サイバー事故の対応、最初の1時間でやること（症状別）

サイバー事故は、HPの改ざん、メールやSNSの乗っ取り、ランサムウェア、偽のウイルス警告による詐欺、不正送金、情報漏えいなど、中小企業でも身近な形で起きています。気づいた直後の1時間に何をするかで、被害の広がりと、そのあとの調査や復旧の手間が変わります。

最初の1時間でやることを先に知っておくと、慌てて電源を切ったり、証拠を消したりせずに済みます。症状ごとの連絡先も分かるため、銀行やカード会社への連絡が遅れることも防げます。

本記事では、サイバー事故の対応で最初にやること3つ、最初の1時間の流れ、症状別の初動、相談先と報告の判断をまとめています。さらに、1時間後から復旧までの流れと、平時にやっておく備えも紹介します。

サイバー事故の対応で、最初の1時間にやること3つ【早見表】

サイバー事故の対応で最初にやることは、どの症状でも「つながりを切る」「記録を残す」「責任者と相談先に連絡する」の3つです。症状によって細かい手順は変わりますが、3つの順番と考え方は共通しています。

ここでは、3つの中身を早見表にまとめ、初動でやってはいけないことを紹介します。いままさに困っている方は、まず下の表の3つを実行してください。

やること	具体的に	理由
1. つながりを切る（電源は切らない）	LANケーブルを抜く・Wi-Fiをオフにする。乗っ取られたアカウントは、別の安全な端末からパスワードを変える	被害の広がりと、外への情報の持ち出しを止めるため
2. 記録を残す（消さない・直さない）	画面をスマホで撮る。気づいた時刻、届いたメール、相手の電話番号、自分がした操作をメモする	原因を調べ、相談先に説明する材料になるため
3. 責任者と相談先に連絡する	社内の責任者に第一報。お金が動いたら銀行・カード会社、HPならサーバー会社、犯罪の被害は警察	業務を止めるかの判断と、外部の窓口の手続きは早いほど打てる手が多いため

※2026年10月時点・警察庁・IPAの案内をもとに作成

警察庁は、ランサムウェアの被害について「感染原因等の調査に必要なログ等が消失する場合もある」ため、パソコンやネットワーク機器の電源を落とさないよう案内しています。電源は入れたまま、ネットワークだけを切るのが初動の基本です。

サイバー事故の初動でやってはいけないこと

サイバー事故の初動で避けたいのは、原因を調べる手がかりを自分で消してしまう行動です。調べる材料がなくなると、どこから入られ、何が盗まれたかが分からないまま復旧することになるからです。たとえば、不具合だと思って初期化したパソコンからは、侵入の経路をたどれなくなります。

初動でやってはいけないことは、以下のとおりです。

ついやってしまうこと	止める理由
パソコンの電源を切る・再起動する	調査に必要なログ等が消えることがある（警察庁）
初期化・再インストールを急ぐ	何が盗まれたか、どこから入られたかが分からなくなる
サーバーのログや改ざんされたファイルを消す	原因が分からず、同じ入口からまた入られる
犯人とやり取りする・お金を払う	被害が広がる。払っても元に戻る保証はない
乗っ取られた端末でパスワードを変える	新しいパスワードも盗み見られるおそれがある

ただし、HPを閲覧した人にウイルスが配られているなど、被害が外に広がっている場合は、公開を止める判断が先になります。迷ったときは、止めるかどうかをサーバー会社や相談先と話して決めましょう。

サイバー事故の最初の1時間の流れ【4STEP】

サイバー事故の最初の1時間は、気づいてから10分・20分・40分・60分を区切りにすると、やることの抜けを防げます。慌てているときほど、順番を決めておくことが大切です。

ここでは、気づいた瞬間から1時間までの流れを4つのSTEPで解説します。時間はあくまで目安で、お金が動いた場合は銀行への連絡をどの段階よりも先にしてください。

STEP	目安の時間	やること
1	0〜10分	事実を確かめ、おかしい端末をネットワークから切り離す
2	〜20分	社内の責任者に第一報を入れる
3	〜40分	銀行・カード会社・サーバー会社など外部の窓口に連絡する
4	〜60分	時系列のメモをまとめ、影響の範囲を書き出す

