法律事務所のサイバー事故初動チェックリスト―発覚後10分・当日中・後日に行うこと（AI作成）

第１　結論

法律事務所のサイバー事故では，最初に「誰が悪かったか」を調べるのではなく，①被害拡大の防止，②時刻入り記録と証拠保全，③情報・対象者・期間・業務期限の影響範囲の把握，④法令・会規・契約・保険による報告及び通知の判断，⑤復旧と再発防止の順で進める。
漏えいの有無だけでなく，事件記録の滅失・毀損，業務の停止，メールの未受信及び裁判上の期限への影響を同時に確認する必要がある。システムが動くようになったことと，事故対応が終わったことは同じではない。

本記事は，令和８年１０月８日時点の法令，会規，裁判例及び公表資料に基づく一般的な確認手順である。個別事故の報告義務，通知先及び期限は，情報の種類，漏えい等の態様，対象者数，委託関係及び契約条件によって変わる。

第２　発覚後10分に行うこと

１　連絡経路と責任者を決める

事務所内の責任者に連絡し，事故対応の記録を一つに集約する。感染した可能性のあるメールやチャットを連絡経路として使わず，安全な電話，別端末又はあらかじめ定めた連絡網を用いる。
記録には，発見日時，発見者，最初に確認した画面・端末・アカウント，実施した操作，判断者及び結果を時刻順に残す。

２　被害拡大を止める

ランサムウェア又はマルウェアが疑われる端末は，ネットワークケーブル又は無線接続を切り，他の端末，NAS及びクラウド同期先への拡大を止める。誤送信又は誤共有では，送信取消し，共有リンクの失効，権限削除及び相手方への削除依頼が可能かを確認する。アカウント乗っ取りでは，別の安全な端末からセッション失効，認証情報の変更及び多要素認証の再設定を検討する。
ただし，証拠保全及び専門家の方針を確認する前に端末を初期化し，又はログを削除しない。

個人情報保護委員会のフォレンジック調査資料は，専門家の方針を確認する前に，電源を切る，再起動する，ウイルススキャンを実行する，初期化する，又はソフトウェアを更新することにより，メモリやログ等の証拠が変更・消失する危険を指摘している。
ネットワークからの隔離と端末の電源断は同じ操作ではない。拡大防止のための隔離を急ぎつつ，端末の電源と内容を変更する操作は証拠への影響を確認してから行う。

３　時刻入り記録と証拠保全を始める

画面表示，警告文，送信先，ファイル名，URL，メールヘッダー，ログの保存場所及び時刻を記録する。事実，推測，判断及び実施結果を分けて書く。
端末の時刻が正しいか，サービスのログがUTCか日本時間か，ログの保存期限がいつまでかも確認する。外部業者へ依頼する場合は，作業開始前に保全対象と受渡し方法を合意する。

調査結果は，①ログや保全イメージで確認できた事実，②設定や機能上は可能だったこと，③ログ欠落等により不明なことに分ける。
保全イメージと取得ログは，取得日時，取得者，取得元，保管場所及びハッシュ値を記録し，原本相当のデータと作業用複製を分ける。

アスクルの第１３報（令和７年１２月１２日，４頁）は，多要素認証を例外的に適用していなかった業務委託先用の管理者アカウントで不正アクセスがあったと説明している。
また，委託先管理のノートPCのOS更新過程で侵入時点のログが失われ，認証情報の漏えい方法と原因を完全には究明できないとしている。
VPN機器の脆弱性を悪用した侵入の痕跡は確認されなかったという説明もあり，認証情報の取得方法を，フィッシング又はマルウェアと決め付けない。

この事例を踏まえ，復旧のためのOS更新，再インストール又は端末返却を行う前に，侵入時点のログが上書き・消去されないかを確認し，可能な範囲で保全する。
封じ込めの緊急性と証拠保全の必要性を踏まえ，先行させた措置，失われた記録及びその理由を残す。

事故受付票では，発生した期間，事務所が検知した日時，法定の報告対象事態を知った日時，委託先からの通知日時及び公表日時を別々に記録する。
報告対象事態を知った日時には，誰がどの資料・連絡により何を把握したかを対応付け，後日判明した事項は元の記録を消さず追記する。
法人の事務所では，いずれかの部署が当該事態を知った時点が速報・確報の起算の基準となり，代表者への報告や調査報告書の完成まで起算点を遅らせるものではない。

この受付票は法定の報告様式ではなく，個別の報告や通知に必要な情報を整理するための運用例である。
保存期限が迫るログは，最終報告書を待たず，権限と保全方法を確認して提供者又は調査担当者へ保全を依頼する。
受付票自体も秘密情報を含むため，事故対応に必要な者だけが参照できる保管先を定める。

