ハッキング・不正アクセスが疑われるときの最初の24時間。やってはいけないこと、証拠保全、報告と相談先

「サーバーの動きがおかしい」「ファイルが開けず、身代金を要求する画面が出ている」「管理画面に身に覚えのないログイン履歴がある」。不正アクセスを疑う場面は、たいてい突然やってきます。そして、最初の数時間の動き方で、被害の広がりと、後から原因を突き止められるかどうかが大きく変わります。

本記事では、ハッキング・不正アクセスが疑われたときの最初の24時間にやること・やってはいけないことを、警察庁、JPCERT/CC（一般社団法人JPCERTコーディネーションセンター）、個人情報保護委員会の公表資料に沿って整理します。攻撃の手口ではなく、被害を受けた側が何をすべきかに絞った内容です。事件の原因の傾向は『情報流出・不正アクセス事件の原因2026』にまとめています。

この記事の要点

最初にやるのは「ネットワークからの隔離」です。警察庁は、LANケーブルを抜く・無線をオフにするなどして隔離し、パソコンやネットワーク機器の電源は落とさないよう案内しています。調査に必要なログ等が消える場合があるためです

再起動、ログの削除、慌てた初期化・再インストールは、原因を突き止める手がかりを消します。復旧の前に、何が起きたかの記録と証拠の保全を優先します

攻撃者が使った可能性のあるアカウントのパスワード変更とセッションの無効化は早めに行います。ただし、侵入されている端末からは変更しません

個人データの漏えい（またはそのおそれ）が報告対象に当たる場合、個人情報保護委員会への速報は発覚から3〜5日以内、確報は30日以内（不正な目的によるおそれがある場合は60日以内）です

相談先は、警察（最寄りの警察署・サイバー犯罪相談窓口）、JPCERT/CC（インシデント対応依頼）、IPA（情報セキュリティ安心相談窓口）。JPCERT/CCも警察庁も、身代金は支払うべきではないとしています

最初の24時間の全体像

まず全体の流れを示します。上から順に、ただし「隔離」と「記録」はほぼ同時に始めます。

時間の目安	やること	目的
発見直後	発見した人がその場で記録を取り、責任者に報告する	事実の確保、指揮系統の立ち上げ
〜1時間	疑わしい端末・サーバーをネットワークから隔離する（電源は切らない）	被害の拡大を止める、証拠を残す
〜数時間	対応の責任者と窓口を決め、関係者に連絡する。警察・専門機関に相談する	判断の一本化、外部の支援を得る
〜数時間	ログ・画面・ランサムノートなどを保全する。バックアップを切り離して守る	原因調査と復旧の材料を守る
〜24時間	影響範囲の初期把握（どのシステム、どのデータ、個人情報の有無）。アカウントの封じ込め	報告・通知の要否判断、再侵入の防止
〜3〜5日	報告対象に当たる場合、個人情報保護委員会へ速報	法令上の義務

やってはいけないこと

慌てたときほど、よかれと思ってやる行動が証拠を消します。次の行動は、専門家と相談するまで控えてください。

やってはいけないこと	なぜか
電源を切る・再起動する	警察庁は、感染原因等の調査に必要なログ等が消失する場合があるとして、パソコンやネットワーク機器の電源を落とさないよう案内しています。警察庁の啓発資料では「感染端末の電源オフ、再起動は厳禁」としています
ログを消す・ファイルを整理する	侵入経路や攻撃者の操作を追う手がかりがなくなります
すぐに初期化・再インストールする	原因が分からないまま復旧すると、同じ経路で再び侵入されるおそれがあります
侵入された端末からパスワードを変更する	入力した新しいパスワードを、攻撃者に読み取られるおそれがあります
攻撃者に連絡する・身代金を払う	JPCERT/CCは「身代金の支払いを選択するべきではない」としています。警察庁も、犯罪グループの活動資金になることが懸念され、復号が保証されるわけでもないと説明しています
社内外に憶測で発信する	事実と違う発信は、後の説明と信頼回復を難しくします
自己判断でウイルス対策ソフトのフルスキャンや「駆除」を繰り返す	証拠となるファイルが削除・変更されることがあります。実施するかは調査の担当者と決めます

ログが失われると、原因の特定は難しくなります。2025年にランサムウェア被害を受けたアスクルは調査結果の中で、当時のログが削除されていたため原因の完全な究明は困難としており、侵入時点のログは業務委託先が管理するノートPCのOS更新の過程で消去されていたと説明しています。

