サイバー攻撃を受けたら？初動対応の4ステップとやってはいけない行動を解説

まず知っておきたい「やってはいけないNG行動」3選

対応を急ぐあまり「とりあえず再起動する」「ランサムウェアの身代金を払う」「被害を社内で隠す」といった行動を取ってしまうケースがあります。いずれも被害をさらに悪化させる行動です。次の4つの原則に沿って、まず冷静に対応してください。

初動対応で押さえておきたい4つの原則

攻撃の種類に関わらず、初動では共通する「判断の軸」があります。ケース別の対応に入る前に、まず以下の4原則を押さえておきましょう。

1. 1

   ネットワークの遮断・隔離

   画面・プロセス・通信状態を記録してから、感染・侵害が疑われる端末やサーバをネットワークから切り離し、横展開を防ぎます。

2. 2

   被害範囲の特定

   どのシステム・サービスが影響を受けているかを迅速に洗い出します。サーバ・端末・認証基盤のログとファイル改ざん有無を確認し、横展開の有無も含めて範囲を特定します。

3. 3

   証拠・ログの保全

   攻撃の痕跡となるログファイル・通信記録・スクリーンショットを外部媒体へ退避します。ハッシュ値付与と書込み禁止措置で改ざん防止した状態で保管し、後の調査や法的対応、個人情報保護委員会への報告に不可欠な証拠となります。

4. 4

   報告と対応体制の構築

   情報セキュリティ担当者・上長・経営層に速やかに報告し、役割分担を明確にした対応チームを組成します。あわせて、フォレンジック調査会社、弁護士、保険会社など関係先への連絡や、個人情報保護委員会・警察等への報告要否の判断もこの段階で着手します。

マルウェア・ランサムウェア感染時の初動対応

マルウェアとは、ウイルスやランサムウェアなど悪意のあるソフトウェアの総称です。感染が確認・疑われた場合は、以下の手順で被害拡大を食い止めます。

1. 1

   感染端末をネットワークから即時切断

   有線LANケーブルを抜き、Wi-Fiも無効化します。クラウドストレージや共有フォルダへの接続も遮断し、他端末への感染拡大を防ぎます。電源OFFや再起動はせず、画面・プロセス・通信状態を記録してから隔離してください。メモリ上の情報が失われるのを防ぐためです。
   ※ただし、暗号化が進行中で被害拡大が深刻な場合は、専門家の判断のもと強制電源オフを検討することもあります。

1. 2

   外部機関への第一報・相談

   判明している範囲で速やかに第一報を入れます。必要に応じて警察（サイバー犯罪相談窓口）やJPCERT/CCへ相談します。個人データの漏えい等のおそれがある場合は、個人情報保護委員会への報告要否を確認し、詳細は続報で補います。

2. 3

   感染範囲と侵入経路の特定

   EDR・認証・通信ログを横断解析し、感染端末・横展開先・初期侵入経路を特定します。バックアップや共有フォルダの暗号化状況、データ窃取の痕跡もあわせて確認します。

3. 4

   原因の根絶後にバックアップから復旧

   初期侵入経路を塞ぎ、バックドアや残存マルウェアを除去してから復旧します。バックアップの汚染有無を確認し、汚染前の世代から復元してください。

不正アクセス発覚時の初動対応

不正アクセスとは、権限のない第三者がシステムに侵入した状態です。気づきにくく、発覚時には既に数週間〜数ヶ月潜伏・経過しているケースもあります。

1. 1

   証拠保全と状況把握

   認証・クラウド監査・VPN・メール・EDR・WAF等のログを保全し、発生時刻と影響範囲を確認します。ローテーションや上書きで失われる前に外部媒体へ退避してください。

2. 2

   封じ込め

   データ流出が進行中、攻撃者による操作が継続しているなど緊急性が高い場合は、侵害アカウントの停止、セッション失効、パスワード変更、MFA再登録などを速やかに実施します。状況によっては、専門家と連携しながら遮断のタイミングを判断します。

3. 3

   アクセスログの精査・影響範囲の調査

   保全したログを横断解析し、不正アクセスの侵入経路・時刻・対象データ・操作内容・影響範囲・攻撃者が残した永続化手段の有無を特定します。

4. 4

   修正・永続化手段の除去・監視強化

   脆弱性・設定ミス・認証不備を修正し、不正アカウントやバックドア等の永続化手段を除去します。復旧後も再侵入に備えて監視を強化します。

不正アクセスの目的がデータ窃取だった場合、情報漏えいが同時に発生している可能性があります。個人情報を扱うシステムへのアクセスが確認された場合は「情報漏えい時の初動対応」もあわせて確認してください。

情報漏えい時の初動対応

顧客情報や機密データが外部に漏れた可能性がある場合、対応が遅れると法的責任を問われるリスクが高まります。2022年施行の改正個人情報保護法により、一定要件を満たす漏えいは個人情報保護委員会への報告が義務化されています。初動では「被害範囲の確認」と「報告義務の確認」を並行して進めてください。

