【2026年版】サイバー攻撃を受けている「兆候」30項目と初動対応ガイド｜侵入・潜伏・持ち出し・暗号化の段階別サイン、赤・黄・緑の緊急度判定、「電源は切らずにネットワークから切り離す」最初の1時間・24時間・72時間の対応と、やってはいけないNG行動10

はじめに——侵入は「気づかれないこと」から始まる

「ある朝、社内のファイルが一斉に開けなくなり、画面に脅迫文が表示された」——ランサムウェア被害の報道では、多くの場合この場面から話が始まります。しかし実際には、暗号化はほぼ最後の工程です。その数日から数週間前に、攻撃者は社内に侵入して管理者権限を奪い、データを持ち出しています。そして、その間に残る「小さな違和感」が見過ごされています。

警察庁が公表した2025年（令和7年）の統計では、ランサムウェアの被害報告は226件でした。このうち143件（63.3%）が中小企業です。侵入経路は、有効回答92件のうちVPN機器が61件（66.3%）、リモートデスクトップが19件（20.7%）で、両者で約9割を占めます。IPAの「情報セキュリティ10大脅威 2026（組織編）」でも、ランサムウェアによる被害が引き続き1位です。今回はAIの利用に伴うリスクも初めて3位に入りました。

筆者は通信キャリアやネットワーク機器ベンダーのNOC／TACで、25年以上にわたって障害やインシデントの一次対応をしてきました。その経験から言えるのは、被害の大きさは「最初に違和感に気づいてから、隔離するまでの時間」でほぼ決まるということです。本記事では、IT専任者がいない中小企業から情報システム部門のある大企業までを対象に、次の2点を実務の目線で整理します。

• サイバー攻撃を受けている（または受けつつある）兆候：5つのカテゴリー、30項目
• 兆候を見つけたときの初動対応：最初の1時間・24時間・72時間でやること

目次

1. 兆候を見る前に——攻撃の6段階と「どこで気づけるか」
2. 兆候①：パソコン・業務で利用者が気づく兆候
3. 兆候②：アカウント・認証まわりの兆候
4. 兆候③：ネットワーク・通信の兆候
5. 兆候④：サーバー・システムの兆候
6. 兆候⑤：外部から知らされる兆候
7. 緊急度の判定——「様子見」してよい兆候、即隔離すべき兆候
8. 検知直後の初動対応——最初の1時間と24時間
9. やってはいけないNG行動10
10. 72時間以降——根絶・復旧・再発防止
11. AIを兆候の検知と初動に活かす方法と注意点
12. 平時にやっておく準備チェックリスト
13. よくある質問（Q&A）
14. まとめ
15. 参考リンク

兆候を見る前に——攻撃の6段階と「どこで気づけるか」

兆候をばらばらに覚えるより、攻撃がどの段階にあるかと結びつけて理解するほうが、判断を速くできます。典型的なランサムウェア攻撃（侵入型・二重恐喝型）は、おおむね次の流れで進みます。

段階	攻撃者の行動	この段階で出やすい兆候	気づいた場合の被害
1. 初期侵入	VPN機器の脆弱性や漏えいした認証情報、フィッシングメールで侵入する	深夜や海外からのVPNログイン、ログイン失敗の急増、不審な添付ファイルの開封	最小（ここで止めるのが理想）
2. 潜伏・偵察	社内のネットワーク構成やファイルサーバーを調べる	見慣れないスキャン通信、普段使わないツール（ネットワーク探索系）の実行	小
3. 権限奪取	管理者アカウントやドメイン管理者の権限を手に入れる	管理者アカウントの新規作成、権限グループへの追加、パスワードの一斉リセット	中
4. 横展開	他のPCやサーバーへ侵入を広げる	サーバー間での不審なリモート接続、多数の端末への同時ログイン	中〜大
5. データ持ち出し	機密データを圧縮し、外部のクラウドストレージなどへ送る	夜間の大容量アップロード、見慣れない圧縮ファイル、クラウドストレージへの通信	大（情報漏えいが確定する）
6. 破壊・暗号化	バックアップを削除し、セキュリティソフトを止めて一斉に暗号化する	ファイル拡張子の一斉変化、脅迫文の出現、セキュリティソフトの停止	最大（業務停止）

ポイントは、段階1〜4の兆候は「なんとなく変」程度にしか見えないことです。「パソコンが重い」「知らないログイン通知が来た」といった小さな違和感を、社員が気軽に報告できる体制があるかどうかで、止められる段階が変わります。