ステップ1：発見したらその場で記録し、報告する

最初に異常に気付いた人がやることは2つです。

見たものを記録する：画面の写真（スマートフォンで撮影して構いません）、表示されたメッセージ、気付いた時刻、操作していた内容、端末名・サーバー名
すぐに責任者へ報告する：情報システム担当、上長など、あらかじめ決めた連絡先へ。夜間・休日でも報告を遅らせない

警察庁の啓発資料も、感染端末を隔離したうえで「至急セキュリティ担当者に報告」するよう示しています。報告を受けた側は、対応の責任者（判断する人）と記録係を決め、以降の判断と時刻を時系列で残していきます。この記録は、警察への相談、個人情報保護委員会への報告、取引先への説明のすべてで使います。

ステップ2：電源を切らずにネットワークから隔離する

警察庁は、被害が疑われる場合の最初の対応として、次のように案内しています。

感染したパソコン等のLANケーブルを抜く・無線をオフにするなどして、ネットワークから隔離する
感染原因等の調査に必要なログ等が消失する場合もあるので、パソコンやネットワーク機器等の電源は落とさない

JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」も、攻撃が続いている場合に備えて、切り離せるものはすぐにネットワークから隔離するよう勧めています。隔離は被害拡大の防止だけでなく、調査や保全の目的でも行います。

隔離の範囲の考え方

1台だけ異常：その端末を切り離し、同じネットワーク上の他の端末に異常がないか確認する
複数台・サーバーで異常：異常のあるセグメントをネットワーク機器側で切り離す。拠点間・データセンター間の通信の遮断も検討する
クラウドサービスへの不正ログイン：該当アカウントのセッションを無効化し、ログイン元の制限をかける（後述のステップ5）
公開Webサーバーの改ざん：サーバーを止めずに外部への公開だけを止める方法（メンテナンス表示への切り替え、ファイアウォールでの遮断など）を検討する

業務への影響が大きいシステムを切り離すかどうかは、経営判断になることもあります。判断した人と時刻を記録しておきます。

ステップ3：証拠を保全し、バックアップを守る

隔離と並行して、調査の材料を確保します。警察庁は、通報時に提供を求める情報の例として、ランサムノート、通信ログ、ディスクイメージ、メモリダンプ、システム構成図を挙げています。

保全しておきたいもの

種類	具体例	注意点
画面・メッセージ	脅迫文（ランサムノート）、エラー画面、不審なポップアップ	写真やスクリーンショットで残す。暗号化されたファイルの拡張子も記録
サーバー・端末のログ	OSのイベントログ、認証ログ、Webサーバーのアクセスログ	ログには保存期間や上書きがあるため、早めに別の場所へ複製する
ネットワーク機器のログ	VPN装置、ファイアウォール、ルーターの接続ログ	機器によっては保存件数が少なく、すぐに上書きされる
クラウドサービスの監査ログ	Microsoft 365、Google Workspace、Slack、AWSなどのログイン履歴・操作履歴	プランによって保存期間が短い場合がある。エクスポートしておく
メモリ・ディスク	稼働中のメモリの内容、ディスクの複製（イメージ）	専門的な作業のため、調査会社や警察の指示を受けて行う
構成情報	ネットワーク構成図、機器とアカウントの一覧、委託先との接続経路	調査の担当者が全体像をつかむのに必要

メモリやディスクの保全は、やり方を誤ると証拠を壊します。社内に経験者がいなければ、無理に自分たちで行わず、ステップ4の相談先や調査会社の指示を受けてください。

バックアップを切り離して守る

JPCERT/CCは、まだ被害を受けていないバックアップについて、安全が確認できるまではサーバーやファイルの切り離しや退避を検討するよう勧めています。ランサムウェア攻撃では、バックアップも一緒に暗号化・削除される例が多く確認されています。バックアップを復旧に使えるかどうかは、この段階で守れたかどうかで決まります。

ステップ4：関係者に連絡し、外部に相談する

社内で連絡する相手

経営層（公表や業務停止の判断が必要になるため）
情報システム担当・システムの保守業者・クラウドの管理者
個人情報の担当者・法務（報告義務の判断）
広報（問い合わせ・公表への備え）
サイバー保険に加入している場合は保険会社（事故受付の連絡方法と、使える調査会社を確認）

