はじめに

「昨日まで使えていたファイルが、突然開けなくなった」

「ExcelやPDFのファイル名の末尾に、見覚えのない文字が付いている」

「共有フォルダーの資料が、まとめて使えなくなった」

このような異常に気づいた場合、ランサムウェアによる暗号化の可能性があります。

ただし、ファイルが開けない原因は、破損やアクセス権限、アプリケーションの問題などの場合もあります。

症状だけで感染を断定することはできません。

この記事では、企業の担当者が感染の疑いに気づくための確認ポイントと、最初に取るべき行動を解説します。

複数のファイルが突然開けなくなり、見覚えのない拡張子や身代金の要求が見つかった場合は、確認を続けるより先に端末をネットワークから隔離し、社内の担当者へ報告してください。

ファイルが開けないだけで、感染とは限らない

ファイルが開けなくなる原因には、次のようなものがあります。

• ファイル自体が破損している
• ファイル形式に対応するアプリケーションがない
• ファイルや共有フォルダーへのアクセス権限が変わった
• サーバーやネットワークに障害が発生している
• ランサムウェアによって内容が暗号化された

Microsoftも、ファイルの破損によりWord、Excel、PowerPointの文書を通常どおり開けなくなる場合があると説明しています。

重要なのは、表示されているエラーだけで判断せず、「いつから」「どの範囲で」「ほかに何が変わったか」を確認することです。

ただし、感染が疑われる状況で、次々にファイルを開いたり、別のパソコンへコピーして試したりすることは避けましょう。すでに分かっている情報を整理し、担当者へ引き継ぎます。

ランサムウェア感染を疑う主な兆候

1．複数のファイルに見覚えのない拡張子が付いている

拡張子とは、ファイル名の末尾にある「.xlsx」「.pdf」など、ファイルの種類を示す部分です。

ランサムウェアによって暗号化された場合、この部分が変更されたり、元のファイル名の後ろに別の文字列が追加されたりすることがあります。

IPAの届出事例でも、拡張子の変更をきっかけに被害が発見されたケースが報告されています。

特に、異なる種類のファイルに同じ見覚えのない文字列が付いている場合は、担当者へ速やかに報告してください。

なお、拡張子だけでランサムウェアの種類や復旧の可否を確定することはできません。

2．身代金を要求するメッセージがある

画面やフォルダー内に、次のような内容のメッセージが残されることがあります。

• ファイルを暗号化した
• 元に戻すには金銭の支払いが必要
• 指定の連絡先へ連絡するよう求める
• 支払わなければ盗んだ情報を公開する

こうした要求文は「ランサムノート」と呼ばれ、調査の手掛かりになります。

表示されている内容は記録しますが、記載されたリンクへのアクセスや攻撃者への連絡、添付されたプログラムの実行を、個人の判断で行わないようにしましょう。

不審なファイルを新たに開いて、要求文を探し回る必要はありません。

3．複数の利用者や共有フォルダーで異常が起きている

自分のパソコンだけでなく、ほかの社員からも「資料が開けない」と連絡が来ている場合は、共有サーバーやNAS上のデータに被害が出ている可能性があります。

このとき、「ファイルを開けないパソコンが感染している」とは限りません。共有先のファイルが暗号化され、利用者のパソコンから開けなくなっている場合も考えられます。

各社員にファイルを開いて試してもらうより、すでに届いている報告を集め、担当者が影響範囲を調べるようにします。

4．セキュリティ製品から警告が出ている

ウイルス対策ソフトやEDRなどから、不審なプログラムやファイルの暗号化に関する警告が出ている場合も、確認が必要です。

製品名、警告の内容、発生時刻、対象端末などを記録し、担当者へ共有してください。

一方、警告が出ていないことだけで、安全とは判断できません。

まず確認しておきたい情報

感染の疑いを担当者へ伝える際は、次の情報が役立ちます。

確認すること	記録する内容
発見した時刻	異常に気づいた日時、最後に正常に使えた日時
ファイル名の変化	元のファイル名、追加・変更された拡張子
保存場所	パソコン内、共有フォルダー、NAS、クラウドなど
影響の範囲	分かっている範囲の端末・利用者・使えない業務
表示内容	エラーメッセージ、要求文、セキュリティ製品の警告
実施した操作	再起動、名前の変更、ケーブルを抜いたなど