第３　当日中に行うこと

１　影響範囲を把握する

次の事項を一覧にする。
①漏えい，滅失，毀損又は利用不能となった情報の種類
②要配慮個人情報，個人番号，刑事事件記録，営業秘密その他の重要情報の有無
③対象となる依頼者，相手方その他の本人及び概数
④閲覧，取得，送信又は公開の有無と相手方
⑤発生時刻，発覚時刻，障害が続いた期間及びログの保存期限
⑥利用不能となった端末，アカウント，NAS，クラウド，メール及びウェブサイト
⑦委託元・委託先，クラウド事業者，再委託先及び保険契約

「漏えいを確認できない」と「漏えいしていない」は同じではない。ログが不足している場合は，確認できた事実と未確認事項を分けて記録する。

外部サービスの事故では，提供者全体の公表件数と，事務所に対する個別通知を分けて保存する。
登録情報に加え，保存した事件記録・医療資料・本人確認書類，共有先，復旧用メールアドレス及び接続アプリを洗い出し，事務所の情報がどの環境・期間に含まれていたかを提供者に確認する。
公表に記載された項目だけで，保存ファイルや他サービスへの影響まで調査済みとは扱わない。

提供者側の管理者権限が侵害された場合は，利用者のパスワード変更だけで封じ込めを完了したことにはならない。
侵害経路，残存する権限，署名鍵・トークンの失効及び調査ログの確保について提供者の説明を求める。
本人に通知する文案では，項目ごとの二次被害と取るべき行動を示すとよい。

影響範囲は個々の端末だけでなく，共通基盤への依存も確認する。
メール，事件・期限台帳，共有記録，連絡先，認証及びバックアップが，同じ仮想化基盤，管理アカウント又は同期経路に集中していないかを一覧にする。
一つの管理権限を失った場合に，復旧用の記録と連絡手段まで同時に使えなくなる構成には，代替手段が必要である。

大阪公立大学の令和８年１０月５日会見の公式資料は，仮想化基盤の障害に伴うメール，ウェブ，人事給与，教務等への横断的な影響と代替手段での継続を説明する。
令和８年１０月８日の第４報にいう授業再開・臨時システムの構築は，すべてのシステムの復旧と同じではない。
この事例を個々の事務所の侵入経路・過失の認定に用いることはできない。

２　期限事故を防ぐ

メールを受信できなかった可能性のある期間を特定し，受信箱，迷惑メール，削除済みメール，転送設定及びメールサーバーのログを確認する。裁判所，相手方代理人，依頼者その他の送信者に，その期間に送った連絡がないかをメール以外の方法で照会する必要性を検討する。
同じ期間中又は直後に期限が来る事件を一覧にし，不変期間，控訴・上告期間，申立期間，回答期限及び依頼者の意思確認を優先する。mintsその他の電子提出では，送信済み表示だけでなく，事件番号，添付ファイル，受付日時及び裁判所側の受付結果を確認する。

知財高裁平成31年3月18日判決は，ランサムウェア被害等により重要な指示メールを受信できなかった可能性がある場合に，障害期間中の送信有無を照会・確認すべき事情を判断材料とした。詳細は法律事務所がランサムウェアに感染したときの期限管理を参照されたい。

クラウド，認証又は決済の共通基盤が停止した場合は，通常のシステムとは別に管理した期限一覧と確認済み連絡先を参照する。
公式の障害通知と手元の症状を分けて記録し，提出先や金融機関の案内，期限の種類及び利用できる正規の代替手段を確認する。
事務所側の障害を裁判所側のシステム障害と同じ扱いだと決め付けず，期限前の相談を優先する。

３　報告・通知の要否を判断する

個人情報保護法26条は，個人の権利利益を害するおそれが大きいものとして規則で定める個人データの漏えい等について，個人情報保護委員会への報告及び本人通知を定めている。報告対象事態を知った場合，速報は速やかに行い，確報は原則30日以内，不正目的のおそれがある事態は60日以内とされる。
委託を受けて取り扱う個人データでは，委託元への通知と委託元の報告義務を区別する。弁護士情報セキュリティ規程7条，弁護士職務基本規程36条，委任契約，秘密保持契約，クラウド契約，保険約款及び所属弁護士会の手続も確認する。

個別事故が報告対象かは，具体的事実を確認するまで確定できない。報告又は本人通知の文案を作る前に，確認済み事実，合理的な推測及び未確認事項を分ける。

あわせて，公表するかどうかと公表する内容を決める。公表は法律上の一律の義務ではないが，個人情報保護委員会の個人情報保護法ガイドライン（通則編）3-5-2は，事案の内容等に応じて事実関係及び再発防止策等を速やかに公表することが望ましいとし，個人情報保護委員会への報告事項には「公表の実施状況」が含まれる（個人情報保護法施行規則8条1項7号）。
公表文に個人情報保護委員会への報告の事実まで書くかどうかによって，後に第三者から報告書の開示請求があった場合の扱いが変わり得る（漏えい等報告書は情報公開請求で開示されるか）。

