中小企業がサイバー被害を確認した際に警察・IPAへ報告するまでの初動手順と経営者の判断軸

「サイバー攻撃を受けたかもしれない」と気づいた瞬間、経営者はどう動けばよいのか。誤った初動が被害を拡大させ、後の調査を困難にするケースは少なくありません。

この記事では、中小企業がサイバー被害を確認してから警察・IPAへ報告するまでの具体的な手順と、経営者が直面する判断軸を解説します。証拠保全の方法、警察通報とIPA届出の使い分け、身代金要求への対応方針まで、情シス専任がいない企業でも実行できる水準で整理します。

サイバー被害が起きたら何から始めるか

サイバー攻撃を受けた際に多くの中小企業が最初に誤るのは、「被害を確認しよう」として無意識のうちに証拠を消してしまうことです。不審なファイルを削除したり、システムを再起動したりする行動が、後から専門家が調査するために必要な痕跡を失わせます。また、被害を受けたシステムをインターネットに繋いだままにしておくと、攻撃者が引き続きアクセスし続ける可能性があります。

初動対応の目的は大きく3つです。第一に被害の拡大を止めること。第二に証拠を保全して後の調査と法的手続きに備えること。第三に関係機関に報告して支援を受けることです。この3つを正しい順序で実行することが、被害を最小化するための基本です。

サイバー被害の種類は多岐にわたります。ランサムウェア（ファイルを暗号化して身代金を要求するマルウェア）、不正アクセスによる情報窃取、フィッシングメールを起点としたアカウント乗っ取り、ビジネスメール詐欺（BEC）による不正送金など、手口はさまざまです。いずれの場合も初動の大きな方向性は同じです。まず感染・侵害の拡大を防ぎ、証拠を保全し、適切な機関に報告することです。

中小企業では情シス専任担当者が不在のケースが多く、「誰が何をすべきか」が不明確なまま時間が経過することが一般的です。平時から初動対応の手順書を備え、緊急時に迷わず動ける体制を整えておくことが重要です。本記事で解説する手順は、情シス兼任または情シス不在の企業でも経営者自身が実行できる水準を意識しています。

また、サイバー被害発生時は心理的に慌てやすく、「早く直したい」「取引先に知られたくない」という焦りが判断を誤らせます。まず状況を冷静に整理することが、適切な初動につながります。

【想定例】経理担当者が受信したメールの添付ファイルを開いたところ、翌朝出社したらファイルサーバーの多くのファイルが見知らぬ拡張子に変わっており開けない状態になっていた——。こうした状況でも慌てて再起動や削除を行わず、まずネットワークから切り離し、画面をスマートフォンで撮影することが最初の一手です。

被害確認から警察・IPA報告までの4ステップ

ステップ1：被害範囲の把握とネットワーク切り離し

被害を疑ったら、まずどの端末・システムが影響を受けているかを把握します。ただし、この確認作業でシステムを大きく操作しないことが原則です。

確認すべき主なポイントは以下の通りです。

・不審なファイル・メッセージが表示されているか: デスクトップに身代金要求のメモファイルが出現している、見覚えのないプログラムが動いているなど
・特定の端末のファイルが開けなくなっているか: ランサムウェア感染の典型症状。ファイルの拡張子が見慣れないものに変わっていないか確認する
・外部への大量通信が発生していないか: ネットワーク機器のログや通信量のグラフを確認する
・どの業務が影響を受けているか: 基幹システム、メール、顧客データベースなど被害の範囲を大まかに特定する
・被害の発覚時刻と発見者: いつ・誰が・何をしていたときに気づいたかを紙にメモする

被害を受けた端末・サーバーは直ちにネットワークから切り離します。LANケーブルを抜く、Wi-Fiをオフにする、スイッチングハブの該当ポートを無効化するなど、物理的な切り離しが最も確実です。クラウドサービス上の被害の場合は、そのサービスへのアクセス権を一時的に停止します。

ここで重要な経営判断が発生します。被害端末をネットワークから切り離すと業務が一時停止しますが、繋いだままにすると被害が拡大します。被害が局所的（1台の端末だけ）であれば、その端末のみを隔離して他の業務は継続できます。被害が広範囲であれば、全システムの停止を検討します。この判断は素早く行う必要があります。

ステップ2：証拠保全

証拠保全は初動対応の中で最も見落とされがちな作業です。後に警察が捜査する際、専門家が原因を調査する際、保険会社に被害を証明する際に、証拠が残っているかどうかが大きく影響します。

