不正アクセスの疑いがあるときの初動と保全｜まず止める順番
「ログにおかしなアクセスがある」 「身に覚えのないファイルが置かれている」 「管理画面に、自分がした記憶のないログイン履歴がある」
そんなものを見つけた瞬間、心臓がドクンとして、頭が真っ白になりますよね。しかも、こういうときに限って相談できる人がそばにいなくて、判断も対応も全部ひとりで背負うことになりがちです。
まず、深呼吸しましょう。今この瞬間にいちばんやってはいけないのは、慌てて動くことです。焦って不審なファイルを消したり、サーバーを再構築したりすると、「本当に何が起きたのか」を確かめるための証拠まで消えてしまいます。ここでは、疑いに気づいたときに何を・どの順でやるかだけ、落ち着いて一緒に確認していきましょう。
結論：不正アクセスの疑いに気づいたら、順番はこうです。①落ち着いて事実を確認（本当に不正か）→ ②証拠を保全（消す前に残す）→ ③被害の拡大を止める（封じ込め）→ ④関係者へ連絡 → ⑤復旧と再発防止。いちばん大事なのは、「消す・作り直す」の前に「残す・記録する」を先に置くこと。この順番さえ守れば、後悔の残る初動を避けられます。
環境や契約（自社管理かレンタルサーバーか、クラウドか、保守委託の範囲）によって、できることと連絡先は変わります。本文は一般的な進め方の一例です。自社の体制・契約・社内規程に読み替え、判断に迷う場面は上長やベンダー、公的窓口に相談しながら進めてください。
何が起きているか：慌てて動くと「証拠」が消える
不正アクセスの疑いに気づいたとき、多くの人がやってしまいがちなのが、次のような「良かれと思った初動」です。
- 不審なファイルを見つけて、その場で削除する
- とりあえずサーバーを再起動する／初期化して作り直す
- 焦って設定をあれこれ変えて、状況が余計に分からなくなる
- 一人で抱え込み、誰にも言わずに対処しようとする
気持ちはとても分かります。「早く元通りにしたい」「大ごとにしたくない」——そう思うのが自然です。でも、これらの初動には共通の落とし穴があります。それは、「何が起きたか」を後から追えなくなることです。
不正アクセスの対応では、後で必ず「どこから入られたか」「どこまで見られたか・持ち出されたか」を確認する場面が来ます。個人情報が関わる場合は、報告や通知のために被害範囲の把握がほぼ必須になります。削除・再構築・再起動は、そのための手がかり（ログ・ファイルの痕跡・メモリ上の情報）を消してしまうのです。
つまり、初動でいちばん守るべきなのは「見た目の復旧」ではなく、「事実を確かめられる状態」です。これは知識や経験の差ではなく、順番を知っているかどうかの差です。
具体例：同じ「改ざんに気づいた夜」でも
たとえば、深夜にサイトのトップページが見慣れない表示に書き換えられていた、としましょう。
慌てて動いた場合：とっさに改ざんされたファイルを上書きで戻し、不審なファイルを削除し、サーバーを再起動して「ひとまず復旧」。ところが翌朝、上長から「どこから入られたの？他に見られたものは？」と聞かれても、痕跡を消してしまったので答えられない。個人情報を扱うシステムだったため、被害範囲が分からず、報告も本人通知も判断できずに動けなくなる。しかも入口をふさげていないので、また同じ手口で入られる。
順番を守った場合：まず落ち着いてスクリーンショットを撮り、時刻をメモ。サーバーのスナップショット（あるいはディスクイメージ）を取得し、関連ログを別の場所へ退避。そのうえで公開を止め（メンテナンス画面に切り替え）、認証情報を変更して入口を遮断。上長とホスティング先に連絡。翌朝には「いつ・どこから・どのファイルが」の当たりがつき、報告も再発防止も進められる。
差を生んだのは、技術力ではありません。「消す前に残した」かどうか、ただそれだけです。
初動の5ステップ（消す前に、残す）
慌てないための順番です。上から順に、できるところから進めてください。
① 落ち着いて事実を確認する
まず「本当に不正アクセスか」を、決めつけずに確認します。設定ミスや正規のバッチ、自分や同僚の作業だった、ということも実際にあります。
- 何を見て「おかしい」と思ったのか（ログ・ファイル・表示・通知）を具体的にメモする
- 気づいた日時と、見えている事実（推測と分けて）を記録する
- この時点で、後述の記録用メモ（時系列）を開いておく
判断がつかなくても大丈夫です。「疑いがある」段階で、次の保全に進んで問題ありません。
② 証拠を保全する（最優先・消す前に）
ここが今日いちばん大事なところです。復旧より先に、状態を保存します。
- 画面の異常はまずスクリーンショットを撮る（撮影時刻も残す）
- サーバーのスナップショット／ディスクイメージを取得する（クラウドやレンタルサーバーならスナップショット機能が使えることが多い）
- 関連するログを別の安全な場所へコピーして退避する（Webサーバーのアクセスログ・エラーログ、認証・SSHログ、アプリやDBのログ、OSのシステムログ など）
- 不審なファイルは削除せず、そのままにする（消さず、コピーを保全）
- 可能なら、この段階では再起動しない（メモリ上の情報や一時ファイルが消えるため）
「調べるのは後でいい。まず、今の状態をまるごと残す」——この一手が、後のすべてを助けます。
③ 被害の拡大を止める（封じ込め）