兆候①：パソコン・業務で利用者が気づく兆候

専門の監視ツールがなくても、一般の社員が最初に気づくことが多い兆候です。社内への周知用に、そのまま使える形で並べています。

1. パソコンが急に重くなった、ファンが回り続けている（裏で暗号化や情報収集、仮想通貨の採掘が動いている可能性）
2. ファイル名や拡張子が見慣れないものに変わった、ファイルが開けない（暗号化が始まっている可能性。最も緊急度が高い）
3. デスクトップや各フォルダに「README」「HOW_TO_DECRYPT」のようなテキストファイルが置かれている
4. セキュリティソフトが勝手に無効になっている、または更新できない
5. マウスカーソルが勝手に動く、身に覚えのないウィンドウやコマンド画面が一瞬表示される
6. ブラウザのホームページや検索エンジンが勝手に変わった、見覚えのない拡張機能が入っている
7. メールの「送信済み」に、送った覚えのないメールがある
8. 添付ファイルやリンクを開いたあとに、何も起きなかった（「何も起きない」こと自体が不審なケースがある）

兆候②：アカウント・認証まわりの兆候

近年の侵入の多くは、マルウェアではなく「正規のIDとパスワード」でログインしてくる手口です。そのため、ウイルス対策ソフトでは検知できません。認証まわりの異常は、特に重視すべき兆候です。

9. 「新しい場所からのログイン」「新しい端末でのサインイン」の通知が届いたが、本人に心当たりがない
10. 多要素認証（MFA）の承認依頼が、操作していないのに何度も届く（MFA疲労攻撃。誤って承認すると侵入される）
11. パスワードがいつの間にか変更されていて、ログインできない
12. 深夜・休日、あるいは海外のIPアドレスからのVPN／クラウドサービスへのログインがある
13. 退職者や長期間使われていないアカウントがログインしている
14. Active Directoryやクラウドの管理画面で、覚えのない管理者アカウントの作成や、権限グループへの追加がある
15. メールに自動転送ルールや受信トレイのルールが勝手に追加されている（ビジネスメール詐欺の準備段階でよく見られる）
16. 知らないアプリに、Microsoft 365やGoogle Workspaceへのアクセス許可（OAuth同意）が与えられている

兆候③：ネットワーク・通信の兆候

ネットワークは、攻撃者が一番ごまかしにくい場所です。ファイアウォールやUTM、VPN機器のログやダッシュボードを、週に一度でよいので「平常時との差」を見る習慣をつけてください。

17. 業務時間外に、外部への大容量アップロードが発生している（データ持ち出しの典型）
18. 普段は使わないクラウドストレージやファイル転送サービスへの通信が急に増えた
19. 決まった間隔（数分ごとなど）で、同じ外部アドレスへ通信している端末がある（遠隔操作サーバーとの定期通信の可能性）
20. 社内で、1台の端末から多数の端末へのスキャンや、リモート接続の試行がある
21. VPN機器やファイアウォールに覚えのない設定変更、あるいはファームウェアのバージョンが不自然に変わっている
22. UTMやIDS／IPSのアラートが急増した、または逆にぱったり止まった（ログ機能が無効化された可能性）

兆候④：サーバー・システムの兆候

23. バックアップのジョブが失敗している、バックアップデータやシャドウコピーが消えている（暗号化の直前に必ずと言っていいほど狙われる）
24. イベントログ（監査ログ）が削除された、またはログが途切れている期間がある
25. 見慣れないタスクスケジューラ登録・サービス・常駐プログラムが追加されている
26. サーバー上に、大きな圧縮ファイル（.zip、.7z、.rarなど）が作られている
27. Webサイトが改ざんされている、または見知らぬページやファイルが追加されている。サイトにアクセスすると別サイトへ転送される

兆候⑤：外部から知らされる兆候

実は、侵入に最初に気づくのが自社ではなく外部というケースは珍しくありません。外部からの連絡は「誤報だろう」と流さず、必ず確認してください。

28. 取引先から「御社から不審なメールが届いた」「振込先変更の連絡は本当か」と問い合わせが来る
29. 警察、JPCERT/CC、IPA、セキュリティベンダー、取引先などから「御社が侵害されている可能性がある」という連絡が来る
30. リークサイト（ダークウェブ）やSNSに自社名やデータが掲載されたという情報が入る。あるいは、自社のドメインやIPアドレスがスパム送信元のブラックリストに載っている

注意：「御社が侵害されている」と連絡してきた相手が、実は詐欺ということもあります。電話やメールに書かれた連絡先ではなく、公式サイトなどで自分で調べた窓口に折り返して、真偽を確認してください。