やるべきことは以下の通りです。

・画面のスクリーンショットを撮る: 異常が表示されている画面、エラーメッセージ、身代金要求のメッセージ、不審なファイルの一覧などをスマートフォンで撮影しておく
・ログファイルをコピーする: システムログ、アクセスログ、セキュリティログをUSBメモリや別のストレージにコピーする。コピー元のファイルは変更しない
・被害の経緯を文書化する: 気づいた時刻、最後に正常だった時刻、直前の操作内容（どのメールを開いたか、どのWebサイトを見たかなど）を詳細に記録する
・感染端末はできる限り電源を切らずに状態を保全する: 電源を切ると揮発性メモリ（RAM）のデータが消え、攻撃者が使ったツールや通信の痕跡が失われる場合がある

やってはいけないことも明確です。

・不審なファイル・プロセスを削除しない: 証拠が消える
・システムを再起動しない: 揮発性メモリのデータが失われ、ランサムウェアの場合は再起動後に暗号化が進行することもある
・独自にウイルス除去ツールを動かさない: 証拠を消す可能性がある
・バックアップデータを感染環境から操作しない: バックアップ自体も感染している可能性があり、上書きすると後から比較できなくなる

よくあるつまずきとして、「パソコンがおかしいからとりあえず再起動した」という対応があります。再起動により揮発性メモリのデータが消え、攻撃者のツールの痕跡が失われた状態で調査を依頼するケースが多く報告されています。「電源を切れば直る」という一般的なPC操作の感覚が、セキュリティインシデント対応では逆効果になる点を覚えておいてください。

ステップ3：警察への通報

被害が把握できたら、都道府県警察のサイバー犯罪相談窓口へ相談・通報します。不正アクセス禁止法違反、コンピュータ不正指令電磁的記録罪（ウイルス罪）などに該当する犯罪行為が行われた可能性があるためです。

警察への通報は犯人の特定・逮捕につながる捜査の起点です。また被害届を提出することで、保険申請の証拠書類として活用できる場合もあります。

通報の際に準備するものは次の通りです。

・被害の概要（いつ・何が・どのような被害が発生したか）: 具体的に説明できるよう整理しておく
・スクリーンショット・ログファイル: 証拠として提出できる資料を持参または送付する
・被害額の概算（分かる場合）: ランサムウェアの場合は要求金額、不正送金の場合は送金額
・被害端末・システムの構成概要: 使用しているOS、ネットワーク構成の大まかな情報

都道府県警察によって対応窓口の名称が異なりますが、「サイバー犯罪相談窓口」「ハイテク犯罪対策センター」などの名称で設置されています。警察庁のWebサイトで各都道府県の相談窓口一覧が確認できます。

ステップ4：IPAへの届出

IPA（情報処理推進機構）は経産省所管の独立行政法人で、セキュリティ分野の支援組織です。「情報セキュリティ安心相談窓口」として、電話またはウェブフォームでの届出・相談を受け付けています。

IPAへの届出は警察への通報とは目的が異なります。IPAは受け付けた情報を分析し、同様の手口が他社へ広がらないよう注意喚起情報を発信します。技術的なアドバイスを受けられることもあります。

IPAへの届出で期待できることは以下の通りです。

・攻撃手口の技術的な情報提供: 使われたマルウェアや攻撃手法について情報を受け取れる場合がある
・他社への被害拡大防止への貢献: 届出情報が注意喚起情報として公開され、社会全体のセキュリティ向上に役立つ
・統計データへの反映: 届出情報がIPAの年次報告書などに集計され、政策立案に活用される

なお、IPAへの届出は任意です。ただし、個人情報の漏洩が発生または強く疑われる場合は、個人情報保護委員会への報告（速報：3日以内、確報：30日以内）が法令上の義務です。この手続きはIPAへの届出とは別ものですので、混同しないようにしてください。

警察通報とIPA届出の比較

警察への通報とIPAへの届出は目的・期待できる支援・対象事案が異なります。どちらか一方ではなく、両方を並行して行うことが推奨されます。

比較項目	警察（サイバー犯罪相談窓口）	IPA（情報セキュリティ安心相談窓口）
主な目的	犯人の特定・逮捕・捜査	技術的支援・情報収集・注意喚起
対応機関	都道府県警察	独立行政法人IPA（経産省所管）
義務か任意か	任意（被害届は任意）	任意
期待できる支援	捜査・被害回復の可能性	技術アドバイス・対応情報の提供
技術的な復旧支援	基本的になし	情報提供のみ・直接作業はなし
向いている事案	不正アクセス・ランサムウェア・BEC詐欺	マルウェア感染・フィッシング・脆弱性被害
費用	無料	無料
対応の迅速さ	即日相談可（捜査開始まで日数がかかる場合あり）	即日届出可（電話・ウェブフォーム）