【STEP1】0〜10分：事実を確かめ、端末を切り離す

最初の10分でやるのは、何が起きているかを確かめ、おかしい端末をネットワークから切り離すことです。原因を探すより先に、被害が広がる道をふさぐほうが重要だからです。

ただし、ブラウザに出た「ウイルスに感染しました」という表示は、偽の警告であることも多くあります。表示された電話番号には電話せず、画面を写真に撮ってから切り離しましょう。

【STEP2】〜20分：責任者に第一報を入れる

切り離したら、社内の責任者（社長や担当役員）に第一報を入れます。業務を止めるか、取引先に知らせるかなど、担当者ひとりでは決められない判断が続くからです。たとえば、「10時15分、経理のパソコンで請求書のファイルが開けなくなった。LANケーブルは抜いた」と、時刻と事実だけを短く伝えます。

【STEP3】〜40分：お金と外部への連絡を先に済ませる

外部への連絡は、お金に関わる窓口を最優先にします。銀行やカード会社は、連絡が早いほど送金の停止やカードの利用停止など、打てる手が多いからです。たとえば、ネットバンキングに身に覚えのない振込があれば、取引銀行と振込先の銀行の両方にすぐ連絡します。

お金が動いていなければ、HPはサーバー会社、アカウントはサービスの公式の復元手続き、犯罪の被害は警察の順に連絡します。症状ごとの連絡先は、下の「サイバー事故の相談先と連絡の順番」の表で確かめてください。

【STEP4】〜60分：記録をまとめ、影響の範囲を書き出す

1時間の区切りでは、時系列のメモを1枚にまとめ、影響の範囲を書き出します。相談先や専門家に同じ説明を何度もせずに済み、調査の土台にもなるからです。たとえば、「何時に・だれが・何を見て・何をしたか」を表にし、分からないところは「未確認」と書いておきます。おかしい端末をあちこち触って調べるのは避け、専門家の調査に任せましょう。

自社のトラブルがサイバー事故か確かめる方法

サイバー事故かどうかは、いま起きている症状と、被害の深刻さの2つで判断します。ただの不具合に見えても、裏で不正アクセスが起きていることがあるためです。

ここでは、症状から事故の種類を見分ける表と、深刻さを判断する5つの質問を紹介します。1つでも当てはまれば、事故として扱って「最初の1時間にやること3つ」から始めるのが安全です。

症状からサイバー事故の種類を見分ける

サイバー事故とは、不正アクセスやウイルス、詐欺などによって、会社の情報・お金・システムが被害を受ける出来事です。セキュリティの分野では「インシデント」とも呼ばれ、情報の紛失やメールの誤送信を含めることもあります。たとえば、HPに見覚えのない広告が出るのは、HPの改ざんを疑う症状の1つです。

いま起きていることと、疑われる事故の対応は、以下のとおりです。

いま起きていること	疑われる事故
HPに見覚えのない文章・広告が出る、別のサイトに飛ばされる、サーバー会社から「改ざんの疑い」と連絡が来た	HPの改ざん
会社のメール・SNS・Googleビジネスプロフィールに入れない、知らない投稿や送信がある	アカウントの乗っ取り
ファイルが開けない、拡張子が変わった、身代金を求める文書がある	ランサムウェア
「ウイルスに感染しました」の画面に従って電話し、ソフトを入れた	サポート詐欺
ネットバンキングに身に覚えのない振込がある、メールの指示で振り込んだ	不正送金・ビジネスメール詐欺
偽のメールのリンクを開き、IDやパスワードを入れた	フィッシング
顧客の個人情報やカード情報が漏れたかもしれない	情報漏えい

HPの症状を細かく見分けたい場合は、HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表で確かめられます。

サイバー事故の深刻さを5つの質問で判断する

サイバー事故の深刻さは、お金・個人情報・取引先・業務への影響があるかで判断します。影響がある項目が多いほど、外部への連絡と専門家の調査が急ぎになるからです。

深刻さを判断する質問は、以下のとおりです。

• お金が動いた、または動きそうか
• 顧客や従業員の個人情報・カード情報が含まれるか
• 取引先やお客さまに、不審なメールや連絡が届いていないか
• 業務が止まっている、または止める必要があるか
• 犯人から脅迫や金銭の要求が来ているか

