ランサムウェア被害時のデータ復旧初動｜復旧・調査・再感染防止の進め方

本当に信頼できるデータ
復旧業者3選をチェック

2026年10月、IDCフロンティアが提供するクラウドサービスでランサムウェア攻撃による障害が発生し、495の企業・自治体が影響を受けました。また、同年9月には佐賀大学のNASでもランサムウェアによるとみられる被害が確認され、事務用端末の利用停止を伴う対応が行われています。

こうした被害は、大企業だけでなく、社内に専任のセキュリティ担当者を置いていない中小企業にとっても無視できない問題です。

ランサムウェア被害が発生した場合、重要なのは暗号化されたデータをできるだけ早く復旧することだけではありません。感染の拡大を防ぎ、調査に必要な証拠を残しながら、安全な環境でデータと業務システムを復旧することが求められます。

本記事では、法人の情報システム担当者やIT管理者に向けて、ランサムウェア被害発覚直後の初動対応、データ復旧方法、原因調査、専門業者への相談、再感染防止までを順番に解説します。

なお、実際の対応方法は被害範囲やシステム構成によって異なります。感染が疑われる場合は、社内のCSIRT（情報セキュリティインシデント対応チーム）や外部のセキュリティ専門会社と連携し、個別の状況に応じて判断してください。

ランサムウェア被害に気付いたら、まず行うべき5つの初動対応

ランサムウェアは、パソコンやサーバー内のデータを暗号化して利用できなくし、復号などと引き換えに金銭を要求する不正プログラムです。近年はデータを暗号化するだけでなく、情報を窃取して公開をちらつかせる二重恐喝や、暗号化せず情報窃取によって金銭を要求する手口も確認されています。

感染が疑われる場合は、すぐにデータを復旧しようとするのではなく、被害拡大防止と証拠保全を優先しましょう。

法人で最初に確認したい対応は、以下の5つです。

初動対応	主な目的
① 感染機器のネットワーク隔離	ほかの端末やサーバーへの被害拡大を防ぐ
② ログや証拠の保全	侵入経路や被害範囲を調査できる状態を残す
③ 被害範囲の確認	影響を受けた機器・データ・業務を把握する
④ 社内外の関係者への連絡	専門家と連携し、組織的な対応を進める
⑤ バックアップの確認	安全なデータ復旧方法を検討する

① 感染が疑われる機器をネットワークから隔離する

最初に検討すべきなのは、感染が疑われる機器をネットワークから隔離することです。

ランサムウェアは、感染した端末だけでなく、ネットワーク上の共有フォルダ、NAS、サーバーなどにも影響を及ぼす場合があります。

一般的な対応として、次のような方法が考えられます。

• 感染が疑われるPCのLANケーブルを取り外す
• Wi-Fiなどの無線ネットワーク接続を遮断する
• 影響が疑われるサーバーやNASへのアクセスを制限する
• 共有フォルダやネットワークドライブへの接続状況を確認する
• 管理者アカウントなどの不正利用が疑われる場合は、専門家と連携してアクセスを停止する

ただし、社内ネットワーク全体を無条件に停止すると、ほかの重要業務に影響する可能性があります。影響範囲が不明な場合は、被害拡大の危険性を考慮しながら、情報システム担当者やセキュリティ専門家の判断で隔離範囲を決めましょう。

② 電源を安易に切らず、ログや証拠を保存する

ランサムウェア被害が発生すると、感染した機器を急いで再起動したり、初期化したりしたくなるかもしれません。

しかし、不用意な再起動や初期化によって、メモリ上の情報やログなど、原因調査に必要な証拠が失われる可能性があります。

感染が疑われる機器では、次のような操作を安易に行わないことが大切です。

• 原因が分からないまま再起動を繰り返す
• OSを再インストールする
• 暗号化されたファイルを削除する
• ログや不審なプログラムを削除する
• 感染した機器にバックアップを直接上書きする
• 出所が不明な復号ツールを実行する

一方、暗号化が進行しているなど緊急性が高い場合には、電源の停止が必要になることもあります。電源を切らないことが常に正解というわけではなく、被害拡大防止と証拠保全の両面から判断する必要があります。