緊急度の判定——「様子見」してよい兆候、即隔離すべき兆候

30項目すべてが同じ重さではありません。現場が迷わないように、3段階の判定基準を事前に決めて社内に周知しておくことをおすすめします。

レベル	該当する兆候の例	取るべき行動	目安の時間
赤：即隔離	ファイルの暗号化や拡張子の変化（2）、脅迫文（3）、セキュリティソフトの停止（4）、カーソルの遠隔操作（5）、覚えのない管理者アカウント（14）、バックアップの消失（23）、ログの削除（24）	該当端末・サーバーをネットワークから切り離し、すぐに責任者へ報告する	発見から15分以内
黄：即調査	心当たりのないログイン（9・12）、MFAの連打（10）、外部への大容量通信（17）、定期的な不審通信（19）、外部からの侵害の通報（29）	該当アカウントのパスワード変更とセッションの失効を行い、ログを確認する。疑いが強まれば赤へ引き上げる	発見から当日中
緑：記録・観察	PCが重い（1）、ブラウザ設定の変化（6）、ログイン失敗の散発	状況を記録して情シス（または担当者）に報告する。同じ兆候が複数の端末で出たら黄へ引き上げる	発見から翌営業日まで

判定に迷ったら「1段階上」で動くのが原則です。空振りのコストは数時間の業務停止ですが、見逃しのコストは数週間の全社停止と情報漏えいになり得ます。

検知直後の初動対応——最初の1時間と24時間

最初の1時間：被害を「広げない」

1. ネットワークから切り離す（電源は切らない）
   LANケーブルを抜き、Wi-Fiをオフにします。電源を切ったり再起動したりすると、メモリ上の証拠（攻撃者の通信先や実行中のプログラム）が消えます。暗号化が進行中で止める手段がない場合に限り、専門家の指示を受けたうえでシャットダウンを判断します。
2. 見たまま記録する
   画面をスマートフォンで撮影し、「いつ・誰が・どの端末で・何を見たか」を時刻付きでメモします。脅迫文の内容や、連絡先として指定されたURLも撮影しておきます。
3. 決められた報告ルートで報告する
   発見者 → 上長 → 情シス（またはIT担当・委託先） → 経営層、の順に連絡します。攻撃者が社内メールを見ている可能性があるため、報告は電話や対面、または社外の連絡手段を使います。
4. 被害の疑いがある範囲を一時的に止める
   ファイルサーバーの共有停止、VPNの一時停止、侵害が疑われるアカウントの無効化などを行います。業務への影響はあっても、「広がる」ことを止める判断を優先します。

最初の24時間：状況を「把握する」

5. 対応体制を立ち上げる
   責任者（意思決定する人）、技術対応、社内外の連絡、記録係の役割を決めます。小規模な企業なら2〜3人で兼任してかまいません。重要なのは「誰が決めるか」を明確にすることです。
6. 証拠を保全する
   ファイアウォール、VPN、サーバー、クラウドサービスのログを、上書きや自動削除が起きる前にエクスポートして保存します。感染した端末はそのまま保管し、初期化やウイルス駆除を勝手に行わないでください。
7. アカウントを保護する
   感染していない別の端末から、管理者アカウントと侵害が疑われるアカウントのパスワードを変更します。あわせて、ログイン中のセッションを強制的に失効させ、MFAの登録デバイスも確認します。
8. 影響範囲を洗い出す
   どの端末・サーバー・アカウントが影響を受けたか、個人情報や取引先の情報が含まれるデータに触れられたか、バックアップは無事か、を確認します。
9. 外部へ連絡する
   
   • セキュリティベンダー／保守委託先：調査や復旧の支援を依頼します（サイバー保険に加入している場合は、保険会社の指定窓口や提携ベンダーを先に確認します）
   • 警察（都道府県警察のサイバー犯罪相談窓口）：被害の届け出と相談
   • IPA・JPCERT/CC：技術的な相談やインシデントの報告
   • 中小企業の場合：「サイバーセキュリティお助け隊サービス」に加入していれば、その駆け付け窓口

法令にもとづく報告を忘れない

個人データの漏えいや、その「おそれ」がある場合、個人情報保護法にもとづいて個人情報保護委員会への報告と本人への通知が必要になることがあります。報告が必要になるのは、たとえば不正アクセスなど不正な目的による漏えいのおそれがある場合や、漏えいした人数が1,000人を超える場合などです。ランサムウェア被害は、前者に該当することが多いと考えておくべきです。