個人情報の漏洩が発生または疑われる場合は、上記2機関への報告に加えて、個人情報保護委員会への報告も必要です（個人情報保護法第26条）。速報は3日以内、確報は30日以内に提出が求められます。この手続きを怠ると法的リスクが生じます。

また特定の業種（金融機関、医療機関など）では業法上の報告義務が別途設けられている場合があります。自社が対象となるかどうかは、顧問弁護士または監督官庁に確認することを推奨します。

経営者が直面する3つの判断軸

サイバー被害発生時、経営者は技術的な対応を担当者に委ねながら、同時に経営判断を下す必要があります。以下に、経営者が特に悩む3つの判断軸を整理します。

判断軸1：業務継続か完全停止か

被害を受けたシステムを動かし続けるか、全面的に停止するかは最初の重要な判断です。ランサムウェアの場合、感染拡大を防ぐために原則として被害端末の隔離・停止が推奨されます。一方で、製造業であれば生産ラインを止めることで大きな損失が生じます。

判断の目安として確認すべき事項は以下の通りです。

・被害がどの範囲に広がっているか（局所か全体か）: 1台の端末だけであれば、その端末を隔離して他の業務は継続できる
・被害を受けたシステムが基幹業務に直結しているか: 直結している場合は停止の損失が大きい
・攻撃が今も継続中か、それとも終了しているか: 継続中であれば停止・隔離が優先

【想定例】1台の事務用PCのみランサムウェアに感染し、他の端末やサーバーには被害が及んでいない場合。この場合は感染PCのみをネットワークから切り離し、他の業務は継続しながら対応にあたることが選択肢の一つです。一方、ファイルサーバー全体が暗号化されている場合は、社内のほぼ全業務が停止する覚悟で全ネットワークを切り離す判断が必要です。

判断軸2：社外への公表のタイミング

取引先、顧客、株主、報道機関への公表は、早すぎても遅すぎても問題があります。事実確認が不十分な段階で公表すると誤情報が広がり、遅すぎると信頼を損ないます。

公表タイミングの目安は2つあります。「被害内容が一定程度把握できた段階での自主的な公表」と「法的義務が発生した段階（個人情報漏洩の確定など）」です。前者は任意ですが、取引先への影響がある場合は早めの連絡が信頼維持につながります。後者は法令上の義務であり、遅延すると法的リスクが生じます。

公表の内容・タイミングについては、顧問弁護士や危機管理専門家に相談しながら決定することを推奨します。

判断軸3：身代金要求への対応

ランサムウェア被害では、攻撃者から暗号化解除のための身代金要求が届くことがあります。この判断は経営者にとって難しい局面です。警察機関・セキュリティ専門家の一般的な見解は、支払いを推奨しないというものです。その主な理由は以下の通りです。

・支払いが次の攻撃の資金になる: 犯罪組織に利益を与えることになる
・支払っても復号できる保証がない: 鍵を受け取れなかった事例も報告されている
・再攻撃の標的になりやすくなる: 支払いをした組織は「要求に応じる組織」として認識される
・身代金の支払いが制裁法令に抵触する場合がある: 支払い先が制裁対象の犯罪組織の場合、日本法や米国法上問題になる可能性がある

支払いを検討する前に、必ず警察・IPAへ相談することを推奨します。また顧問弁護士に法的リスクを確認することも重要です。バックアップが無事であれば、身代金を支払わなくても復旧できる場合があります。

よくある質問

Q1. 警察に相談しても犯人が捕まらないケースが多いのでは？

捜査の結果が必ずしも逮捕につながるとは限りませんが、届出すること自体に複数の意義があります。被害データが捜査情報として蓄積され、将来の犯罪抑止や同様の手口への対処に活かされます。また被害届を提出しておくことで、保険申請や取引先への説明の際に証拠書類として活用できます。「捕まらないかもしれないから報告しない」という判断は、中長期的に見ると機会損失につながります。