機器の状態、発見日時、画面に表示されたメッセージ、実施した操作なども記録しておきましょう。

③ 被害状況と影響範囲を確認する

次に、どの機器やデータが影響を受けているのかを整理します。

法人の場合は、個別のPCだけでなく、複数の部署が利用するサーバーや共有ストレージに被害が広がっている可能性があります。

• 暗号化されたファイルやフォルダ
• 利用できなくなった業務システム
• 影響が疑われるPC・NAS・サーバー
• クラウドサービスや仮想サーバーへの影響
• バックアップサーバーへのアクセス状況
• 顧客情報や個人情報の保存場所
• 業務停止が発生している部署や拠点

この段階では、被害範囲を完全に確定させる必要はありません。確認できた事実と、まだ調査が必要な事項を分けて記録することが重要です。

また、ファイルの暗号化だけでなく、外部への不審な通信や情報窃取が疑われる痕跡も調査対象になります。

④ 社内の責任者・専門家・関係機関に連絡する

ランサムウェア被害は、情報システム部門だけで解決できるとは限りません。

業務停止、個人情報の漏えい、取引先への影響などが想定されるため、社内外の関係者と連携した対応が必要です。

• 経営層・情報システム部門・セキュリティ責任者
• 社内CSIRTや外部のインシデント対応会社
• システム保守会社・クラウドサービス事業者
• 必要に応じて警察などの関係機関
• 個人情報保護や契約上の報告義務を判断する法務・管理部門

個人情報の漏えい等が発生した、またはそのおそれがある場合には、個人情報保護委員会への報告や本人通知が必要になるケースがあります。対象となる情報や被害の状況に応じて、適用される法令・ガイドライン・契約上の義務を確認しましょう。

社内に専任のセキュリティ担当者がいない場合は、保守委託先だけで対応できるかを確認し、必要に応じてインシデント対応の専門会社に相談してください。

⑤ 復旧前にバックアップと代替環境の状態を確認する

データ復旧を進める前に、利用できるバックアップや代替環境を確認します。

• バックアップが保存されている場所
• 最後に正常なバックアップを取得した日時
• バックアップの管理アカウントや保存先が侵害されていないか
• バックアップに暗号化前のデータが含まれているか
• 安全に復元できる環境を用意できるか
• 業務再開に必要なデータの優先順位

バックアップが存在していても、それ自体が暗号化・改ざんされていたり、攻撃者がアクセス可能な状態になっていたりすると、安全な復旧に利用できない場合があります。

正常性を確認するまでは、バックアップを不用意に本番環境へ接続しないようにしましょう。

ランサムウェア被害時の初動対応チェックリスト

初動対応を進める際は、以下の項目を確認してください。

• □ 感染が疑われる機器のネットワーク接続を遮断した
• □ 不用意な再起動・初期化・データ削除を避けている
• □ 被害を発見した日時と症状を記録した
• □ 影響が疑われる機器・データ・業務を整理した
• □ 経営層や情報システム責任者へ報告した
• □ 必要に応じてセキュリティ専門家に相談した
• □ バックアップを保護し、正常性の確認を進めている
• □ 復旧作業の前に証拠保全の必要性を確認した

警察庁では、ランサムウェアの手口や被害時の対応、事前対策を公開しています。具体的な対応に迷った場合は、公式情報も確認してください。

参考：警察庁「ランサムウェア被害防止対策」

2026年のランサムウェア被害事例から考える法人の復旧対応

ランサムウェア被害は、個別のパソコンだけでなく、企業のクラウド基盤や共有ストレージなど、業務を支えるシステム全体に影響することがあります。

2026年には、クラウドサービスや大学の事務情報システムで被害が確認されました。ここでは、実際の公表情報をもとに、法人が復旧対応を考えるうえで重要な点を整理します。

IDCフロンティア｜クラウド基盤への攻撃で495の企業・自治体に影響

2026年10月7日、IDCフロンティアが提供する「IDCFクラウド」の一部で、ランサムウェア攻撃による仮想サーバーの停止・暗号化が発生しました。

同社が10月27日に公表した調査結果によると、影響を受けたのは495の企業・自治体です。

攻撃者は、クラウド管理ポータルの認証システムに使用されていたオープンソースソフトウェアの脆弱性を悪用して侵入し、仮想化基盤の管理者権限を不正に取得していました。

同社は被害拡大を防ぐため、管理ポータルの停止やネットワーク遮断などを実施。その後、外部のセキュリティ専門会社と連携して調査を進め、代替環境への移行やバックアップデータの取り出しなどの復旧支援に取り組んでいます。