ガイドラインは，速報の「速やかに」の目安を事態を知った時点から概ね３日～５日以内としている。
その期間で調査を完了させるという意味ではなく，速報時点で把握している事項と未確認事項を分け，確報までの調査計画と更新責任者を定める。
不正アクセスの９類型と調査範囲は「個人情報保護委員会が示した不正アクセス９類型」を参照されたい。

確報の期限（30日以内又は60日以内）は，知った時点を1日目とし，土日・祝日も含めて数える。
30日目又は60日目が土日，祝日又は年末年始の閉庁日（12月29日～1月3日）に当たるときは，その翌日が期限となる（通則編ガイドライン3-5-3-4）。
不正目的のおそれがある事態（施行規則7条3号）に，要配慮個人情報，財産的被害のおそれ又は1000人超の事態が重なる場合も，期限は60日以内である（同）。
事務所が使っているクラウド事業者が攻撃を受けた場合も，個人データを取り扱わないこととなっているクラウド事業者は報告義務を負わず，報告するのは事務所である（個人情報保護委員会Q&A6-22）。
この場合の考え方は「クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか」を参照されたい。

調査会社又はクラウド事業者から「持出しの痕跡なし」と説明された場合も，対象データ，対象期間，取得ログ及び対象外の環境を確認する。
ログが不足していることだけで漏えい確定とせず，逆に確認できなかったことを漏えい不存在の証明として扱わない。
受領した報告書への質問と法的判断へのつなぎ方は，情報漏えいのフォレンジック報告書をどう読むかを参照されたい。

４　外部支援と保険の条件を確認する

サイバー保険，賠償責任保険，保守契約又はクラウド契約に，指定業者，事前承認，通知期限，免責，先行支出及び証拠保全の条件がないかを確認する。警察，JPCERT/CC，情報処理安全確保支援士，フォレンジック業者その他への相談は，目的，提供する情報及び権限を明確にして行う。

第４　復旧後・後日に行うこと

復旧データが開けること，必要な版であること，マルウェアが残っていないこと及びバックアップから再感染しないことを確認する。復旧手順，利用したバックアップ，復旧日時及び確認者を記録する。
障害期間中の未受信メール，期限付き連絡，電子提出及び共有リンクの監査を終え，依頼者への影響を確認してから通常運用へ戻す。原因，侵入経路，検知できなかった理由，権限の過大設定，更新，バックアップ，研修及び報告経路を見直し，基本的な取扱方法へ反映する。

バックアップは複数の媒体又は保存先に持ち，少なくとも一つは通常の端末・ネットワークから切り離す。バックアップが存在することだけでなく，定期的に復元できることを試す。

古い時点へデータを巻き戻した場合は，復元の基準日時，戻った情報，戻らない差分及び復元対象外の情報を確認する。
障害期間中の相談申込み，依頼者からの指示，予約，提出記録及び未処理の連絡が失われていないかを，手元の控えや送信者への照会で点検する。
この点検が終わるまで，サービスが再開したことだけで事件処理の連続性を確認したことにしない。

提供者側の事故の例として，楽天ドライブの令和８年１０月６日の公表は，管理用アカウントの認証情報の不正取得と，利用者の保存写真・文書の取得・閲覧を説明している。
個別の事務所の資料が対象だったかは，同公表だけでは決まらないため，対象アカウントと保存内容を照合する。

平時の復元試験では，本番環境の管理アカウントと基盤が使えない条件も試す。
バックアップの保存先だけでなく，削除・暗号化できる権限，認証，接続経路，復元先及び必要なソフト・鍵を点検する。
警察庁のランサムウェア対策も，切り離したバックアップ，必要最小限の権限，業務継続計画及び復旧訓練を挙げている。

復旧まで参照する控えには，事件番号，直近の期限，担当・代替者及び必要な連絡先などを必要最小限で記録し，正本の更新時に整合を保つ。
控え自体も秘密情報として，閲覧権限と保存・廃棄を管理する。
代替連絡経路が使えることと，期限内の提出・連絡が実際に済んだことを別々に記録する。

AIのサイバー能力の評価や事件の発生時期から，個別事故に特定AIが使われたと断定しない。
能力，利用可能性及び実際のログ・調査結果を区別する。
使用AIが未確定でも，資産，権限，更新，隔離及び復旧手段の確認を待つ必要はない。

