導入：被害直後の最初の72時間で何を残し、何を決めるか
ランサムウェア被害は単なる暗号化だけでなく、機密データの窃取（データ外部流出）を伴う「二重身代金（double extortion）」が事実上の標準戦術になっています。この傾向は近年さらに強まり、攻撃者は漏洩（leak）公開のプレッシャーを使って身代金を上乗せしてくるケースが増えています。
被害対応の実務では「記録（交渉・時系列・証拠の保全）」「復旧優先度（事業影響に基づく復旧順序）」「保険請求・法務対応」の3点を迅速かつ整合的に進めることが、損害最小化と後続手続きの要（かなめ）です。本稿では現場で実際に使えるテンプレートと、保険・法務・当局連携の留意点を事例を交えて整理します。
初動チェックリスト（優先対応と証拠保全）
以下は被害検知後すぐに実行すべき優先事項です。実施の可否と理由は必ず記録してください。
- 隔離と影響範囲の特定：感染端末のネットワーク切断、管理者資格の無効化、AD/IDプロバイダーの監査ログ保全。
- ログ・メタデータの確保：システムログ、ファイアウォール、プロキシ、クラウド監査ログを時系列で取得（改変防止のためイメージ取得が望ましい）。
- 証拠保全のためのモード：ディスクイメージ、メモリダンプ、ネットワークパケットのスナップショットを保存。
- コミュニケーション管理：社内外の窓口を一本化（IRチーム・法務・経営・広報・保険ブローカー）。外部とやり取りする際は担当者とチャネルを限定し、全ログを保存。
- 当局への通報：FBIや国内の関連当局へ速やかに通報・相談（通報は捜査協力と情報共有の観点で重要）。FBIは身代金支払を推奨していませんが、通報と協力を強く促しています。
復旧優先度（RTO/RPOベースのサンプル表）
| システム | 業務影響（高/中/低） | 目標復旧時間（RTO） | 復旧優先度 |
|---|---|---|---|
| 決済／会計システム | 高 | 4時間 | 1 |
| 顧客サービスCRM | 高 | 12時間 | 2 |
| 内部ファイルサーバ | 中 | 48時間 | 3 |
| テスト環境・開発 | 低 | 7日 | 4 |
上の表は一例です。各組織は事業継続計画（BCP）と照らし合わせ、サービス依存関係（例：会計が止まると給与支払いが止まる）を洗い出して優先順位を決めてください。
交渉記録の実務テンプレートと交渉戦術
交渉を行う／行わないにかかわらず、交渉の履歴は将来の保険請求・法的対応・捜査協力で極めて重要です。以下は最低限残すべき記録項目です。
| 項目 | 説明 |
|---|---|
| タイムスタンプ | UTCで日時（例：2025-09-09T14:23:05Z） |
| 相手（表示名） | 交渉チャネル上の相手名・ID（スクリーンショットを保存） |
| チャネル | Torチャット/メール/掲示板等 |
| 要求内容 | 身代金金額・支払手段・期日・追加条件 |
| 証拠・提示事項 | 攻撃者が示したファイル、スクリーンショットURL、漏洩を示す証拠のコピー |
| 対応アクション | 支払の可否、交渉チームによる判断、外部ベンダーの対応（交渉代行など） |
| 保存先 | 改ざん防止のため読み取り専用媒体に保管 |
Mandiantなどインシデント対応業者は、交渉時に「侵入経路レポート」「窃取データリスト」「環境内の残存バックドア有無の証明」を交渉項目として要求し、支払済みにもかかわらず攻撃者が約束を守らない事例があるため、これらを明確にして受領証拠を得ることを推奨しています。
事例：大規模サービス停止の実例（概要）
2024年〜2025年にかけて大規模なサービス障害を引き起こした事例では、初動時にログ取得や外部とのやり取り記録が不完全だったため、復旧と通知作業が長期化したケースが報告されています。Change Healthcareの事例では、認証設定の弱さと多段的な横移動が侵入の主因となり、結果的に数週間にわたる業務停止と大規模な通知対応を余儀なくされました（この種の大規模事例は、保険・当局との調整が複雑になります）。
実務的示唆：交渉を行うか否かの判断は経営判断であり、法務・保険・IRチームと密に連携してください。交渉は専門の交渉サービスやブローカーを介して行うのが一般的で、交渉記録の完全性が後続の監査・請求で重要となります。
保険請求と法務・当局対応の要点
近年の報告では、ランサム関連のコストは上昇傾向にあり、保険側でも請求対応／支払い方針が厳格化しています。2025年の報告では、平均的なランサムウェア被害のコストが前年より上昇した点が指摘されています。
保険請求で押さえる実務ポイント：
- 初期通知のタイミング：多くの保険契約は速やかな通報を義務付けています。通報遅延は保険金支払の争点になります。保険ブローカーと連携して所定の窓口へ即報告してください。
- 証拠の一元化：請求に必要なログ、通信記録、復旧費用の領収書、外部ベンダー費用（IR/交渉代行）を整理しておくこと。
- 支払の可否と承認プロセス：保険会社は支払い方針と要件を持つため、事前に承認を得ずに身代金を支払うと保険金支払が否認されるリスクがある。必ず保険会社に手順を確認すること。
- 報告と透明性：当局（捜査機関）への協力、通知対象（顧客・社員・規制当局）への報告計画を早期に整備。
英国のCRI（Cyber Response & Insurance）や政府ガイダンスでは、支払選択肢を検討する前に被害の全体像を評価し、保険・法務・当局の意見を得ることを勧めています。
結論と現場で即使えるアクション
- 交渉の有無にかかわらず、すべてのやり取りを改ざん防止策で保全する（タイムスタンプ・イメージ保存）。
- 復旧優先度は事業影響に基づく定量評価で決め、作業ログと費用を請求用に整備する。
- 保険ブローカー・法務・当局へ速やかに連携。支払判断は経営責任かつ証跡が重要。
- 事後は必ず事例学習（post-incident review）を実施し、再発防止策（多要素認証、アクセス権見直し、バックアップ分離）を実行する。
参考：二重身代金の増加や漏洩サイトの活発化は継続的なトレンドです。組織は備えと記録を中心にした実務運用を強化してください。