なお、同社の10月27日時点の発表では、顧客の仮想サーバー内のデータが外部へ流出した事実は確認されていません。一方、管理ポータル上では最大71社の登録情報に対する不正な照会が確認されています。

この事例からは、クラウドサービスを利用していてもランサムウェア被害を受ける可能性があり、事業者側の復旧対応に加えて、利用企業自身もバックアップや代替環境を確認しておく必要があることが分かります。

出典：IDCフロンティア「【第7報】不正アクセスに関する調査結果および今後の対応について」（2026年10月27日）

佐賀大学｜NASの被害を受けて事務用端末の利用を停止

2026年9月24日、佐賀大学では、事務部門が利用するNASにおいてランサムウェアによるとみられる被害が確認されました。

大学はCSIRTを中心に初動対応を開始し、感染が疑われる機器をネットワークから隔離。被害拡大防止のため、同日中に事務用端末の利用を停止しました。

その後、関係部署や外部事業者と連携して調査・復旧を進め、9月27日に事務用端末の利用を再開し、翌28日から通常業務を再開しています。

この事例では、データ復旧を急ぐだけでなく、感染が疑われる機器の隔離や利用停止を行い、関係者と連携して段階的に業務を再開した点が参考になります。

ただし、2026年9月28日の公表時点では、感染経路や被害範囲の詳細について調査が継続されていました。

出典：佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年9月28日）

被害事例から分かる初動対応とデータ復旧の重要性

両事例に共通しているのは、被害発覚後にシステムの隔離や利用停止を行い、調査と復旧を進めていることです。

法人では、データを復旧できるかという技術的な問題だけでなく、業務への影響、代替手段、情報漏えいの可能性、再感染防止まで考慮しなければなりません。

特にNASや仮想サーバーなど、複数の部署・企業が利用するシステムでは、復旧の進め方が事業継続に大きく影響します。

そのため、事前にバックアップの保存方法や復旧手順、専門業者への連絡体制を整えておくことが重要です。

ランサムウェア被害ではデータ復旧と原因調査を並行して進める

ランサムウェア被害では、暗号化されたデータを元に戻すことだけを優先すると、再感染や証拠消失につながるおそれがあります。

法人の復旧対応では、データ復旧、原因調査、セキュリティ対策、システム再構築をそれぞれ区別して考えることが大切です。

暗号化されたデータを戻すだけでは解決しない理由

ランサムウェアによってデータが暗号化された場合、バックアップからデータを復元できれば、業務再開に近づける可能性があります。

しかし、攻撃者が侵入に利用した脆弱性や認証情報が残っていると、復旧後のシステムが再び侵害されるおそれがあります。

また、近年はデータの暗号化だけでなく、情報を窃取したうえで公開を脅迫する攻撃も確認されています。

そのため、復旧時には次のような事項を確認する必要があります。

• 攻撃者がどの経路から侵入したか
• 管理者権限や認証情報が不正利用されていないか
• 不正プログラムやバックドアが残存していないか
• データが外部へ持ち出された可能性がないか
• 復旧に利用するバックアップが安全か

データを元に戻せたとしても、情報窃取の事実や侵入経路の問題が解消されるわけではありません。

データ復旧・フォレンジック調査・セキュリティ対応の違い

法人のランサムウェア被害では、複数の専門領域にまたがる対応が必要になることがあります。

対応分野	主な目的	具体的な対応例
データ復旧	利用できなくなったデータを取り戻す	バックアップ復元、データ抽出、復旧可能性の診断
フォレンジック調査	攻撃の経緯や被害範囲を明らかにする	ログ解析、侵入経路の調査、証拠保全
セキュリティ対応	攻撃者のアクセスを遮断し、再侵入を防ぐ	認証情報の変更、脆弱性修正、不正プログラム対策
システム再構築	安全な環境で業務を再開する	OSやサーバー環境の再構築、動作確認、段階的な再接続