外部の相談先

相談先	主な役割	窓口
警察（最寄りの警察署・都道府県警察のサイバー犯罪相談窓口）	捜査、被害拡大防止のための初動対応支援、復号ツールの案内（可能な場合）	警察庁「サイバー事案に関する相談窓口」から各都道府県の窓口を確認
JPCERT/CC	インシデント対応の技術的な支援と調整（関係先への連絡、必要に応じたマルウェア解析・ログ解析など）	Webフォームまたはメール。原則として電話での報告は受け付けていない
IPA 情報セキュリティ安心相談窓口	情報セキュリティに関する技術的な相談	IPAのWebサイトから
個人情報保護委員会	漏えい等報告の受付（ステップ6）	漏えい等報告フォーム
所管省庁・業界団体	業種によって報告の窓口や独自の報告義務がある	業界のガイドラインで確認

警察への通報をためらう理由としてよく挙がる「公表しなければならないのか」「機器を持って行かれて復旧が遅れるのでは」という心配について、警察庁は、警察から公表を求めることはなく被害情報の保秘は徹底すること、復旧作業や業務継続に最大限配慮し、発生直後はログの保存などのみを依頼する場合もあることを説明しています。

中小企業の場合、IPAが制度を運営する「サイバーセキュリティお助け隊サービス」（民間事業者が提供する、中小企業向けのサイバー攻撃対処のパッケージサービス）を事前に契約しておけば、こうした場面の相談先になります。

ステップ5：アカウントを封じ込める

攻撃者が盗んだ認証情報で入っている場合、隔離だけでは不十分です。警察庁も、攻撃者からアクセスされた可能性があるパソコン、サーバー、ネットワーク機器等のパスワードを速やかに変更するよう案内しています。

安全な端末から、侵害の可能性があるアカウント（特に管理者アカウント、VPNアカウント、委託先に渡したアカウント）のパスワードを変更する
クラウドサービスでは、パスワード変更に加えてログイン中のセッションを無効化し、多要素認証が未設定のアカウントを洗い出す
攻撃者が作った可能性のあるアカウント、転送設定、APIキー、アクセストークンがないか確認する
退職者や使われていないアカウントを止める

アスクルの事例では、検知した当日に全パスワードの変更に着手し、数日以内に認証情報のリセットと管理アカウントへの多要素認証の適用を行っています。攻撃者が別の経路を残していないかを確かめるまで、封じ込めは「一度で終わり」ではありません。

ステップ6：個人情報が関わる場合の報告義務

個人データの漏えい・滅失・毀損（またはそのおそれ）が、次のいずれかに当たる場合、個人情報保護委員会への報告と本人への通知が必要です。

報告対象になる事態	例
要配慮個人情報が含まれる	病歴、健康診断の結果など
不正に利用されると財産的被害が生じるおそれがある	クレジットカード番号、ネットバンキングの認証情報など
不正の目的をもって行われたおそれがある	不正アクセスやランサムウェアによる漏えいは、通常これに当たります
本人の数が1,000人を超える	顧客データベースの流出など

個人情報保護委員会が示す報告の期限は次のとおりです。

速報：発覚日から3〜5日以内
確報：発覚日から30日以内。不正な目的で行われたおそれがある場合は60日以内

「漏えいした」と確定していなくても、漏えいの「おそれ」がある段階で報告対象になります。不正アクセスでは影響範囲の確定に時間がかかるため、速報の時点では分かっている範囲で報告し、確報で補います。報告は委員会の漏えい等報告フォームから行い、ランサムウェアなどのサイバー攻撃の場合は、共通の報告様式をメールで提出することもできます。

個人データの取扱いを委託している場合は、原則として委託元と委託先の双方が報告の義務を負います。委託先で起きた事故でも、委託元として対応が必要になる点に注意してください。