電子提出，送金その他の外部に影響する操作について，応答が途切れて成否が不明となったものを一覧にする。
受付日時，取引番号，承認状況及び提出先・金融機関側の記録を照合してから，再実行の要否を判断する。
メール，台帳，原資料及びバックアップが同じ認証に依存していたかも確認し，障害中の取出しと閲覧までの時間を模擬試験で測る。
平時の準備と訓練は，法律事務所のクラウド・決済障害に備えるBCPで整理している。

第５　事故類型別の最初の操作

不審メールへの平時の備えと訓練は，電子メールの仕組みと安全対策，法律事務所のPPAP廃止と安全なファイル共有及び法律事務所の標的型メール訓練で整理している。

サポート詐欺で遠隔操作を許した場合の端末の扱い，支払方法別の対応及び個人データの漏えい等報告の検討は，サポート詐欺（偽のセキュリティ警告）に遭ったときで整理している。

VPN機器の侵害が疑われる場合は，機器の接続・設定変更ログだけでなく，管理・保守用アカウントの認証，内部の接続先及びファイルの閲覧・取得の記録を照合する。
専門担当者と通信の隔離・アカウントの停止・セッション失効・証拠保全を相談し，被害拡大を止める操作と時刻を記録する。
パッチの適用だけで，既に悪用された認証情報や内部の侵害への対応が完了したとは判断しない。
調査前の初期化やログ削除，確認なしの再接続を避ける。

平時の更新管理，保守用アカウントの権限及び保守契約の確認事項は，法律事務所のVPNは安全かで整理している。

平時の点検では，多要素認証等の例外を設けたアカウントを一覧にし，対象，管理担当者，承認者，理由，代替措置，有効期限及び解除確認を記録する運用が考えられる。
委託先の管理者アカウントも対象にし，契約終了，担当者変更又は例外期限の到来時に，権限の削除・縮小と実際の接続不能を確認する。
「原則として適用している」という説明だけで，例外アカウントまで点検済みと扱わない。

第６　確認用チェックリスト

共通基盤が停止した場合の確認項目として，①代替担当者が期限と事件を特定できるか，②通常の認証基盤に依存せず安全な連絡ができるか，③本番の権限でバックアップまで変更できないか，④清浄な環境で復元できるか，⑤復旧後に未達連絡と提出結果の監査を終えたかを追加する。

第７　法的根拠と裁判例

日本弁護士連合会の弁護士情報セキュリティ規程7条は，取扱情報の漏えい，滅失，毀損等の事故について，影響範囲の把握に努め，必要に応じて被害拡大防止，原因調査，再発防止策の検討その他の措置を講ずることを求める。同規程3条は，事故時の対応を含む基本的な取扱方法を定めることを求めている。規程全体は弁護士情報セキュリティ規程とはを参照されたい。

知財高裁平成31年3月18日判決は特許法上の期間徒過に関する判決であり，法律事務所のすべてのサイバー事故を直接判断したものではない。本記事が同判決から事故後の「空白期間監査」を一般化する部分は，判決の事案と判断を法律事務所の実務へ応用した整理である。

第８　出典と調査範囲

①日本弁護士連合会「弁護士情報セキュリティ規程」3条・7条
②個人情報保護委員会「漏えい等の対応とお役立ち資料」及び「個人情報保護法ガイドライン（通則編）」（令和8年6月一部改正版PDF58頁～59頁）
③情報処理推進機構「ランサムウェア対策特設ページ」
④知的財産高等裁判所平成31年3月18日判決（平成30年（行コ）第10004号。判決PDF）
⑤東京弁護士会「LIBRA 2026年9月号」2頁～13頁
⑥情報処理推進機構 安心相談窓口だより「パソコンに偽のウイルス感染警告を表示させるサポート詐欺に注意」（2024年11月19日公開，2025年4月3日最終更新）
⑦情報処理推進機構「サイバー情報共有イニシアティブ（J-CSIP）運用状況［2020年10月～12月］」

【共通基盤・復旧の資料】警察庁「ランサムウェア被害防止対策」，大阪公立大学「１０月５日会見の公表記事」・配付資料及び「第４報」（令和８年１０月１２日～１３日確認）。
共通基盤の点検は，これらを踏まえた法律事務所の運用上の提案である。

判例秘書INTERNETでは，令和8年9月28日，検索対象「全部」，事件番号「平成30年（行コ）第10004号」で1件，全文検索語「ランサムウェア」で2件を確認し，控訴審全文を読んだ。
本調査はこの2検索に限られ，サイバー事故に関する裁判例の網羅調査ではない。

【ログ保全・例外管理の追加資料】アスクル，「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（第１３報）」４頁（令和７年１２月１２日）。
例外台帳の項目は，同報告を踏まえた運用上の提案である。

【追加資料】個人情報保護委員会「フォレンジック調査の着眼点」（令和８年１月１６日），同「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（令和８年１０月７日）。