データ復旧業者がフォレンジック調査やセキュリティ対応まで提供している場合もありますが、すべての業者が対応しているわけではありません。

そのため、依頼前にはサービスの対応範囲と、必要に応じて他の専門会社と連携できるかを確認しましょう。

データ復旧とフォレンジック調査の使い分けについて詳しく見る

原因調査が終わる前に復旧作業を進めてもよい？

業務停止の影響が大きい場合、原因調査が完了するまで復旧を待てないこともあります。

その場合でも、調査に必要な証拠を確保し、安全性を確認した環境を用意できれば、調査と並行して段階的に復旧を進められる場合があります。

ただし、感染したシステムを十分な確認なしにそのまま本番環境へ戻すことは避けましょう。

セキュリティ担当者、データ復旧担当者、システム管理者、事業責任者が情報を共有し、復旧を進める範囲と条件を判断することが重要です。

情報漏えいや不正アクセスが疑われる場合の証拠保全について詳しく見る

ランサムウェアで暗号化されたデータは復旧できる？

ランサムウェアによって暗号化されたデータを復旧できるかどうかは、バックアップの状態、ランサムウェアの種類、感染した機器の状態などによって異なります。

法人では、まず正常なバックアップが存在するかを確認し、復元が難しい場合にほかの方法を検討するのが基本です。

バックアップからデータを復旧する方法

攻撃前の正常なバックアップが残っている場合は、データを復旧できる可能性があります。

ただし、バックアップが存在するだけでは安全な復旧は保証されません。

確認したいのは、以下のような項目です。

• バックアップが攻撃前の正常な状態であるか
• 保存先が攻撃者に侵害されていないか
• 必要なファイルやシステム設定が含まれているか
• 復元後にデータが正常に利用できるか
• 復旧先のサーバーやネットワークが安全な状態か

バックアップを復元する際は、隔離された検証環境などで正常性を確認し、必要に応じてマルウェア検査やデータ整合性の確認を行います。

重要な業務システムほど、復旧後の動作確認に時間がかかる可能性があります。復旧作業を始める前に、必要なデータと業務の優先順位を整理しましょう。

復旧したいデータの優先順位を決めるチェックシートを見る

ランサムウェアの復号ツールを利用できる場合

ランサムウェアの種類によっては、暗号化されたデータを元に戻すための復号ツールが公開されていることがあります。

例えば、各国の法執行機関やセキュリティ関連組織などが協力する「No More Ransom」では、ランサムウェアに関する情報や復号ツールが提供されています。

ただし、すべてのランサムウェアに対応する復号ツールが存在するわけではありません。

また、復号ツールを利用できる場合でも、対応するランサムウェアの種類やバージョン、暗号化の状態などによって結果が異なります。

感染した機器で復号ツールを実行する前に、必要な証拠を保全し、専門家とともに適用可否やリスクを確認しましょう。

参考：No More Ransom公式サイト

バックアップがない場合の復旧可能性

バックアップが存在しない場合でも、利用できるデータがほかに残っていないか確認することが重要です。

例えば、以下のようなデータが残存している可能性があります。

• 別の機器に保存されているファイルの複製
• 正常な状態のスナップショット
• クラウドサービスのバージョン履歴
• 未感染のバックアップ媒体
• メール添付ファイルや取引先との共有データ
• 業務システムが別途保存しているデータ

ただし、こうしたデータが残っているとは限りません。また、強固な暗号化が適切に実装されたランサムウェアでは、暗号鍵がなければ元データの復号が極めて困難な場合があります。

データ復旧業者に依頼しても、すべてのランサムウェア被害を復旧できるわけではありません。

復旧の可能性が不明な場合は、専門業者に対象媒体やデータの状態を伝え、診断方法と対応可能な範囲を確認しましょう。

ランサムウェア被害のデータは復旧できる？詳しく見る

身代金を支払えばデータは戻る？

ランサムウェアでは、暗号化されたデータを復号する代わりに金銭や暗号資産を要求されることがあります。

しかし、身代金を支払っても、正常な復号ツールが提供されるとは限りません。データが完全に復旧する保証もなく、窃取された情報が削除される保証もありません。

また、支払った金銭が犯罪組織の活動資金になるおそれもあります。

そのため、身代金の支払いを前提に復旧方針を決めるのではなく、警察やセキュリティ専門家に相談し、利用可能なバックアップや復旧手段を確認することが重要です。

法人がランサムウェア被害から業務を再開するまでの流れ

法人のランサムウェア対応では、被害拡大防止、証拠保全、原因調査、データ復旧、業務再開を段階的に進めます。

実際には複数の工程を並行して実施する場合もありますが、各段階で確認すべき事項を整理しておくと、社内の意思決定を進めやすくなります。

STEP1 被害範囲と業務への影響を整理する

最初に、どのシステムが停止し、どの業務に影響しているのかを確認します。

例えば、次のような観点で整理します。

• 停止しているシステムと業務
• 影響を受けた部署・拠点
• 顧客や取引先への影響
• 停止が許容される時間
• 代替手段を利用できる業務
• 優先して復旧すべきデータ

