「PCがウイルスに感染したかもしれません」
社員からそう相談されたとき、原因を突き止めようとして、焦ってPCを操作し続けるのは避けたいところです。
感染しているかどうかを、その場で判断できなくても構いません。
まず重要なのは、被害を広げないことと、あとから調査できる状態を残すことです。
この記事では、専門のセキュリティ担当者がいない会社でも対応できるように、初心者IT担当が最初に何をすればよいのかを順番に説明します。
なお、厳密には「ウイルス」はマルウェアの一種ですが、この記事では分かりやすさを優先し、感染する悪意のあるプログラム全般を含めて「ウイルス」と表現します。
ウイルス感染が疑われたら最初にやること
感染が疑われるPCに対して、まず行うのは次の5つです。
- PCをネットワークから切り離す
- PCの使用を止める
- 気づいた状況を記録する
- 社内の責任者・管理者へ報告する
- 決められた手順に沿って調査・復旧へ進む
最初からウイルスを探したり、怪しいファイルを削除したりする必要はありません。
特に覚えておきたいのが、「ネットワークから切り離す」と「PCの電源を切る」は別の対応だということです。
LANケーブルを抜く、Wi-Fiを切断するといった対応なら、PCの状態を大きく変えずに外部との通信を止められます。
一方、PCをシャットダウンしたり再起動したりすると、調査に必要な情報が失われることがあります。
そのため一般的な初動では、まずネットワークから隔離し、電源はそのままにして管理者や責任者へ連絡するのが基本です。
会社で別の対応手順が決められている場合は、そちらを優先してください。
離れた場所にいる社員から連絡を受けたら
IT担当がすぐにそのPCのところへ行けない場合は、社員に難しい操作をさせる必要はありません。
まずは、
「作業を止めて、LANケーブルを抜くかWi-Fiを切ってください。画面は閉じず、電源もそのままで連絡を待ってください」
と伝えれば、初動として十分です。
原因調査は、そのあとに行います。
ウイルス感染を疑う主なサイン
次のような症状があれば、ウイルス感染を疑うきっかけになります。
- セキュリティソフトから検知・警告が表示された
- 身に覚えのないソフトや画面が表示される
- PCが急に重くなったり、不自然な通信が増えたりした
- ファイルが勝手に暗号化・変更されている
- 不審なメールの添付ファイルを開いたあとに異常が起きた
- 身に覚えのない処理や操作が勝手に行われている
ただし、こうした症状だけで「ウイルス感染」と断定する必要はありません。
PCが重いだけなら、Windows Updateやアプリケーションの不具合など別の原因も考えられます。
特に注意したいのが、Webサイトを見ている途中に突然表示される、
「ウイルスに感染しました」
「今すぐサポートへ電話してください」
といった警告画面です。
これは実際の感染ではなく、不安をあおって電話をかけさせたり、遠隔操作ソフトをインストールさせたりする「サポート詐欺」の可能性があります。
警告が表示されたこと自体は、ウイルス感染の証拠ではありません。
画面に表示された電話番号へ連絡したり、指示されたソフトをインストールしたりしないようにしましょう。
なぜ最初にネットワークから切り離すのか
ネットワークから切り離す主な目的は、被害がさらに広がるのを抑えることです。
感染したPCがネットワークにつながったままだと、マルウェアの種類によっては、
- 他のPCやサーバーへ影響が広がる
- 外部との不正な通信が続く
- 情報の送信が続く
といった可能性があります。
そのため、原因を調べるより先に、まず通信経路を切ります。
有線LANなら、PCにつながっているLANケーブルを抜きます。
Wi-Fiの場合は、そのPCのWi-Fiをオフにします。
ここで注意したいのは、会社全体で使っているルーターや無線LAN機器まで自己判断で停止しないことです。
1台のPCを隔離するために社内ネットワーク全体を止めると、ほかの業務まで影響を受けてしまいます。
基本は、感染が疑われる端末だけをネットワークから切り離します。
また、EDRなどの端末管理・セキュリティ製品を使っており、遠隔から端末を隔離する手順が決められている会社もあります。
その場合は、社内で決められた方法を優先してください。
感染が疑われるPCでやってはいけないこと
感染が疑われたときは、「何かしなければ」と思って操作を増やしてしまいがちです。
しかし、初動ではむしろ余計な操作をしないことが重要です。
特に避けたいのは次のような行動です。
- そのまま仕事を続ける
- 自己判断で怪しいファイルを次々に削除する
- 安易にPCを初期化する
- 証拠になりそうなメールや警告画面を消す
- 表示された電話番号へ電話する
- 不審な相手の指示で遠隔操作ソフトを入れる
- とりあえず再起動して様子を見る
