「添付ファイルを開いたら画面がおかしい」「PCに脅迫文が表示された」「取引先から『おたくから変なメールが来た』と連絡があった」――サイバー事故は、ある日突然、たいてい忙しい時間に起きます。結論から言うと、被害の大きさは最初の24時間の動き方でほぼ決まります。合言葉は「電源は切らない、線は抜く、一人で抱えない」。この記事では、中小企業の初動を時間軸で整理し、善意でやりがちな「やってはいけないこと」もまとめます。

まず最初の1時間――「止血」と「記録」だけでいい

結論から言うと、最初の1時間にやることは①感染が疑われるPCをネットワークから切り離す ②電源は切らない ③時刻と状況をメモする ④責任者に連絡するの4つだけです。原因究明も復旧も、この段階では一切しません。

いちばん大事なのは「線を抜くが、電源は切らない」という一見矛盾した動きです。ネットワークから切り離す（LANケーブルを抜く・Wi-Fiをオフにする）のは、被害が他のPCやサーバーへ広がるのを止めるため。一方で電源を切らないのは、メモリ上に残っている攻撃の痕跡が消えてしまい、後の調査ができなくなるからです。ランサムウェアの予兆段階で気づけていれば、この切り離しだけで被害を最小限にできることもあります（「ランサムウェアの予兆を見つける3つのサイン」）。

そして、記録。「何時何分に、誰が、何を見て、何をしたか」を、紙でもスマホのメモでも構わないので残します。後で警察や専門家に相談するとき、この記録があるかどうかで対応の質がまったく変わります。

1〜24時間――把握・相談・報告の3つを回す

結論として、止血が済んだら「どこまで影響したか」を把握し、外部に相談し、報告の要否を判断する――この3つを24時間以内に回します。技術的な復旧作業は、その後です。

1. 影響範囲を把握する（何台・どのデータ・いつから）
   切り離したPC以外に同じ症状がないか、共有フォルダやサーバーのファイルが暗号化・改ざんされていないか、そのPCで使っていたアカウントは何か。ここで「社内に何台あって、どこにつながっているか」が分かっていないと、把握は一気に難航します。侵入経路として多いメール添付（「メール添付ファイルが原因の事故、防ぐための3つの工夫」）は、誰が同じメールを受け取ったかの確認もセットで。
   あわせて、感染PCで使っていたアカウントのパスワードを、無事な別のPCやスマホから変更します。対象はPC本体のログインパスワードではなく、そのPCからログインしていたサービスのアカウントです。感染PCで新しいパスワードを打ち込むと、それごと盗まれる恐れがあるため、必ず別の端末から行ってください。順番は①メール（他サービスの再設定の起点）→②クラウドや業務システムの管理者アカウント→③VPN・リモート接続→④ネットバンキング・決済→⑤社内チャット。変更後は、サービス側に「他端末のログインをすべて無効化」する機能があれば実行しておきます。
2. 外部に相談する（一人で抱えない）
   保守契約のあるIT業者、IPAの「情報セキュリティ安心相談窓口」、都道府県警察のサイバー犯罪相談窓口。相談は無料で、相談したからといって公表されるわけではありません。中小企業の担当者が一人で判断して自己流の復旧に走るのが、いちばん危ない展開です。
3. 報告の要否を判断する（個人情報・取引先）
   個人情報が漏えいした可能性がある場合、個人情報保護委員会への報告義務があります（要配慮個人情報、財産的被害のおそれ、不正の目的による漏えい、1,000人超のいずれか）。速報は概ね3〜5日以内、確報は30日以内（不正の目的による場合は60日以内）で、本人への通知も必要です。取引先の情報が関わるなら、取引先への一報も24時間以内に。誤送信のような内部起因の事故（「中小企業の情報漏洩、原因の8割は内部から」）でも、この報告義務は同じです。

やってはいけない5つのこと――善意が被害を広げる

結論から言うと、事故の現場で被害を広げるのは悪意ではなく、「早く直そう」「迷惑をかけまい」という善意の行動です。次の5つは、良かれと思ってやりがちな禁止事項です。

• ①電源を切る・再起動する。調査に必要な痕跡が消え、ランサムウェアによっては再起動で暗号化が進むこともあります。切るのは「線」だけ。
• ②自分で初期化・復旧を始める。原因が分からないまま戻すと、同じ穴からもう一度入られます。バックアップからの復旧も、影響範囲の把握と相談の後に。
• ③身代金を払う。警察庁は支払いを推奨していません。払ってもデータが戻る保証はなく、「払う会社」として再び狙われます。ランサムウェア被害の6割超が中小企業という現実（「中小企業を狙うサイバー攻撃の最新動向（2026年版）」）は、払った会社が再攻撃される構造とも無関係ではありません。
• ④証拠になるメール・画面を消す。不審メール、脅迫画面、ログは、そのまま残す。恥ずかしくても消さない。スクリーンショットも有効です。
• ⑤報告を先延ばしにして隠す。遅れるほど法的にも取引上にも不利になります。「まだ全容が分からない」段階でも、速報は出せます（というより、そのための速報です）。

まとめ：最初の24時間チェックリスト

• 0〜1時間：疑わしいPCをネットワークから切り離す（電源は切らない）／時刻と状況を記録／責任者に連絡。原因究明も復旧もまだしない
• 1〜6時間：影響範囲（何台・どのデータ・どのアカウント）を把握／保守業者・IPA・警察に相談／感染PCで使っていたアカウントのパスワードを無事な端末から変更（メール→管理者→VPN→決済の順）／バックアップの無事を確認
• 6〜24時間：個人情報の漏えい報告の要否判断（速報は概ね3〜5日以内・確報30日以内、不正目的は60日以内）／取引先への一報／社員への周知／復旧の順番決め
• やってはいけない5つ＝電源を切る・自己流復旧・身代金・証拠削除・隠す
• 平時の準備は「連絡先と最初の4つの動きを1枚に」。ルールに「おかしいと思ったら線を抜いて報告」を1行追加

参考（公式情報）

※報告期限・制度は2026年9月時点の情報です。個別の事案では、公的窓口や専門家の判断を仰いでください。

この記事のFAQ

あわせて読みたい