基幹システム、受発注システム、顧客管理システムなど、停止による影響が大きいものから復旧の優先順位を検討します。

ただし、重要度が高くても安全性を確認できていないシステムは、安易に再接続しないよう注意が必要です。

STEP2 証拠を保全し、侵入経路の調査・遮断を進める

続いて、感染した機器やネットワークの状態を調査し、攻撃者の侵入経路を特定・遮断するための対応を進めます。

調査対象には、以下のようなものがあります。

• VPNやリモートアクセス機器
• サーバーやPCの認証ログ
• 管理者アカウントの利用履歴
• ネットワーク通信ログ
• 不審なプログラムや設定変更
• バックアップサーバーへのアクセス履歴

必要な証拠を保全したうえで、不正利用が疑われる認証情報の無効化やパスワード変更、脆弱性の修正などを進めます。

侵入経路が完全には特定できない場合でも、利用可能な情報をもとにリスクを評価し、専門家と協議して復旧条件を決めることが重要です。

STEP3 安全な環境を用意し、復旧可能なデータを確認する

感染したシステムをそのまま再利用するのではなく、必要に応じて新しいサーバーや隔離された復旧環境を用意します。

復旧対象のデータについては、バックアップの正常性、マルウェア混入の有無、整合性などを確認します。

また、サーバーやNASの復旧では、ファイルだけでなく、アプリケーション設定、権限情報、データベースとの整合性なども考慮する必要があります。

仮想サーバーの障害では、仮想マシンの構成情報や仮想ディスク、スナップショットなどの確認が必要になる場合があります。

仮想サーバーのデータ復旧について詳しく見る

STEP4 段階的にシステムを復旧する

安全性を確認できた環境から、優先順位に沿ってシステムを復旧します。

復旧時には、次のような点を確認しましょう。

• 必要なデータが正常に復元されているか
• 業務アプリケーションが動作するか
• 利用者のアクセス権限が適切か
• 不審な通信やプログラムが検出されないか
• ほかのシステムへ安全に接続できるか
• 復旧後の監視体制が整っているか

一度にすべてのシステムを再開するのではなく、必要に応じて接続範囲を限定しながら段階的に業務を再開します。

STEP5 復旧後の監視と再発防止を実施する

システムが利用できるようになっても、ランサムウェア対応が完了したとは限りません。

復旧後は、認証ログやネットワーク通信、端末の挙動などを監視し、不正なアクセスが再開していないか確認します。

また、今回の被害を踏まえて、バックアップ設計、アクセス権限、脆弱性管理、委託先管理、インシデント対応手順などを見直すことが重要です。

ランサムウェア被害でデータ復旧業者に相談すべきケース

ランサムウェアによって重要なデータが暗号化された場合、自社だけでは復旧可能性を判断できないことがあります。

特に、NAS、RAID、サーバー、仮想環境などが被害を受けた場合は、機器やシステムの構成を理解した専門家への相談が必要になることがあります。

専門業者への相談を検討したい状況

例えば、次のような状況ではデータ復旧業者への相談を検討しましょう。

• 重要な業務データが暗号化され、正常なバックアップがない
• バックアップが存在するものの、利用できる状態か分からない
• NASやRAID構成のサーバーに障害が発生している
• 仮想サーバーや仮想ディスクが利用できなくなっている
• 復旧できるデータの範囲を事前に確認したい
• データ復旧とセキュリティ調査の両方が必要
• 社内の設備や技術だけでは安全な復旧が難しい

ただし、ランサムウェアの暗号化を解除することと、破損・消失したデータを復旧することは同じではありません。

復旧業者によって対応範囲が異なるため、暗号化被害への対応実績や、セキュリティ調査会社との連携体制を確認する必要があります。

データ復旧業者に確認したい5つの項目

法人がランサムウェア被害のデータ復旧を依頼する際には、次の項目を確認しましょう。

確認項目	確認したい内容
① 対応範囲	ランサムウェアによる暗号化、NAS・サーバー・仮想環境などに対応できるか
② 調査との連携	証拠保全やフォレンジック調査への対応、専門会社との連携が可能か
③ 情報管理	NDA、媒体の保管方法、作業場所、再委託の有無などを確認できるか
④ 復旧可能性の確認	診断方法、復旧可能なデータの確認方法、結果の報告範囲
⑤ 費用・納期・報告	初期診断費用、追加費用、納期の目安、作業報告書の有無

