ランサムウェア復旧の費用と期間｜隔離・調査・業務再開までの判断

ランサムウェア被害の調査・復旧費用は、警察庁の2026年上半期の調査で、回答35件のうち21件が1,000万円以上だった。

調査は2026年1〜6月の被害組織が対象で、費用は100万円未満から1億円以上まで分かれた。復旧期間を答えた48件では、1週間未満が17件、1か月以上が12件、回答時点で「復旧中」が13件あった。日数と費用は、どの機器が暗号化されたか、使えるバックアップが残っているか、侵入経路をどこまで調べるかで変わる。

業者に頼む前に決めておくのは、初動・調査・復旧・再発防止のどこまでを頼むかと、どの業務から再開するかだ。決まれば、見積もりの範囲と作業の順番が決まる。

インシデント対応の基本と、初動から報告までの進め方は「インシデント対応のフロー｜不正アクセス・ランサムウェアの初動から復旧・報告までの手順」で説明している。

ランサムウェア復旧の費用・期間が変わる条件

ランサムウェア復旧の費用は調査・再構築・対外対応をどの範囲で行うかで、期間は業務に欠かせないシステムが止まったか、バックアップから戻せたかで変わる。

ランサムウェア復旧の対象範囲と作業費

日本ネットワークセキュリティ協会（JNSA）は講演資料で、事故対応の費用を費目に分け、外部の依頼先と費用の例を示す。

JNSAは別に、事業の中断による売上の減少と、その間の人件費などの固定費を「利益損害」とする。ランサムウェア被害を受けた8組織（2017年1月〜2022年6月の被害）の平均被害金額は2,386万円、社内の対応工数は平均27.7人月で、人件費と逸失利益を含まないため実際の損失はもっと大きいとJNSAは見ている。

個人データの漏えいのおそれがあれば、個人情報保護委員会へ報告する。委員会の漏えい等の案内は、ランサムウェアで個人データが暗号化され復元できなくなった場合を例に挙げ、発覚したらまず速やかに、不正な目的によるおそれがある場合は発覚日から60日以内の報告を求める。

我々の見方では、費用の幅を決めるのは暗号化された機器の台数と種類だ。端末数台なら再インストールで済むが、ファイルサーバーや業務システムでは再構築とデータの整合の確認が加わる。身代金を払っても調査と再構築は残る。JPCERT/CCもFAQで、ファイルが戻るとは限らず被害の原因も残るとして、支払うべきでないとする。

ランサムウェア復旧期間を左右する前提

警察庁の同じ資料では、バックアップの有無を答えた50件のうち44件が取得していた。だが、復元の結果を答えた40件のうち29件は戻せなかった。

警察庁は、業務に欠かせないシステムが無事だった組織で、通常業務を続けながら時間をかけて復旧し、期間は長いが費用は小さかった例も注記する。

バックアップは、攻撃で消されずに戻せるかを、保管先ごとに次の点で確かめる。

• 社内のファイルサーバー・NAS：バックアップを消せる権限を持つアカウントを洗い出し、最後に復元を試した日とかかった時間を記録する
• クラウドのサーバー・ストレージ：バックアップの削除保護と保持期間の設定、別のアカウントや別の場所の複製があるかを確かめる

攻撃の前にバックアップを通常のネットワークから分け、復旧用の権限を日常の管理アカウントから切り離す方法は、AIハッキング対策の記事で整理した。

ランサムウェア復旧の費用を左右する隔離・調査・復旧手順

ランサムウェアの復旧は、隔離、保全と調査、侵入経路の対処、復元、再開の判定の順に進める。調査の前に機器を初期化すると、侵入経路が分からないまま業務を再開することになる。JPCERT/CCは、侵入経路を塞がずに復旧すると、別の攻撃グループの被害を受けうるとする。