1つでも「はい」なら、ひとりで抱え込まずに、その日のうちに外部の相談先へ連絡しましょう。

サイバー事故の最初の手順を症状別に【7パターン】

サイバー事故の初動は「つながりを切る・記録を残す・連絡する」が共通ですが、具体的な手順と連絡先は症状によって変わります。症状に合わない手順を進めると、大事な連絡が遅れることがあるためです。

ここでは、中小企業で起きやすい7つの症状ごとに、最初の手順を紹介します。くわしい手順は、各症状の記事にまとめています。

HPが改ざんされた

HPの改ざんでは、記録を残したうえで、サーバー会社に公開を止めるかを相談します。改ざんされたHPを開いた人が、詐欺サイトに飛ばされたり、ウイルスを配られたりするおそれがあるからです。

最初の手順は、以下のとおりです。

1. 改ざんされた画面を、URLが分かる形で撮る
2. サーバー会社（または保守を頼んでいる制作会社）に連絡し、公開を止めるか相談する
3. サーバー・管理画面・FTP（ファイルをサーバーに送る仕組み）のパスワードを、安全な端末から変える
4. サーバーのログや改ざんされたファイルは消さずに残す

ただし、見た目を元に戻すだけでは、入られた原因が残ります。くわしくはHPが改ざんされたときに最初にやること、WordPress の場合はWordPress が乗っ取られたときの復旧の流れで確かめてください。

あわせて読みたい
サーバー会社から「改ざんの疑い」と連絡が来たときにやること

アカウントが乗っ取られた

アカウントの乗っ取りでは、安全な別の端末からパスワードを変え、ログインできなければ公式の復元手続きを始めます。乗っ取られた端末でパスワードを変えると、新しいパスワードも盗み見られるおそれがあるからです。

最初の手順は、以下のとおりです。

1. ログインできるなら、別の端末からパスワードを変え、二段階認証を設定する
2. ログインできないなら、サービスの公式ヘルプから復元手続きを始める（検索広告やメールのリンクは使わない）
3. 取引先・お客さまに、別の手段で「不審な連絡は開かないで」と知らせる

なお、手順はサービスごとに違います。会社・店舗の Instagram が乗っ取られたら、LINE公式アカウントが乗っ取られたら、Googleビジネスプロフィールが乗っ取られたら、会社の Microsoft 365 のアカウントが乗っ取られたら、会社の Gmail・Google Workspace が乗っ取られたら、Facebook・Meta広告のアカウントが乗っ取られたら、会社の X（旧Twitter）アカウントが乗っ取られたらにまとめています。

ランサムウェアに感染した

ランサムウェアとは、ファイルを勝手に暗号化して開けなくし、元に戻すことと引き換えにお金を求める不正なプログラムです。感染したら、電源を入れたまま端末をネットワークから切り離し、警察に通報・相談します。社内のネットワークを通じて、ほかのパソコンやファイルサーバー、バックアップにまで広がるからです。

最初の手順は、以下のとおりです。

1. 感染したパソコンのLANケーブルを抜き、無線をオフにする（電源は切らない）
2. ファイルサーバーやバックアップの装置がつながっていれば、同じように切り離す
3. 脅迫文の画面を撮り、気づいた時刻と状況をメモする
4. 最寄りの警察署またはサイバー犯罪相談窓口に通報・相談する

警察庁は、通報・相談すると、被害の拡大を防ぐための助言や、暗号化を元に戻す道具（復号ツール）の案内ができる場合があるとしています。身代金は払わず、ランサムウェアに感染したら、最初の1時間でやることに進んでください。メールの添付ファイルから広がる Emotet が疑われる場合は、Emotet に感染したかもしれないときの確認と対処も確かめましょう。

偽のウイルス警告で遠隔操作ソフトを入れた

偽のウイルス警告にだまされて遠隔操作ソフトを入れた場合は、まずネットワークを切り、相手の電話には出ないことが大切です。ネットワークを切れば、相手がパソコンを操作し続ける道をふさげるからです。