業者を選ぶ際は、復旧率や料金の安さだけで判断しないことが大切です。

復旧対象が法人の重要データである場合は、情報管理体制、セキュリティ対応の範囲、復旧後のデータ確認方法なども比較しましょう。

法人向けデータ復旧会社を条件別に比較する

NAS・RAID・サーバー対応のデータ復旧会社を比較する

データ復旧業者だけでは対応できない場合

ランサムウェア被害では、データ復旧業者だけで対応を完結できない場合があります。

例えば、攻撃者がネットワーク内に侵入している、管理者権限が不正利用されている、情報窃取が疑われるといった場合には、インシデント対応やフォレンジック調査の専門知識が必要になります。

また、個人情報の漏えいや重大な業務停止が発生している場合は、法務、経営層、広報などとの連携も重要です。

依頼先を検討する際は、「データを取り戻すための依頼」と「攻撃の原因を調査して安全性を確保するための依頼」を分けて考えると判断しやすくなります。

相談に必要な情報を整理したい場合は、以下のページも参考にしてください。

データ復旧業者への問い合わせテンプレートを見る

ランサムウェアの再感染を防ぐために必要なセキュリティ対策

ランサムウェア被害から業務を再開した後も、同じ侵入経路が残っていれば再び攻撃を受けるおそれがあります。

再感染を防ぐには、被害の原因を踏まえたセキュリティ対策と、万が一再び障害が発生した場合の復旧体制を整えることが重要です。

侵入経路となった脆弱性・認証情報を見直す

ランサムウェア攻撃では、VPN機器、リモートアクセス環境、外部公開サーバーなどの脆弱性や認証情報が悪用される場合があります。

そのため、次のような対策を検討しましょう。

• VPNやネットワーク機器の脆弱性を修正する
• OSやアプリケーションを適切に更新する
• 管理者アカウントの利用範囲を制限する
• 多要素認証を導入する
• 不要なアカウントや外部公開サービスを停止する
• 委託先や保守会社のアクセス権限を見直す

攻撃に利用された認証情報が不明な場合は、影響する可能性のあるアカウントを調査し、適切な手順で無効化や再設定を進めます。

バックアップを保護し、定期的に復旧テストを行う

ランサムウェア対策では、バックアップの取得に加えて、攻撃者に削除・暗号化されにくい状態で保管することが重要です。

例えば、次のような方法が考えられます。

• 本番環境から分離したバックアップを保管する
• オフラインバックアップを確保する
• 削除や上書きを制限できるバックアップ機能を利用する
• バックアップ管理用アカウントを適切に分離する
• 定期的に復元テストを実施する
• 復旧に必要な時間と復元可能な時点を把握する

業務システムのバックアップでは、データファイルだけでなく、システム構成や設定情報も必要になる場合があります。

また、バックアップの取得に成功していても、実際に復元できるとは限りません。定期的な復旧テストによって、復元手順や所要時間を確認しておくことが大切です。

感染を前提とした監視・運用体制を整える

すべてのサイバー攻撃を完全に防ぐことは困難です。

そのため、侵入を防ぐ対策だけでなく、侵入や不審な活動を早期に検知し、被害の拡大を抑えるための体制も必要になります。

• EDRなどによる端末の監視
• 認証ログやネットワークログの監視
• 重要システムのネットワーク分離
• 管理者権限の適切な運用
• 委託先のセキュリティ管理状況の確認
• インシデント発生時の連絡体制の整備
• 復旧訓練や対応手順の定期的な見直し

特に法人では、情報システム担当者だけでなく、経営層や各部門が業務停止時の対応方法を把握しておくことが重要です。

データ復旧後のバックアップ設計や再発防止については、以下のページでも解説しています。

データ復旧後に行う再発防止のチェックリストを見る

ランサムウェアのデータ復旧に関するよくある質問

ランサムウェアに感染したPCの電源は切るべきですか？

一般的にはネットワークからの隔離を優先し、証拠保全を考慮して対応します。不用意に電源を切ると、メモリ上の情報などが失われる可能性があります。

ただし、暗号化が進行しているなど緊急性の高い状況では、電源停止が必要になる場合もあります。機器の状態に応じて、セキュリティ専門家と連携して判断してください。

バックアップがあれば、ランサムウェア被害からすぐに復旧できますか？

正常なバックアップが残っていれば、データを復旧できる可能性があります。

ただし、バックアップの安全性、復旧先の環境、データの整合性、業務システムの動作確認などが必要です。バックアップが存在していても、即座に業務再開できるとは限りません。