すべての情報が揃うまで、報告を待つ必要はありません。

画面に表示されている異常は、スマートフォンなどで撮影すると、端末上のファイルを変更せずに記録できます。撮影した画像に業務情報が含まれる場合は、社内で指定された方法で管理・共有してください。

感染が疑われたら、最初に行うこと

1．業務利用を止め、ネットワークから隔離する

感染が疑われるパソコンは、LANケーブルを抜く、Wi-Fiを切断するなどしてネットワークから切り離します。

警察庁も、感染した機器のネットワーク隔離を案内しています。

サーバーや複数の端末に異常がある場合は、情報システム担当者や保守会社へ直ちに連絡し、隔離する範囲を判断してもらいましょう。

2．むやみに再起動・電源OFF・初期化をしない

調査に必要な情報が失われる可能性があるため、自己判断で端末を再起動したり、初期化したりしないようにします。

警察庁は、調査に必要なログなどが消失する場合があるとして、電源を落とさないよう案内しています。

なお、ネットワークから隔離できず被害が広がる場合など、対応の判断が必要な状況もあります。隔離できない場合は、そのことを直ちに担当者へ伝えてください。

3．社内の担当者や責任者へ報告する

情報システム担当者、セキュリティ担当者、上司などへ、分かっている情報を共有します。

社内メールが使えない場合は、電話など別の連絡手段を使います。感染が疑われる端末で、外部への検索や問い合わせを続けないようにしましょう。

詳しい操作手順は、感染時の初動対応フロー（操作編）をご確認ください。

拡張子を戻しても、暗号化されたファイルは復元できない

ファイル名の末尾を「.xlsx」や「.pdf」に戻しても、暗号化された内容が元に戻るわけではありません。

名前を変更すると、調査やランサムウェアの特定に使う情報を変えてしまうこともあります。

感染が疑われるファイルについては、元の状態を残し、名前の変更や修復ソフトの実行を個人の判断で行わないようにしましょう。

また、次の操作も担当者に確認してから行います。

• 不審なファイルや要求文を削除する
• USBメモリや外付けバックアップを接続する
• バックアップで元のファイルを上書きする
• インターネットで見つけた復号ツールを実行する

被害が残っている環境にバックアップを接続すると、復旧に使うデータまで被害を受けるおそれがあります。

感染の特定や復旧の相談は、隔離・報告の後に進める

ランサムウェアの種類を調べる際は、拡張子や要求文が手掛かりになります。

本サイトでは、ID Ransomwareの使い方と注意点や、No More Ransomの復号ツールについて紹介しています。

ただし、企業のファイルを外部サービスへアップロードする場合は、機密情報や個人情報が含まれていないかを確認し、社内の承認を得てから利用してください。

復号ツールも、すべてのランサムウェアやファイルに対応するものではありません。

社内で判断が難しい場合は、保守会社やインシデント対応の専門会社へ相談します。被害が確認された場合は、警察への通報・相談も行いましょう。

連絡先や相談時に準備する情報は、ランサムウェア被害はどこに通報・相談する？にまとめています。

よくある質問

拡張子が変わっていなければ、感染していませんか？

拡張子の変化が見つからないことだけで、感染していないとは判断できません。

ファイルが突然使えなくなった、要求文が表示されたなど、ほかの異常も含めて担当者へ伝えてください。

一部のファイルが開けるなら、安全ですか？

開けるファイルが残っていても、安全とは判断できません。被害が一部に限られている可能性もあります。

確認のためにファイルを開き続けず、分かっている異常を報告しましょう。

ファイルが復元できれば、対応は終わりですか？

復元できても、侵入経路や情報の持ち出し、ほかの機器への影響を確認する必要があります。

原因が残ったまま業務を再開すると、再び被害を受けるおそれがあります。復旧と調査は、担当者や専門家と相談して進めます。

まとめ

ファイルが開けない、拡張子が変わったといった異常は、ランサムウェア被害に気づく手掛かりになります。

ただし、症状だけで感染を断定したり、異常が一つしかないから安全と判断したりすることはできません。

感染が疑われる場合は、業務利用を止め、ネットワークから隔離し、社内の担当者へ報告することを優先してください。

そのうえで、ファイル名やエラー、発見時刻などを記録し、調査や復旧につなげましょう。