ランサムウェア被害の隔離と調査

JPCERT/CCは、暗号化や侵害が確認されたシステムを、切り離せるものからすぐ隔離するよう勧める。複数のシステムが同時に暗号化された場合は、管理サーバーの管理者アカウントの乗っ取りを疑い、侵害の有無の調査とパスワードの変更を挙げる。

米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）はランサムウェア対策ガイドで、電源を切るのはネットワークから切り離せない場合に限るとする。メモリ上の感染の痕跡や証拠が失われるためだ。影響を受けた機器の一部から、ディスクの複製とメモリの内容を取ることも勧める。

ログも攻撃者に消される。警察庁の資料では、ログの保全状況を答えた48件のうち全て残っていたのは10件で、使えなくなった原因（28件）は犯人による削除が15件、暗号化が4件、保存期間の経過が6件だった。

バックアップ復元と業務再開の判定

JPCERT/CCは、切り離したシステムを戻す前に、マルウェアやバックドア、不正な設定が取り除かれたことを確かめるとする。CISAは、安全な環境を整えた後に、影響したシステムのパスワードをリセットするよう勧める。

バックアップがなければ公開されている復号ツールを探すことになるが、警察庁は、対応する種類が限られ、バージョンの違いで使えないことや全てを戻せないことがあるとする。ツールで戻せても、侵入経路の対処と再開の判定は別に要る。

ファイルが開けても再開してよいとは限らない。我々は、再開前に次の4点を確かめることを勧める。

CISAは、事前に決めた基準に沿って、指名されたIT部門の責任者がインシデントの終了を宣言するとする。再開は、情シスと業務部門の責任者が4点の結果を見て承認する。

ランサムウェア復旧の費用見積もりと作業範囲

ランサムウェア復旧の見積もりは、各社がどの作業を含むかをそろえてから比べる。表のとおり、調査と復旧は依頼先が分かれやすく、境目に担当のない作業が残りうる。

ランサムウェア復旧見積もりの作業範囲

見積もりは、作業ごとに次の点を確かめる。

調査の見積もりは、答えを出す問いをそろえて比べる。侵入経路だけか、情報の持ち出しの有無まで調べるかで、保全する機器もログの期間も変わる。

復旧費用の追加条件と依頼者の準備

見積もりの後で費用が増えるのは、主に次の場合だ。

• 調査の途中で、暗号化された機器や侵害されたアカウントが増えた
• ログがなく、端末の痕跡を広く調べることになった
• 情報の持ち出しの疑いが出て、調査を追加した
• 再開前の確認で問題が見つかり、再構築をやり直した

それぞれ台数と日数のどちらで計算するかを契約前に確かめる。機器の一覧とネットワーク構成図を渡せれば、業者は調査の対象を早く絞れる。

ランサムウェア復旧の相談前に必要な証拠保全と準備

ランサムウェア復旧の相談の前には、消えやすい情報から順に次の5点を記録し、専門家へ渡す。

1. 被害に気づいた時刻と、きっかけ（脅迫文の画面、開けなくなったファイル）
2. 隔離した機器の一覧と、隔離した時刻・担当者・電源の状態
3. 機器ごとのログの保存日数と、すでに消えた期間
4. バックアップの最終取得日時と保管場所
5. ネットワーク構成図、機器の一覧、VPN装置など外部から接続できる機器

警察庁は警察署かサイバー犯罪相談窓口への通報・相談を求め、提供する情報の例に脅迫文、通信ログ、ディスクイメージ、メモリダンプ、システム構成図を挙げる。

4と5は被害の前に用意できる。警察庁が2025年の被害組織に行ったアンケートでは、回答111件のうち、サイバー攻撃を想定した業務継続計画（BCP）を策定済みは20件だった。

依頼先と警察の連絡先、再開を優先する業務、費用を決裁する人を決めておく。サイバー保険に入っていれば、補償の範囲と事故の連絡先も同じ一覧に入れる。

まず、自社のバックアップを本番と同じ管理者アカウントで消せないか、最後に戻せたのはいつで何時間かかったかを確かめ、調査と復旧の依頼先を決めておく。