データ復旧業者はランサムウェアの暗号化を解除できますか？

ランサムウェアの種類や暗号化の状態によって異なります。

一部の種類では復号ツールを利用できる場合がありますが、強固な暗号化が行われたデータは、復号鍵がなければ復元が極めて困難なことがあります。

依頼前に、暗号化被害への対応範囲や診断方法を確認しましょう。

バックアップがない場合はどうすればよいですか？

まずは、ほかの機器に残っている複製、正常なスナップショット、クラウドのバージョン履歴などを確認します。

復旧可能性が分からない場合は、対象媒体の状態やランサムウェアの種類などを専門業者に伝え、対応できるか相談してください。

ただし、バックアップがない状態で暗号化されたデータを必ず復旧できる方法はありません。

データを復旧できれば通常業務を再開しても大丈夫ですか？

データを復旧できても、攻撃者の侵入経路や不正プログラムが残っている可能性があります。

そのため、復旧したデータの正常性だけでなく、システムの安全性、認証情報、ネットワーク接続、監視体制などを確認したうえで、段階的に業務を再開することが重要です。

ランサムウェア被害はどこに相談すればよいですか？

被害状況に応じて、社内CSIRT、外部のインシデント対応会社、システム保守会社、データ復旧業者などに相談します。

原因調査や情報漏えいへの対応が必要な場合は、フォレンジック調査やセキュリティ対応の専門会社との連携も検討してください。

また、警察庁はランサムウェア被害に関する相談・通報について案内しています。必要に応じて警察への相談も行いましょう。

まとめ｜ランサムウェア被害では復旧の速さだけでなく安全性を重視する

ランサムウェア被害が発生した場合、法人ではデータを早く復旧することに加えて、被害拡大防止、原因調査、証拠保全、再感染防止まで考える必要があります。

特に重要なのは、以下の3点です。

• 被害発覚直後は、感染が疑われる機器の隔離と証拠保全を優先する
• データ復旧・原因調査・セキュリティ対応の役割を分け、必要に応じて並行して進める
• 侵入経路の遮断や安全性の確認を行い、段階的に業務を再開する

2026年に発生したクラウド基盤やNASへのランサムウェア攻撃からも、被害が個別の機器だけでなく、組織の業務全体に影響する可能性があることが分かります。

バックアップの有無やデータの状態によって復旧可能性は異なりますが、自社だけで判断が難しい場合は、専門家へ相談することが重要です。

また、データ復旧業者を選ぶ際は、復旧可能性だけでなく、対応できる機器、情報管理体制、セキュリティ調査との連携、費用や報告体制なども確認しましょう。

法人向けのデータ復旧会社を比較したい場合は、以下のページも参考にしてください。

法人向けデータ復旧会社を比較｜NDA・作業報告書・オンサイト対応を調査

法人対応できるデータ復旧業者の選び方を見る

参考資料・情報確認日

本記事は、以下の公的機関・企業が公開している情報を参考に作成しています。

• 警察庁「ランサムウェア被害防止対策」
• JPCERT/CC「侵入型ランサムウェア攻撃を受けたら読むFAQ」
• IPA「ランサムウェア被害から学ぶ教訓集」
• IDCフロンティア「【第7報】不正アクセスに関する調査結果および今後の対応について」（2026年10月27日）
• 佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年9月28日）
• No More Ransom公式サイト

情報確認日：2026年10月28日

※本記事は法人向けの一般的な初動対応とデータ復旧の考え方を解説するものです。実際の被害への対応では、被害状況、システム構成、社内規程、法令上の義務などを踏まえ、専門家と連携して判断してください。

• その復元をあきらめない！本当に信頼できるデータ復旧Navi
• 法人・官公庁向けデータ復旧ガイド
• 官公庁向けに確認すべきデータ復旧の証明書・報告書対応
• データ復旧を外部委託するときの確認ポイント
• 自治体のNAS・ファイルサーバー障害時の初動対応