておきます。
紙で持つのが大事です。東京都も「連絡先は印刷物などでも確認できるようにしておきます。」としています。パソコンの中の連絡帳は、そのパソコンを疑っているときには開けません。
だれが決めるか（止める範囲・社外への連絡）
東京都の解説は、準備の最後にこう結んでいます。「まずは、異常を見つけたときの社内窓口と、端末をネットワークから切り離す判断を行う人を、1枚に書き出してみてはいかがでしょうか。」
決めておけば、見つけた人が「自分の席の線を抜いてよいのか」で迷わずに済みます。決まりが無いうちは、この記事のとおり、疑わしい1台は見つけた人がすぐ切り離すのが基本です（愛知県警察も「すぐに線を外してください」としています）。
この記事で「責任者が決める」と書いたところ（止める範囲・社外への連絡）に、会社の誰の名前が入るのか。休みの日の代わりの人も含めて書いておきます。
あわせて、会社のネットワークの簡単な図があると、責任者や業者が「どこを止めるか」を決めやすくなります。IPA の手引きも、インシデントのときに整理しておく事項の中で、可能であれば「簡単な構成図」も添えるよう挙げています。
まとめ
この記事では、会社のパソコンでウイルス感染が疑われたときに、見つけた人が最初にやることを解説しました。
- 見分ける: ブラウザの中の警告は偽物のことが多いが、見た目で決めつけない。警告の画面の見分けがつかなければ本物として扱う。ネットが止まっただけ・どのパソコンか分からないときは、何も抜かずに知らせる。会社のパソコンなら、偽物でも知らせる
- 切り離す: 疑わしいパソコンのLANケーブルを抜き、Wi-Fiも切る。機内モードにしたら、Wi-Fiがオフになったかを見る。会社のルーターの電源は抜かない
- 消さずに残す: 電源は切らず、ノートパソコンのふたも閉じない。削除も駆除もしない。気づいた時刻など5つを紙に書く
- 知らせる: 社内の決まった窓口に、電話か口頭で。窓口が無ければ経営者に直接。社外への連絡は責任者が決める
会社で決めている手順があるなら、そちらが先です。まだ無いなら、連絡先と「だれが決めるか」を紙1枚に書くところから始めてみてください。