• 速報：事態を知った時点からおおむね3〜5日以内
• 確報：30日以内（不正な目的によるおそれがある場合は60日以内）

業種によっては、所管官庁への報告義務もあります（金融、医療、重要インフラなど）。詳細は、必ず最新の公式情報と専門家に確認してください。

やってはいけないNG行動10

NG行動	なぜダメか
1. すぐに電源を切る・再起動する	メモリ上の証拠が消える。再起動をきっかけに暗号化が進むマルウェアもある
2. 自己判断で端末を初期化・駆除する	侵入経路や被害範囲を特定できなくなり、再侵入を許す
3. 感染した端末でパスワードを変更する	キーロガーなどで新しいパスワードも盗まれる
4. 社内メールやチャットで「感染しました」と全社に一斉送信する	攻撃者に気づかれ、暗号化やデータ削除を早められるおそれがある
5. 脅迫文のURLにアクセスしたり、攻撃者と独自に交渉したりする	状況が悪化しやすく、交渉の記録も残らない。対応は専門家と警察に相談してから
6. 「とりあえず身代金を払う」と決める	支払ってもデータが戻る保証はなく、公開されない保証もない。日本政府も支払いを推奨していない
7. バックアップをすぐに感染環境へ戻す	侵入経路が残ったままだと、バックアップごと再び暗号化される
8. 外部への説明を後回しにする	取引先が二次被害（なりすましメールなど）を受け、信頼を大きく失う
9. 発見者を責める	次から報告が上がらなくなる。「早く報告した人を評価する」文化が最大の防御になる
10. 記録を残さない	保険請求、警察への届け出、法令にもとづく報告、再発防止のすべてに支障が出る

72時間以降——根絶・復旧・再発防止

根絶：侵入経路をふさぐ

特定した侵入経路（VPN機器の脆弱性、漏えいしたパスワード、不審なリモートデスクトップの公開など）をふさぎます。攻撃者が残したバックドア（追加のアカウント、タスク、遠隔操作ツール）をすべて削除するまで、復旧は始めません。

復旧：きれいな状態から段階的に戻す

感染していないことを確認したバックアップから、重要な業務の順に、段階的に戻します。戻したシステムは、しばらく通信やログを重点的に監視します。

再発防止：振り返りを「仕組み」に変える

事後の振り返り（ポストインシデントレビュー）で、「どの兆候に、いつ気づけたはずか」を時系列で整理します。そして、監視項目・報告ルート・設定の改善に落とし込みます。担当者の個人責任を追及する場にしないことが、次の早期発見につながります。

AIを兆候の検知と初動に活かす方法と注意点

ChatGPTやClaudeなどの生成AIは、専門のセキュリティ担当者がいない企業でも、「ログの読み解き」と「手順の整理」を補助するのに役立ちます。

活用できる場面

• ファイアウォールやVPNのログから、平常時と違う通信（時間帯・宛先・容量）を洗い出す
• Windowsのイベントログに出てくるIDや、見慣れないプロセス名の意味を調べる
• 自社の構成に合わせた初動手順書や連絡網のドラフトを作る
• 取引先や顧客へのお知らせ文のたたき台を作る（公開前に必ず法務・専門家の確認を受ける）

プロンプト例（ログの一次確認）

あなたは企業のセキュリティ担当者を支援するアナリストです。以下は当社VPN機器の過去7日分の認証ログです（IPアドレスとユーザー名は匿名化済み）。
1. 業務時間（平日8〜20時）外のログイン
2. 国外からのログイン
3. 短時間での認証失敗の連続
4. 同じアカウントによる複数地点からの同時ログイン
に該当する行を抽出し、緊急度（高・中・低）と、その理由、次に確認すべきログを表で示してください。断定できない点は「要確認」と明記してください。

注意点

• 生のログをそのまま外部のAIサービスに貼らない。IPアドレス、ユーザー名、個人情報は匿名化してから使います。社内ルールで許可された法人向けプランや、学習に使われない設定の環境を使ってください。
• AIの判定を最終判断にしない。AIは「見落としを減らす補助」です。隔離や外部への報告の判断は、人間が責任を持って行います。
• 侵害が疑われる端末やアカウントでAIを使わない。やり取りの内容が攻撃者に見られるおそれがあります。