最初の手順は、以下のとおりです。

1. Wi-Fiをオフにし、LANケーブルを抜く
2. 相手からの電話に出ない・お金を払わない
3. カードや電子マネーで払ったなら、カード会社・発行会社に連絡する
4. 会社のパソコンは、初期化する前に責任者や専門家に相談する

ただし、遠隔操作ソフトを消しても、操作されていた間に何をされたかは分かりません。くわしくは偽のウイルス警告で遠隔操作ソフトを入れてしまったらで確かめてください。

不正送金された・だまされて振り込んだ

不正送金やだまされた振込では、取引銀行と振込先の銀行に、気づいた時点ですぐ連絡します。送金の組み戻しや口座の凍結は、時間がたつほど難しくなるためです。

最初の手順は、以下のとおりです。

1. 取引銀行に連絡し、ネットバンキングの停止など、いまできることを相談する
2. 振込先の銀行にも連絡する（全国銀行協会のWebサイトに、各銀行の連絡先の一覧がある）
3. 警察に相談する
4. ネットバンキングに使ったパソコンは、ネットワークから切り離して残す

くわしくは会社のネットバンキングで不正送金されたらと、取引先を名乗る「振込先が変わりました」メール（ビジネスメール詐欺）で確かめてください。

フィッシングメールでパスワードを入れた

フィッシングメールでIDやパスワードを入れた場合は、入力したサービスの公式サイトから、すぐにパスワードを変えます。盗まれたパスワードは、短い時間のうちに不正なログインに使われることがあるからです。

最初の手順は、以下のとおりです。

1. 入力したサービスの公式サイトやアプリから、パスワードを変える
2. 同じパスワードを使っているほかのサービスも変える
3. カード番号を入れたなら、カード会社に連絡する

くわしくはフィッシングメールを開いてしまった・入力してしまったらで確かめてください。

個人情報・カード情報が漏れたかもしれない

個人情報やカード情報の漏えいが疑われるときは、漏れた疑いのあるシステムを切り離し、報告が必要かを早めに確かめます。個人情報保護委員会への報告には期限があり、速報は発覚から概ね3〜5日以内とされているためです。たとえば、ネットショップでカード情報が漏れた疑いがあれば、契約しているカード会社・決済代行会社への連絡が最初になります。

最初の手順は、以下のとおりです。

1. 漏れた疑いのあるシステム（データベースやパソコン）をネットワークから切り離す
2. ネットショップなら、カード会社・決済代行会社に連絡し、指示に従う
3. いつ・何が・何件くらい漏れたかもしれないかを、分かる範囲でメモする
4. 個人情報保護委員会への報告が必要かを確かめる

くわしくは個人情報が漏れたときの報告義務（個人情報保護委員会）とネットショップでカード情報が漏れたかもしれないときで確かめてください。メールの誤送信ならメールを誤送信したときの対処とお詫び、退職者による持ち出しなら退職者に会社のデータを持ち出されたらが参考になります。

サイバー事故の相談先と連絡の順番

サイバー事故の相談先は、何が起きたかによって変わります。窓口ごとに受け付ける内容が違うため、症状に合った相談先を選ぶことが早い解決につながります。

ここでは、症状ごとの相談先の一覧と、IPA・JPCERT/CC・警察の役割の違いを紹介します。お金が動いたときは、どの窓口よりも先に銀行・カード会社に連絡してください。

症状ごとの相談先の一覧

相談先は、お金・HP・犯罪・技術・個人情報の5つの軸で選びます。1つの事故で複数の窓口に連絡することも珍しくないため、表で整理しておくと迷いません。たとえば、HPの改ざんでカード情報が漏れた疑いがあれば、サーバー会社・カード会社・警察・個人情報保護委員会のすべてが関わります。

相談先を、相談する内容と受付方法で比較します。

相談先	相談する内容	受付方法
取引銀行・振込先の銀行	不正送金、だまされた振込	銀行の窓口・緊急連絡先
カード会社・決済代行会社	カードの不正利用、ネットショップのカード情報の漏えい	各社の窓口
サーバー会社・制作会社	HPの改ざん、サーバーの不正利用	各社のサポート窓口
都道府県警察のサイバー犯罪相談窓口・最寄りの警察署	犯罪の被害の通報・相談	電話・来署。全国統一のオンライン受付（e-Gov電子申請）もある
IPA 企業/組織向けサイバーセキュリティ相談窓口	被害の見立て、応急処置の助言、対応できる専門事業者の案内	メール（cs-support@ipa.go.jp）
JPCERT/CC	インシデントの初動対応の支援、改ざんされたサイトへの対応依頼	Webフォーム・メール（電話は原則受け付けていない）
個人情報保護委員会	個人データの漏えい等の報告	Webの報告フォーム