保全と並行して、これ以上広がらないように入口と経路をふさぎます。保全が難しい状況で「今すぐ止めないと被害が広がる」ときは、被害拡大の防止を優先してかまいません（その場合も、止める前にスクリーンショットや簡単な記録だけは残す）。
- 影響が疑われるサーバーをネットワークから隔離する、または公開を止めてメンテナンス画面に切り替える
- 侵入に使われた可能性のあるアカウントのパスワードを変更し、共有・使い回しがあれば併せて変更する
- 管理画面・SSH・APIキーなどの認証情報をローテーションする
- 不審なIPや経路が特定できていれば遮断する
- 決済や外部連携がある場合は、二次被害（不正利用）の観点で該当機能の一時停止も検討する
④ 関係者へ連絡・相談する（ひとりで抱えない）
これは、あなたが判断を独りで背負う場面ではありません。
- 上長・責任者に一次連絡（事実と、今とっている対応を簡潔に）
- ホスティング／保守委託先／ベンダーへ連絡（契約範囲での対応や、サーバー側の状況確認を依頼）
- 個人情報が漏えいした・そのおそれがある場合は、対応を早めに検討する。日本では、個人データの漏えい等で個人の権利利益を害するおそれが大きい場合、個人情報保護委員会への報告と本人への通知が法律で求められます（速報は速やかに、確報は原則30日以内。不正アクセス等の場合は60日以内が目安）。判断に迷ったら早めに社内の窓口や専門家へ
- 相談先として、JPCERT/CC（インシデントの届出・調整）やIPA 情報セキュリティ安心相談窓口が使えます。被害の内容によっては警察（サイバー犯罪相談窓口）への相談も検討します
「大ごとにしたくない」で連絡を遅らせると、かえって被害も責任も大きくなりがちです。早めの共有が、あなた自身を守ります。
⑤ 復旧と再発防止
保全と封じ込めが済んで、被害範囲の見立てがついてから、復旧に入ります。
- クリーンな状態から復旧する（改ざん前の正常なバックアップから戻す、または安全を確認した環境へ）。汚染された状態を上書きで“戻したつもり”にしない
- 侵入の入口（脆弱性・弱いパスワード・古いプラグイン等）をふさいでから公開を再開する。入口が空いたまま戻すと再侵入されます
- パッチ適用・認証情報の刷新・不要な公開ポートの閉鎖など、再発防止を実施する
- 一連の対応を時系列で記録し、落ち着いてから振り返り（ポストモーテム）に残す
やってはいけない初動（落ち着くための確認）
焦っているときほど、次はぐっとこらえてください。
- 不審なファイルをいきなり削除する（証拠が消える。消さずにコピーで保全）
- すぐ再起動・初期化する（メモリや一時的な痕跡、入口の手がかりが消える。保全が先）
- 改ざんを上書きで戻して「復旧完了」にする（入口が空いたまま。再侵入される）
- 一人で黙って対処する（報告義務の判断が遅れる。相談先を早めに使う）
- 攻撃元を自力で追跡・反撃する（新たなトラブルの元。相手を刺激せず、記録と正規の相談窓口へ）
影響：初動の順番が、後のすべてを左右する
初動で「残す」を先に置けたかどうかで、その後がまるで変わります。
- 被害範囲を把握できる：どこから・どこまで、が追える。報告や本人通知の判断ができる。
- 再発を防げる：入口が分かるから、同じ手口で二度目を防げる。
- 説明できる：上長やお客さまに、事実に基づいて経緯を説明できる。
- 自分を守れる：法令に沿った対応（報告・通知）の判断が遅れず、後の責任問題を小さくできる。
逆に、証拠を消してしまうと、これらすべてが「分かりません」になってしまいます。だからこそ、初動は速さより順番です。
明日やること（平時のうちに）
不正アクセスは、起きてから調べていては間に合いません。落ち着いている今のうちに、この4つだけ用意しておきましょう。
- 緊急連絡先を1枚にまとめる：上長・ホスティング/ベンダーの緊急窓口・JPCERT/CC・IPA・（必要なら）社内の個人情報保護の窓口。運用ドキュメントに入れておく。
- ログの保存場所と保存期間を確認する：いざというとき追える状態か。消えるのが早すぎないか。
- バックアップから戻せるか確認する：改ざん前に戻せる、クリーンなバックアップがあるか。
- 保全の手順をメモしておく：「スナップショットの取り方」「ログの退避先」を1行ずつでいい。
今日のチェックリスト
- 疑いに気づいたら、まず落ち着いて「日時・事実」をメモできる（記録用の置き場がある）
- 消す・再起動する前に「保全（スクショ・スナップショット・ログ退避）」を先にやる、と決めている
- 不審なファイルは削除せず残す、を徹底できる
- 封じ込め（隔離・公開停止・パスワード/認証情報の変更）の手順が分かる
- 緊急連絡先（上長・ホスティング・JPCERT/CC・IPA）が1枚にまとまっている
- 個人情報の漏えい時に「報告・本人通知」の検討が必要、と知っている
- 改ザン前のクリーンなバックアップから戻せる状態になっている
- 入口をふさいでから公開再開する、を復旧の前提にしている
不正アクセスの疑いに気づく夜は、誰だって怖いし、心細いものです。でも、あなたが「消す前に残す」を思い出して、順番どおりに一歩ずつ進められたなら、それはもう立派な初動対応です。全部を完璧にやろうとしなくて大丈夫。落ち着いて、残して、止めて、相談する。それだけで、被害も、あなたの負担も、ちゃんと小さくできます。
よければ、こちらも
保守運用の実務ヒントを、メールでお届けしています。よかったら受け取ってください。