ファイルを削除したりPCを初期化したりすると、原因を調べるための情報まで消えてしまう可能性があります。
再起動や電源OFFについても、初心者IT担当がその場で判断する必要はありません。
まずネットワークから隔離して操作を止め、社内の管理者や責任者へ報告します。
会社でインシデント対応手順が決められている場合は、その手順に従ってください。
IT担当が確認・記録しておきたい情報
PCを隔離したら、その時点で分かる情報を記録しておきます。
高度な調査をする必要はありません。
最低限、次の内容が分かれば十分です。
- 誰が使っていたPCか
- いつ異常に気づいたか
- 異常が起きる直前に何をしていたか
- 開いたメールや添付ファイル
- アクセスしたURL
- 表示された警告やエラーメッセージ
- セキュリティソフトが検知した内容
- ネットワークを切断した時刻
- 他のPCでも同じ症状が起きていないか
「14時ごろ、○○さんのPCで警告が表示された。直前にメールの添付ファイルを開いた。14時10分にLANケーブルを抜いた」
という程度でも、その後の調査に役立ちます。
覚えている範囲で時系列に残しておくと、管理者や外部ベンダーへ状況を説明しやすくなります。
反対に、初心者IT担当が自分で行う必要がないのが、
- レジストリの変更
- 不審なプロセスの強制終了
- システムファイルの削除
- 手動でのマルウェア駆除
といった操作です。
分からない状態で操作を増やすよりも、隔離して状況を残すことを優先しましょう。
その後の調査と復旧はどう進める？
初動が終わったら、管理者やセキュリティ担当者、必要に応じて外部ベンダーと調査を進めます。
一般的には、
- セキュリティソフトやEDRの検知内容を確認する
- ログや不審な通信を確認する
- ウイルススキャンを実施する
- 他の端末にも影響がないか確認する
- 必要に応じてマルウェアを駆除する
- 安全性を確認できない場合はPCを初期化する
- 必要に応じてバックアップからデータを復元する
といった対応を行います。
ただし、ここから先は環境によって対応方法が大きく変わります。
初心者IT担当が一人ですべて解決しようとする必要はありません。
また、
「ウイルススキャンで何も見つからなかった＝安全」
とは限りません。
検知されにくいマルウェアや、すでに別の場所へ影響が広がっているケースもあります。
不審な挙動が続いている場合や、情報漏えいの可能性がある場合は、検知結果だけで判断せず、管理者や専門業者へ確認を依頼します。
隔離したPCを社内ネットワークへ戻すのも、安全性を確認してからです。
「スキャンしたから大丈夫だろう」と自己判断で再接続しないようにしましょう。
不審メールがきっかけなら、何をしたかで対応が変わる
感染が疑われるきっかけとして多いのが、不審メールです。
ただし、
- メールを開いただけ
- URLをクリックした
- IDやパスワードを入力した
- 添付ファイルを開いた・実行した
では、必要な対応が変わります。
たとえば、パスワードを入力してしまった場合は、PCのウイルス感染だけでなくアカウントの不正利用にも対応しなければなりません。
不審メールをきっかけにした場合の詳しい初動は、不審メールを開いてしまったときの対処法｜リンク・添付・情報入力別の初動対応で解説しています。
「何をしたところまで対応すればいいのか分からない」という場合は、こちらも確認してください。
感染が起きる前に決めておきたい5つのこと
実際に問題が起きてから、
「誰に連絡する？」
「LANケーブルを抜いていい？」
「このPCは誰が調べる？」
と確認していると、初動が遅れてしまいます。
少なくとも次の5つは、平常時に決めておくと安心です。
- 異常が起きたときの社内報告先
- 感染が疑われるPCの隔離方法
- セキュリティソフト・EDRの管理担当者
- バックアップの取得方法と復元手順
- 外部ベンダー・専門業者の連絡先
難しいインシデント対応マニュアルを最初から作る必要はありません。
まずは、
「異常があったら誰に連絡し、PCをどう隔離するか」
だけでも決めておくと、実際の対応はかなり変わります。
まとめ
PCがウイルスに感染したかもしれないとき、初心者IT担当が最初にするべきことは、感染しているかどうかをその場で断定することではありません。
まず、
ネットワークから隔離する → 操作を止める → 状況を記録する → 報告する
という順番で対応します。
原因調査やウイルス駆除は、そのあとです。
焦ってファイルを削除したり初期化したりするよりも、被害を広げず、あとから調査できる状態を残すことが初動では重要です。
「感染しているか分からないから何もしない」のではなく、「分からない段階だからこそ隔離して報告する」。
これが、初心者IT担当が覚えておきたい基本の考え方です。