※2026年10月時点・各窓口の公式サイトより。受付方法は変わることがあるため、連絡の前に公式サイトで確かめてください

IPA・JPCERT/CC・警察の役割の違い

IPA・JPCERT/CC・警察は、どれも公的な窓口ですが、引き受ける役割が違います。役割を知らずに連絡すると、「ここでは受け付けていない」と別の窓口を案内され、時間がかかるからです。たとえば、犯人を突き止めてほしい場合は、IPA や JPCERT/CC ではなく警察が相談先になります。

3つの窓口の違いは、以下のとおりです。

• IPA：技術的な相談に助言する。事故の調査や分析そのものはしない。電話の「情報セキュリティ安心相談窓口」（03-5978-7509）は個人向けで、企業・組織は企業/組織向けの窓口を使う
• JPCERT/CC：インシデントの初動対応を支援する。犯人の特定や捜査の依頼は受け付けていない
• 警察：犯罪の被害の通報・相談を受け、捜査する。人の命に関わる緊急のときは110番

サイバー事故で外部への報告が必要か判断する

サイバー事故では、法律で報告が決まっている場合と、契約や信頼のために連絡したほうがよい場合があります。報告が遅れると、期限を過ぎたり、取引先が別の経路で事故を知って信頼を失ったりするおそれがあるためです。

ここでは、個人情報保護委員会への報告が必要な場合と、取引先・お客さま・保険会社への連絡を紹介します。法的な当てはめは状況によって変わるため、最終的な判断は弁護士などの専門家に確かめてください。

個人情報保護委員会への報告が必要な4つの場合

個人情報保護委員会への報告は、漏えい（おそれを含む）が4つの場合のどれかに当たるときに必要です。対象になると、委員会への報告とあわせて、本人への通知も必要になります。たとえば、サイバー攻撃で顧客の名簿が盗まれたおそれがあれば、「不正な目的によるもの」に当たります。

報告が必要な4つの場合と期限を、表にまとめます。

報告が必要な場合	例
要配慮個人情報が含まれる	病歴・健康診断の結果など
財産的被害が生じるおそれがある	クレジットカード番号、ネットバンキングのログイン情報
不正な目的によるもの	サイバー攻撃による漏えい
1,000人を超える	件数が1,000人分を超える

※2026年10月時点・個人情報保護委員会の資料より。速報は発覚から概ね3〜5日以内、確報は30日以内（不正な目的によるものは60日以内）

ただし、「漏れたかどうか分からない」段階でも、おそれがあれば対象になります。分かっている範囲で速報を出し、調査の結果を確報で補う流れが一般的です。

取引先・お客さま・保険会社への連絡

取引先やお客さまへの連絡は、被害が相手に広がるおそれがあるときに急ぎます。乗っ取られたメールアドレスから、取引先に偽の請求書が送られることがあるからです。たとえば、メールの乗っ取りなら、「当社を名乗る不審なメールは開かないでください」と、電話や別のアドレスで知らせます。

連絡を考える相手は、以下のとおりです。

• 取引先：自社のアドレスから不審なメールが送られた、取引先の情報が含まれる
• お客さま：個人情報が漏れたおそれがある、HPやSNSで不審な案内が出た
• 保険会社：サイバー保険に入っている（事故の連絡の期限を確かめる）
• 業務を委託している会社：サーバー会社・制作会社・システム会社

なお、事実を確かめないうちに「被害はありません」と言い切らないようにします。保険の考え方はサイバー保険は中小企業に必要かで確かめてください。

サイバー事故の1時間後から復旧までの流れ

サイバー事故の復旧は、原因が分かってから進めるのが基本です。入られた原因をふさがないまま元に戻すと、同じ入口からまた被害を受けるためです。

ここでは、復旧から再発防止までの進め方を紹介します。専門家の作業になることが多い部分なので、全体の流れをつかむことを目的に読んでください。

サイバー事故の復旧は4つの段階で進める

サイバー事故の復旧と再発防止は、どこから入られたかが分かってから進めます。パスワードを変えても、古いソフトの脆弱性などの入口が残っていれば、また入られるからです。たとえば、HPの改ざんなら、古い WordPress や PHP（HPを動かすプログラムの言語）を更新してから公開を戻します。