なお、マイナンバー（特定個人情報）が含まれる場合は専用のフォームがあり、業種によっては所管省庁が報告の窓口になります。

24時間を過ぎたら：調査、復旧、再発防止

初動を終えたら、次の段階に移ります。

侵入経路と影響範囲の調査：警察庁は、感染が確認されていないパソコンやサーバーも含めて、侵害の痕跡がないか調査することを勧めています
入口を塞ぐ：未適用のセキュリティパッチを適用し、侵入に使われた脆弱性や認証の弱点を修正する。同じ経路で再侵入されるおそれがあるためです
安全を確認してから復旧する：JPCERT/CCは、隔離したシステムをネットワークに戻す前に、攻撃者が残したマルウェアやバックドア、不正な設定が排除されていることを確認するよう勧めています。バックアップが残っていれば、そこから復元します
暗号化されたファイルの復号を試す：一部のランサムウェアは「No More Ransom」プロジェクトで復号ツールが公開されています。警察庁も、LockBitやPhobos/8Baseで暗号化されたファイルの復号ツールを広報しています
再発防止策と公表・通知：原因に対応した対策を決め、必要に応じて本人通知や公表を行う

復旧後は、外から見える入口に同じ弱点が残っていないかを確認する診断が有効です。診断の種類は『脆弱性診断とは』、AIを使った診断の範囲は『AIで脆弱性診断はどこまでできるか』で解説しています。

事前に準備しておくと24時間が変わること

被害を受けてからでは用意できないものがあります。

連絡先の一覧：社内の責任者、保守業者、クラウドの管理者、保険会社、警察の相談窓口
ネットワーク構成図と機器・アカウントの一覧：どこを切り離せばよいかの判断に必要
ログの取得と保管：警察庁は、ネットワーク機器や端末のログは調査の重要な手がかりになるとして、日頃から取得しておくことを勧めています
ネットワークから切り離したバックアップ：警察庁は、こまめに取得し、オフラインで保存するなど暗号化されないように備えることを推奨しています
サイバー攻撃を想定した業務継続計画（BCP）：警察庁は、対処の流れや警察等の連絡先を整理しておくことが、被害に遭った際の助けになるとしています

よくある質問

ランサムウェアに感染したら、まず電源を切るべきですか？

切らないでください。警察庁は、感染したパソコン等をLANケーブルを抜く・無線をオフにするなどしてネットワークから隔離し、調査に必要なログ等が消失する場合があるため、パソコンやネットワーク機器等の電源は落とさないよう案内しています。

不正アクセスを受けたら、どこに相談すればよいですか？

警察（最寄りの警察署または都道府県警察のサイバー犯罪相談窓口）に通報・相談します。技術的な支援と調整はJPCERT/CC（インシデント対応依頼のWebフォームまたはメール）、技術的な相談はIPAの情報セキュリティ安心相談窓口が受け付けています。個人データの漏えいが報告対象に当たる場合は、個人情報保護委員会への報告も必要です。

個人情報保護委員会への報告はいつまでに必要ですか？

速報は発覚日から3〜5日以内、確報は発覚日から30日以内です。不正な目的で行われたおそれがある場合（不正アクセスやランサムウェアなど）、確報の期限は60日以内です。漏えいが確定していなくても、漏えいのおそれがある段階で報告対象になります。

身代金を払えばデータは戻りますか？

保証はありません。JPCERT/CCは、ファイルが復元される保証がないこと、原因や他の被害が解決しないこと、さらなる攻撃や要求を受けるおそれがあることから、身代金の支払いを選択するべきではないとしています。警察庁も、犯罪グループの活動資金となることが懸念され、復号が保証されるわけではないと説明しています。

警察に通報すると、必ず公表しなければなりませんか？

警察から公表を求めることはないと警察庁は説明しています。被害情報の保秘は徹底され、復旧作業や業務継続にも配慮して捜査が進められます。ただし、個人情報保護法に基づく報告や本人通知、上場企業の適時開示などは、警察への通報とは別に判断が必要です。

この記事に関連するサービス

TodoONada株式会社では、不正アクセス・ハッキングが疑われるときの調査と対策を支援しています。

不正アクセス・ハッキング調査と対策支援 — 侵害の有無・侵入経路・影響範囲の調査から、封じ込め・復旧・再発防止まで。調査対象のログはローカルLLMで社外に出さずに解析できます
AIサーバー脆弱性診断 — 復旧後に同じ弱点が残っていないかを確認。公開サーバー・Webアプリ・クラウド設定を診断し、調査報告書と診断実施証明書を発行します

ご相談はお問い合わせから。お急ぎの場合は、その旨と現在の状況（いつ・何が起きたか）を書き添えてください。なお、受付は24時間体制ではありません。夜間・休日に被害が進んでいる場合は、警察の相談窓口やJPCERT/CCへの相談もあわせて行ってください。