また、個人データの漏えい等が発生し、個人の権利利益を害するおそれがあるときは、速やかに（おおむね3〜5日以内）個人情報保護委員会への報告及び本人への通知が必要となるため*1、事前に必要なプロセスを把握しておくことが重要です。

*1 出典：個人情報保護委員会

1. 1

   漏えいの停止と範囲の特定

   報告義務の判断に直結するため、何のデータが、どの程度の件数・範囲で漏えいしたかを特定します。要配慮個人情報・クレジットカード情報の有無、1,000人を超える漏えいか、不正アクセスや内部不正など不正の目的によるものかを最優先で確認します。

2. 2

   原因調査と外部専門家への相談

   漏えい原因（外部攻撃・内部不正・誤送信・設定ミス等）を調査し、影響範囲や再発リスクを確認します。報告要否や本人通知、対外説明の判断が必要となるため、弁護士やフォレンジック業者などの外部専門家へ早期に相談します。

3. 3

   個人情報保護委員会への報告

   報告対象に該当する場合、速報をおおむね3〜5日以内に、確報を30日以内（不正アクセス等は60日以内）に提出します。不正アクセス経由なら警察への相談、業種により監督官庁への報告も並行して行います。

4. 4

   本人・関係者への通知と対応記録

   漏えいした情報の本人（顧客・取引先など）に対して速やかに事実を通知します。誠実な対応が二次被害防止と信頼回復につながります。

サイバー攻撃は年々増加傾向

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」*2では、以下のデータが報告されています。

これらの数字が示すのは、サイバー攻撃がもはや「大企業だけの問題」ではないという現実です。セキュリティ対策が手薄になりがちな中小企業も狙われています。攻撃を受けた際の対応リソースも限られているからこそ、有事の際に迷わず動ける「初動対応の手順」を整理しておくことが重要です。

*2 出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」

サイバー攻撃が増加・深刻化している4つの背景

攻撃の組織化・分業化が進んでいる

現代のサイバー攻撃は個人の犯罪から、役割を分担した高度に組織化された集団犯罪へと変化しています。標的選定・侵入・情報窃取・金銭化が分業体制で行われるため、攻撃の規模と精度が大幅に向上しています。企業は「侵入されないこと」だけを目標にするのではなく、「侵入されたことを素早く検知し封じ込める」体制の構築が不可欠です。

中小企業・サプライチェーンが主要な標的になっている

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 *2では、ランサムウェア攻撃の被害企業のうち中小企業が約6割を占めており、近年は大企業と取引する中小・中堅企業を踏み台にして大企業の情報へたどり着くサプライチェーン攻撃も深刻化しています。もはや「自社だけの問題」ではなく「取引先への影響」も含めた備えが求められます。

リモートワーク・クラウド移行で管理範囲が拡大した

テレワークの普及とクラウドサービスへの移行により、企業が管理すべきIT資産の範囲が社外まで大きく広がりました。オフィス外の端末やクラウド上のデータへのアクセス経路が増えた分、一元的なセキュリティ監視と、端末ごとの適切なアクセス管理（多要素認証や最小権限の徹底）がこれまで以上に重要になっています。

インシデント対応計画・BCPが未整備のまま被害に遭うケースが多い

攻撃を受けた際の初動フロー・連絡体制・復旧手順を事前に整備しているかどうかが、被害の深刻度と復旧速度に直結します。特に、有事でも事業を継続・復旧させるための計画（BCP：事業継続計画）が未整備の組織ほど、復旧までに時間がかかる傾向があります。「有事になってから考える」では手遅れになるケースが少なくありません。

サイバー攻撃を受けた場合に起こり得る被害

サイバー攻撃の被害は単なるシステム障害にとどまらず、事業継続や企業の信頼性に深刻な影響をもたらします。

マルウェア感染による業務停止

ランサムウェアはファイルを暗号化して身代金を要求する不正プログラムです。感染すると業務ファイルが使えなくなり、業務が全面停止する事態に陥ります。近年は暗号化と同時にデータを窃取し、公開を脅迫する「二重恐喝型」が主流となっており、情報漏えいのリスクも同時に抱えることになります。医療機関での電子カルテの暗号化、製造業での工場ラインの停止など、日本国内でも重大な被害事例が相次いでいます。

【2024年の主要被害事例】

大手出版社へのランサムウェア攻撃では25万人分の情報が外部に漏えいし、復旧に数ヶ月以上を要しました。情報処理会社へのランサムウェア感染では複数の委託企業に広範囲な影響が及び、サプライチェーン攻撃の恐ろしさが改めて示されました。

不正アクセスによるシステム侵害

不正アクセスは、外見上は気づきにくいケースが多いため注意が必要です。攻撃者が静かに潜伏しながら情報を収集したり、バックドア（秘密の侵入口）を設置して長期的にシステムを利用し続けるケースも多数報告されています。Webサイトの場合、訪問者を別のサイトに誘導するリダイレクト攻撃や、マルウェアを配布するサイトへの改ざんが行われることもあります。

