フィッシング起点のランサムウェア被害における初動・法的報告・ログ設計

原則：被害拡大防止 → 証拠保全 → 根絶 → 復旧 の順。復旧を先に始めると証拠が失われ、再発時に原因特定ができなくなる。

1. 封じ込め（即時・最優先）
   • 該当VPNアカウントの停止、全VPNセッションの切断、VPNの全社パスワードリセットと多要素認証の暫定必須化。
   • 感染端末のEDR隔離、同一セグメントのネットワーク分離。横展開の有無を確認するため他サーバの不審プロセス・スケジュールタスクを点検。
2. 証拠保全（封じ込めと並行）
   • 操作ログが1週間で上書きされる設定のため、最優先でログを別媒体へ退避する。VPNログ、EDRアラート、認証ログ、プロキシログを対象とし、取得日時・ハッシュ値を記録。
   • 感染端末のメモリとディスクのイメージを取得（可能ならフォレンジック業者に依頼）。
   • 暗号化されたファイルは削除しない。復号の手掛かり（ランサムノート、通信先、実行ファイル）を保全する。
3. 根絶：侵害経路の特定、不審アカウント・永続化手法の除去、バックドアの確認。
4. 復旧：クリーンな状態を確認した上でバックアップからリストア。リストア前にバックアップ自体が汚染されていないか検査する。

経営層への対応 「復旧を優先したい」という意向自体は理解しつつ、①復旧作業と並行してログ退避が可能であること、②証拠を失うと再発防止も法的説明もできなくなることを、判断材料として提示する。復旧の着手可否は、攻撃者のアカウントが無効化されたことを確認した時点とする。3連休前にログ退避と全アカウント停止を完了させることが実務上のクリティカルポイントになる。

個人情報保護委員会への報告

• 氏名・住所・購入履歴を含む約12万件は個人データの漏えいに該当し、1,000人超のため速報対象。不正アクセスによる漏えい等も速報対象で、事態を知った日から3〜5日以内に報告する。
• 確報は30日以内（不正アクセス等の場合は60日以内）。
• 「漏えいしたと確定していない」段階でも、漏えい等のおそれがある時点で報告対象になる。因果関係の確定を待たない。

本人への通知

• 速やかな通知が求められる。件数が多いため、まず影響範囲の確定と通知文面の準備を並行させる。

警察・その他

• 不正アクセス禁止法上の被害として、所轄警察への相談・被害届の提出を検討。早期相談は攻撃者の特定に資する。
• 取引先・決済代行等への連絡は契約に従う。監督官庁への報告要否は業法を確認。

3連休の扱い

• 期限は休日でも動かない。休日中に対応できる当番体制、外部専門家（フォレンジック・法務）の手配、記者発表やFAQの準備を金曜のうちに段取りする。
• 「連休明けに業務再開」を優先するあまり報告が遅れると、法的不作為として評価が下がる。報告と復旧は並行して進められる。

問題の本質 1週間の保管では、侵入から検知までの時間（一般に数十日規模になり得る）をカバーできず、侵入経路の特定が不可能になる。本件でも「2日前のフィッシング→翌日VPNログイン→金曜に暗号化」という時系列を、VPNログ（3か月）だけで追うことになった。

設計の考え方

• 要求の三方向から決める：①法令・契約上の要求（業法、取引先契約、個人情報保護法対応での説明責任）、②インシデント対応に必要な期間（検知→封じ込め→原因特定→再発防止）、③容量・コスト。
• 目安：認証ログ・特権操作ログは6か月〜1年、重要システムは1年以上。ファイアウォール・プロキシ・WAFは1〜3か月をオンライン保持し、長期保存用にアーカイブする。
• 改ざん防止と完全性：運用担当者とログ管理者を分離し、別ホスト／WORMストレージへ転送、ハッシュ値の記録、時刻同期の徹底。
• クラウド分も対象：IaaS／SaaSの監査ログ（API操作履歴）を有効化し、同一の保管ポリシーに組み込む。
• 運用：保管期間・ローテーション設定を構成管理の対象とし、年1回の監査で実効性を確認する。設定値が「既定のまま」になっていないかを点検項目に入れる。