社員のPCで、ファイルの拡張子が次々に変わり、身代金を要求する画面が表示された。この社員がまず行う対応として最も適切なものはどれか。

正解：A. LANケーブルを抜く、無線LANを切るなどしてPCをネットワークから切り離し、画面の状態などを記録したうえで、決められた窓口(CSIRTなど)にすぐに報告する

ランサムウェアの感染が疑われるときは、ほかのPCやファイルサーバに被害が広がらないよう、まずネットワークから切り離します。そのうえで、表示された画面、気づいた時刻、直前に開いたメールやファイルなどを記録し、組織で決められた窓口(CSIRTや情報システム部門)に速やかに報告します。電源を切るかどうかは、メモリ上の調査の手がかりが失われることもあるため、組織の手順や窓口の指示に従います。すぐに初期化すると、侵入の経路や、ほかに何が盗まれたかを調べる手がかり(ログやファイルの痕跡)が失われ、同じ入り口から再び侵入されるおそれが残ります。報告を遅らせると、その間に被害が広がります。調査では、各機器のログを突き合わせて何が起きたかを時系列で再構成するため、普段から各機器の時刻を合わせ(NTPなど)、ログを改ざんされにくい別の場所に一定期間保存しておくことが大切です。

• A. 正しい。被害の拡大を止め、状況を記録して、決められた窓口にすぐに報告します。
• B. すぐに初期化すると、侵入の経路などを調べる手がかりが失われ、原因が分からないまま再び侵入されるおそれがあります。
• C. 自分だけで対応しようとして報告が遅れると、その間に組織の中で被害が広がるおそれがあります。