CLEAN RESTORE PATH
ランサムウェア後にバックアップから戻す手順
復元できるコピーが見つかっても、攻撃後の最新世代を元NASへ直接戻すのは危険です。正常な復元点を保護し、別場所で内容と安全性を確認してから本番へ切り替えます。
表示と状態を分けて考える
攻撃前の復元点が確認できる
日時と内容をログに照合し、削除やローテーションから保護します。まず少量を別場所へ復元します。
いつから被害が始まったか不明
身代金メモ、暗号化ファイル、ログイン通知、更新時刻から安全側の古い候補を選びます。
スナップショットだけが残っている
現在状態を置換するRevertより、別名・別共有・別ボリュームへの復元可否を先に確認します。
バックアップも開けない・不完全
修復や再作成を重ねず、原本と保存先の双方を保護してメーカー・専門家へ相談します。
状態を変えにくい確認順序
- 攻撃を封じ込めるNAS、接続端末、外部公開を隔離し、侵入経路と影響範囲の確認が終わるまで同期を再開しません。
- 復元点候補を保護する攻撃前と思われるスナップショット・バックアップの日時、保存先、世代、整合性を一覧にします。
- 別場所へテスト復元する少量の代表ファイルを隔離した別共有・別媒体へコピー復元し、原本や唯一の世代へ書き込みません。
- 内容と端末を検査するファイルが開くか、暗号化拡張子や不審ファイルがないか、信頼できる環境で確認します。
- クリーンな本番へ段階移行するNAS更新、認証情報変更、二要素認証、不要な外部公開停止を終え、優先データから戻して監視します。
状態別の次の行動
確認できた状態次の行動
攻撃前の正常世代を確認保護した複製から別場所へテスト復元し、内容を検証
復元点が複数・開始時刻不明ログより古い候補を優先し、代表ファイルで比較
同一NASのスナップショットのみ上書きRevertを避け、別名・別場所復元の可否を公式手順で確認
正常世代なし／重要原本のみ追加修復を止め、構成と記録を保って専門家へ相談
やってはいけない操作
- 攻撃後の最新バックアップを正常と決めつける
- 唯一のスナップショットへ変更・削除・統合を行う
- 確認前に元共有へRevert・上書き復元する
- 侵害が疑われるPCで復元データを開く
- 認証情報と公開設定を直さずNASを再公開する
- 復元成功だけで漏えい・不正アクセス調査を終了する
公式情報で確認する
- Synology：3-2-1バックアップと復元演習スナップショット、別世代、テスト復元の公式例
- Synology：ランサムウェアからの復旧脅威の隔離後、事故前の世代へ戻す考え方
- QNAP：暗号化とREADMEを見つけた時スナップショットまたは以前のバックアップからの復旧案内
- IPA：証拠保全後に復旧する基本手順時系列整理、証拠保全、修復、再発防止の順序
製品名が同じでも、型番・OS・ファームウェア・RAID方式で操作は異なります。画面上の警告全文と対象版を照合し、公式指示を優先してください。
よくある質問
一番新しいバックアップを戻せばよいですか？
最新世代が攻撃後に作成されていると、暗号化済みファイルや不審な設定を含む可能性があります。侵入・暗号化が始まる前の時点を、ログ、ファイル更新時刻、通知と照合して選びます。
スナップショットをそのままRevertしてよいですか？
Revertは現在の状態を置き換えるため、未暗号化ファイルや調査材料を失う可能性があります。可能なら別名・別共有・隔離した別機器へ復元し、内容を確認してから本番切替を判断します。
復元できたらすぐ外部公開を戻してよいですか？
侵入経路、漏えいした認証情報、接続端末、ルーター設定を直さなければ再侵入のおそれがあります。更新、認証情報変更、二要素認証、不要な公開停止、端末検査を終えてから段階的に戻します。
約1分・登録不要
復元前に原本と障害状態を確認
物理障害や複数ディスク障害も重なっていないかを確認し、バックアップ復元とデータ復旧の優先順位を分けます。
無料で緊急度を判定する →対象：NASスナップショット／USB・別NAS・クラウド等の世代管理バックアップ／最終確認日：2026年8月31日