平時にやっておく準備チェックリスト

兆候に「気づける」かどうかと、気づいたあとに「動ける」かどうかは、平時の準備で決まります。

区分	準備項目
体制	インシデント時の責任者と連絡網（社外の連絡手段を含む）を決め、紙でも保管している
体制	「おかしいと思ったら15分以内に報告」というルールを全社員に周知している
体制	警察、IPA、保守委託先、保険会社の連絡先を一覧にしている
侵入対策	VPN機器やリモートアクセス機器のファームウェアを最新にし、使っていない機器は停止している
侵入対策	VPN、メール、クラウドサービスのすべてに多要素認証を設定している
侵入対策	退職者や長期間使われていないアカウントを定期的に削除している
検知	ファイアウォール、VPN、サーバーのログを、少なくとも90日（できれば1年）保存している
検知	EDR（端末の振る舞い検知）、または監視サービス（お助け隊サービスなど）を導入している
検知	深夜や海外からのログイン、管理者権限の変更にアラートを設定している
復旧	ネットワークから切り離したバックアップ（オフライン、または変更できない設定のもの）がある
復旧	バックアップからの復元を、年に1回以上実際に試している
訓練	年に1回、本記事の初動手順を使った机上訓練を行っている

よくある質問（Q&A）

Q1. IT担当者がいない小さな会社ですが、まず何をすればいいですか？

まずは2つだけで構いません。①「おかしいと思ったらLANケーブルを抜いて、社長（または決めた担当者）に電話する」というルールを全員に伝えること。②警察の相談窓口と、パソコンを買った販売店や保守業者の連絡先を、紙に書いて貼っておくことです。そのうえで、VPNやメールの多要素認証、オフラインのバックアップへと進めてください。

Q2. ウイルス対策ソフトが何も検知していないなら安全ですか？

安全とは言い切れません。最近の侵入では、盗んだ正規のIDとパスワードや、Windowsの標準機能が使われることが多く、従来型のウイルス対策ソフトでは検知されにくいためです。本記事の兆候②（アカウント）と兆候③（通信）を、あわせて確認してください。

Q3. 電源を切らずにネットワークから切り離すのはなぜですか？

メモリ上には、攻撃者の通信先や実行中の不正プログラムなど、原因の究明に欠かせない情報が残っています。電源を切るとそれが消えます。ネットワークから切り離せば、外部との通信と社内への感染拡大は止められます。ただし、暗号化が目の前で進んでいて止める手段がない場合は、専門家の指示を受けたうえでシャットダウンを判断します。

Q4. 「サイバー攻撃を受けた」と公表すると信用を失いませんか？

公表の遅れや隠蔽が発覚したときのほうが、信用を大きく失います。取引先がなりすましメールなどの二次被害を受けるおそれもあります。分かっている事実と分かっていない事実を分けて、早めに誠実に説明することが、結果として信頼を守ります。文面は法務や専門家に確認してもらってください。

Q5. 兆候を見つけたものの、結果的に誤検知でした。報告した社員にどう接すればいいですか？

必ず感謝を伝えてください。誤検知を責めると、次に本物の兆候が出たときに報告が遅れます。「空振りでも報告してくれてありがとう」と言える組織であることが、どんなセキュリティ製品よりも確実な早期検知の仕組みになります。

まとめ——「気づく」と「止める」を、仕組みで速くする

1. 暗号化は最後の工程です。その前の侵入・権限奪取・持ち出しの段階で出る「小さな違和感」を拾えるかどうかが勝負になります。
2. 兆候は5つのカテゴリー（端末・アカウント・通信・サーバー・外部からの連絡）で捉え、赤・黄・緑の3段階で判定します。迷ったら1段階上で動きます。
3. 初動の原則は「電源は切らずにネットワークから切り離す」「記録する」「社外の連絡手段で報告する」です。法令にもとづく報告の期限も忘れないでください。

サイバー攻撃は、もはや「受けるかどうか」ではなく「受けたときにどれだけ早く気づき、止められるか」の問題です。本記事のチェック項目と初動手順を、自社の連絡先や構成に合わせて書き換え、1枚の手順書として社内に配布するところから始めてみてください。

参考リンク

• 警察庁｜サイバー空間をめぐる脅威の情勢等
• IPA｜情報セキュリティ10大脅威 2026
• IPA｜情報セキュリティ安心相談窓口
• JPCERT/CC｜インシデント対応依頼
• 個人情報保護委員会｜漏えい等の対応とお役立ち資料

免責事項：本記事は2026年10月時点の公開情報をもとに、一般的な情報提供を目的として作成したものです。個別のインシデントへの対応や、法令にもとづく報告義務の判断については、セキュリティの専門事業者、弁護士、所管官庁などに必ずご相談ください。本記事の内容を利用したことで生じたいかなる損害についても、当サイトは責任を負いかねます。