復旧から再発防止までの流れは、以下のとおりです。

1. 原因の調査（ログやファイルを調べ、入口と被害の範囲を特定する）
2. 入口をふさぐ（更新・不要なアカウントの削除・パスワードの変更）
3. 段階的に再開する（重要な業務から順に戻し、異常がないかを見る）
4. 再発防止策を決める（更新の担当・バックアップ・社内のルール）

ただし、原因の調査は専門的な道具と経験が要るため、自社だけで進めるのは難しい場合が多くあります。調査が要る場合は、IPA の企業/組織向け相談窓口で対応できる専門事業者を案内してもらう方法もあります。

サイバー事故に備えて平時にやっておくこと

サイバー事故への備えで効果が大きいのは、連絡先と役割を1枚にまとめておくことです。事故が起きてから連絡先を探すと、最初の1時間の多くが連絡先探しで終わってしまうからです。

ここでは、中小企業が平時にやっておきたい備えを5つ紹介します。分厚い規程を作る必要はなく、1枚の紙から始められます。

平時にやっておく備えは、以下のとおりです。

備え	中身
連絡先の一覧	責任者・銀行・カード会社・サーバー会社・制作会社・保険会社・警察の連絡先
役割の分担	指揮する人・端末を切り離す人・記録する人・外部に連絡する人
初動の手順書	「つながりを切る・記録を残す・連絡する」の3つを1枚に
バックアップ	社内のネットワークから切り離した場所に、定期的に取る
机上の訓練	年に1回、「HPが改ざんされたら」などを想定して手順を読み合わせる

IPA の「中小企業の情報セキュリティ対策ガイドライン」第4.0版には、付録として「中小企業のためのセキュリティインシデント対応の手引き」が用意されています（※2026年10月時点・IPA公式サイトより）。手引きを下敷きに、自社の連絡先を書き込んだ1枚を作っておくと、いざというときに慌てずに済みます。セキュリティ対策を何から始めるか迷う方は、中小企業のセキュリティ対策、まず何から？も参考にしてください。

サイバー事故で専門家に相談すべきとき

サイバー事故で専門家に相談すべきなのは、自力では原因が分からないときと、お金・個人情報・取引先に影響が出ているときです。自力で直そうとして手がかりを消すと、あとから専門家が調べても原因が分からなくなるためです。

ここでは、専門家に相談すべき条件と、自分でできることの境目を紹介します。いま被害が出ているなら、ひとりで抱え込まずに相談してください。

専門家に相談すべき条件は、以下のとおりです。

• データが暗号化された、または身代金を求められた
• お金が動いた、またはカード情報が漏れたおそれがある
• 顧客や取引先の個人情報が含まれる
• どこから入られたか分からない、または同じ被害が繰り返している
• 社内に作業できる人がいない

自分でできることと専門家に頼むことを、表で比較します。

自分でできること	専門家に頼むこと
ネットワークから切り離す、画面を撮る、時系列のメモを作る	侵入された経路やログの調査
安全な端末からのパスワード変更、二段階認証の設定	改ざんされたファイルの特定と除去、システムの作り直し
銀行・カード会社・サーバー会社・警察への連絡	漏えいの範囲の見きわめ、報告書づくりの支援

HPが入口になった事故で、「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

まとめ

• サイバー事故の対応で最初にやるのは、つながりを切る・記録を残す・責任者と相談先に連絡する、の3つ
• 電源を切る・初期化する・ログを消すのは、相談先と話してから
• お金が動いたら銀行・カード会社が最優先。HPはサーバー会社、犯罪の被害は警察、技術の相談はIPA
• 個人情報が漏れたおそれがあれば、個人情報保護委員会への報告が必要か早めに確かめる
• 平時に、連絡先と役割を1枚にまとめておく

落ち着いたら、当てはまる症状の記事で次の手順を確かめてください。