情報漏えいによる法的リスク

前述の通り、一定の条件を満たす個人情報の漏えいは個人情報保護委員会への報告と本人への通知が法律上の義務です。報告を怠ったり隠蔽しようとした場合は行政処分の対象となる可能性があります。また漏えいした個人情報が悪用された場合、被害を受けた顧客から損害賠償を請求されるリスクも存在します。このように、情報漏えいは法的制裁と民事賠償という二重のリスクで企業経営を直撃します。

再発を防ぐために今からできる対策

初動対応で被害の拡大を食い止め、復旧と原因調査が一段落したら、次は再発防止に向けた体制整備のフェーズ（事後対応）です。技術的なツール導入と組織的なルール整備の両輪で進めることで、同じ被害を繰り返さない組織をつくれます。

セキュリティ体制の見直しチェックリスト

対応フローや役割分担は機能していたか、情報共有にボトルネックはなかったかを確認し、以下のチェックリストを参考に自社の体制の見直しを推奨します。

1. セキュリティポリシー（情報セキュリティ基本方針）の策定・見直し
2. 従業員向けセキュリティ教育の定期実施（フィッシングメール対策など）
3. パスワード管理ルールの強化（複雑なパスワード・多要素認証の導入）
4. 定期的なバックアップの実施とオフライン保管の確認
5. インシデント対応手順書（初動フロー）の整備と訓練
6. システムのアクセス権限の棚卸しと最小権限原則の徹底
7. OSやアプリケーションの定期的なアップデート・パッチ適用

まずは押さえたいセキュリティサービス5選

サイバー攻撃の高度化に対応するには、人的対策だけでなく適切なセキュリティツールの導入も欠かせません。WAFやウイルス対策ソフト、脆弱性診断ツールなどを組み合わせることで、多層的な防御体制を構築できます。自社のシステム構成やリスクに応じて最適な製品を選定し、継続的に運用・更新することが重要です。

Webサイトのセキュリティを強化するクラウド型WAF「攻撃遮断くん」

サイバー攻撃の初動対応と並行して進めたいのが、攻撃そのものを「防ぐ」仕組みづくりです。
Webサイト上からのサイバー攻撃を防ぐセキュリティツールがWAF（Web Application Firewall）です。

クラウド型WAF「攻撃遮断くん」は、サーバへの導入不要・専任担当者不在でも導入初日から機能し、SQLインジェクション・XSS・DDoS攻撃をリアルタイムで検知・遮断します。

国内シェアNo.1 *3・導入サイト20,000以上・継続契約率約99%の理由や、料金プラン・導入事例を詳しくまとめたサービス資料を無料でご覧いただけます。
*3 出典：デロイト トーマツ ミック経済研究所「外部脅威対策ソリューション市場の現状と将来展望　2025年度」

よくある質問

Q. サイバー攻撃を受けたら、まず何をすればいいですか？

最初にすべきことはネットワークの遮断・隔離です。感染・侵害が疑われる端末をネットワークから切り離し、被害の横展開を防ぎます。その際、電源OFFや再起動はせず、画面・プロセス・通信状態を記録してから隔離してください。メモリ上の証拠が失われるためです。その後、被害範囲の特定・社内報告・ログ保全の順で対応を進めます。詳しくは「初動対応で押さえておきたい4つの原則」をご参照ください。

Q. サイバー攻撃の被害は警察に相談すべきですか？

相談することを推奨します。特に不正アクセスやランサムウェア被害は、各都道府県警察のサイバー犯罪相談窓口またはJPCERT/CCへの相談が有効です。相談により被害の届出記録が残るほか、捜査につながるケースもあります。個人情報漏えいが疑われる場合は、警察への相談と並行して個人情報保護委員会への報告要否も確認してください。

Q. ランサムウェアの身代金は支払うべきですか？

支払わないことを強く推奨します。理由は2つあります。まず、身代金を支払っても復号される保証はありません。次に、支払った組織は「要求に応じる標的」として記録され、再攻撃や他グループへの情報共有につながるリスクがあります。警察庁・政府も支払いを非推奨としています。まずJPCERT/CCや専門のフォレンジック業者に相談し、バックアップからの復旧可能性を検討してください。

Q. 中小企業でもサイバー攻撃の標的になりますか？

なります。警察庁の2025年レポートでは、ランサムウェア被害を受けた組織の約6割が中小企業です。むしろセキュリティ対策が手薄になりがちな中小企業は、大企業より狙われやすい実態があります。また、大企業との取引関係を踏み台にするサプライチェーン攻撃の入口として標的にされるケースも増えています。

Q. 情報漏えいが発生した場合、報告の義務はありますか？

あります。2022年施行の改正個人情報保護法により、一定の条件を満たす個人情報の漏えいは個人情報保護委員会への報告と本人への通知が法的義務です。報告期限は速報が概ね3〜5日以内、確報が30日以内（不正アクセス等は60日以内）です。報告を怠った場合は行政処分の対象となる可能性があるため、漏えいが疑われた時点で速やかに対応を開始してください。