Q2. IPAへの届出は法律上の義務ですか？

IPAへの届出は任意です。ただし、個人情報が含まれるデータの漏洩が発生または強く疑われる場合は、個人情報保護委員会への報告（速報：3日以内・確報：30日以内）が個人情報保護法上の義務です。IPAへの届出とは別の手続きですので、混同しないようにしてください。業種によっては業法上の報告義務が重複して発生する場合もあります。

Q3. 情シスがいない中小企業はまずどこに相談すればよいですか？

まずIPAの情報セキュリティ安心相談窓口（電話・ウェブフォーム）に問い合わせることを推奨します。初期対応の方向性についてアドバイスを受けられます。都道府県のよろず支援拠点やIT系公的支援機関でも相談を受け付けているケースがあります。被害が大きい場合は、民間のセキュリティインシデント対応業者（CSIRT対応サービス）への依頼も選択肢ですが、費用が発生します。

Q4. 被害を社外に知られたくない。隠すことはできますか？

個人情報漏洩が発生していない場合、公表義務は原則ありません（一部業種・法令では別途義務が発生します）。ただし、意図的に証拠を隠滅したり虚偽報告をしたりすることは違法になる場合があります。また、取引先への影響が出る状況でありながら連絡を怠ると、後から信頼関係に深刻なダメージを与えます。情報開示の範囲と方法については顧問弁護士に相談することを強く推奨します。

Q5. 小規模な被害でも報告が必要ですか？

被害規模が軽微であっても、警察やIPAへの相談は無料で受け付けています。同様の手口が他社にも広がっている状況であれば、早期の情報共有が被害拡大の防止につながります。また、軽微に見えた被害が後から大きな情報漏洩につながっていたと判明するケースもあります。「うちは小さいから対象外」と判断せず、まず相談することを推奨します。

初動対応チェックリスト

サイバー被害を発見してから警察・IPA報告を終えるまでの対応チェックリストです。平時から印刷して手元に置き、緊急時に迷わず使えるよう備えておくことを推奨します。

・【即座】被害の発覚時刻・状況・発見者をメモする: スクリーンショットも撮影する
・【即座】被害を受けた端末・サーバーをネットワークから物理的に切り離す: LANケーブルを抜く・Wi-Fiをオフにする
・【即座】不審なファイルを削除しない・システムを再起動しない: 証拠保全を最優先にする
・【30分以内】経営者（または緊急連絡先担当者）に状況を報告する: 被害の範囲と緊急度を口頭または電話で伝える
・【1時間以内】ログファイルをUSBや別のストレージにコピーする: システムログ・アクセスログ・セキュリティログを保存する
・【当日中】バックアップの最終取得日と感染有無を確認する: 清潔なバックアップが残っているか把握する
・【当日中】都道府県警察のサイバー犯罪相談窓口に相談・通報する: 窓口に電話または来庁する
・【当日中】IPAの情報セキュリティ安心相談窓口に届出する: 電話またはウェブフォームで届出する
・【当日～3日以内】個人情報漏洩の可能性があれば個人情報保護委員会への速報提出を確認する: 法令上の義務（3日以内速報）を確認する
・【当日～翌日】顧問弁護士に連絡し法的対応・社外公表の判断を相談する: 取引先への連絡タイミングも含めて確認する
・【状況に応じて】サイバー保険に加入している場合は保険会社に連絡する: 保険適用の確認と対応支援を依頼する
・【状況に応じて】身代金要求があれば支払い前に必ず警察・IPAへ相談する: 独断で支払いを決定しない

まとめ

中小企業がサイバー被害を確認した際の初動対応は、「止める→保全する→報告する」の3フェーズが基本です。特に証拠保全は後の調査と法的手続きの生命線であり、善意から行った「早く直したい」という行動が証拠を消してしまうリスクがあります。

警察への通報とIPAへの届出は目的が異なります。警察は捜査・逮捕を目的とし、IPAは技術支援・情報共有を目的としています。どちらか一方ではなく、両方への報告を並行して行うことが推奨されます。個人情報の漏洩が疑われる場合は、個人情報保護委員会への報告義務（速報3日以内）が別途発生します。

経営者として最も重要な判断軸は3つです。業務継続か停止かの判断、社外公表のタイミング、そして身代金要求への対応です。これらは技術的な正解がなく、経営判断として迅速に下す必要があります。平時から顧問弁護士・IT顧問と緊急連絡先を確認し合い、初動対応手順書を整備しておくことが、有事の際の対応速度を大きく左右します。

本記事で解説した初動対応チェックリストを印刷し、緊急時にすぐ使えるよう備えておくことを推奨します。