第１ 身代金の要求を受けた企業が最初に整理すること
ランサムウェアの被害で金銭を要求されたときは，復旧の見込み，支払いの適法性，会社としての意思決定及び証拠保全を並行して検討する必要がある。
攻撃者が示した期限や「払えば解決する」という説明だけを基準に，現場の担当者が送金を約束することは避けたい。
本記事は，令和８年１０月２６日までに確認した法令と公的資料を基に，企業の初動と判断記録を整理する。
警察庁の案内，内閣官房国家サイバー統括室（NCO）の「サイバーセキュリティ関係法令Q&Aハンドブック」Ver.３.０の解説と，本記事の実務上の提案を区別して示す。
１ 暗号化されていない場合の脅迫も対象になる
警察庁は，データの暗号化と復号の対価要求に加え，暗号化せずに情報を盗んで金銭を要求する手口も紹介している。
したがって，「業務システムが動いているから問題は小さい」と決めず，情報の持出しや公開の脅迫も調査の対象にする。
２ 支払わない方針と，対応をしないことは異なる
警察庁は，支払いが犯罪グループの活動資金になり得ること，支払っても復号が保証されないことを説明している。
支払わない方針を採る場合にも，隔離，代替復旧，被害の調査，相談及び必要な報告・通知の検討は進める。
第２ 送金の検討に先立つ初動と証拠保全
１ 被害拡大を防ぎ，電源操作は慎重にする
警察庁の案内では，感染した機器をネットワークから隔離し，調査に必要なログ等が失われる場合があるため，電源を落とさないよう求めている。
自社の担当者だけで操作を続けず，警察や調査担当者に，隔離済みの範囲と機器の状態を伝えて次の作業を相談する。
２ 脅迫文と事実確認の資料を分けて残す
実務上は，要求のメール・画面，受信日時，指定された支払先，連絡の履歴，確認できた障害・情報持出しの状況を時系列で整理するとよい。
攻撃者の主張と，自社又は調査会社が確認した事実を同じ欄に書かず，未確認事項を残しておく。
ログや機器の調査・複製は，権限のある担当者が方法と実施時刻を記録して行う。
脅迫の添付ファイルや提示された復号プログラムを，通常の業務端末で不用意に開かない。
警察庁が挙げる提供資料には，ランサムノート，通信ログ，ディスクイメージ，メモリダンプ及びシステム構成図がある。
３ バックアップからの復旧と暫定運用を比較する
法務と技術部門は，「どの時点のデータが残っているか」「その環境まで侵害されていないか」「復旧に何日かかるか」「手作業等で維持できる業務は何か」を共通の資料にまとめたい。
復旧費用と停止の影響を具体化し，身代金の額だけを比較する状態を避けるためである。
第３ 支払いの前に確認する法令と相手方
１ 被害者からの送金にも規制の確認が必要である
外国為替及び外国貿易法１６条は，一定の支払等について許可義務を課す仕組みを定めている。
財務省は，資産凍結等の経済制裁に関する支払規制では，制裁対象者への支払いに暗号資産によるものも含まれると説明している。
このため，「身代金だから支払ってよい」「暗号資産なら規制と無関係」と判断することはできない。
相手方，実際の受取人，経由する取引及び適用される制裁・許可条件を，支払いを約束する前に専門家と確認する。
相手を十分に確認できないことも判断資料に残す。
２ 国内法の確認だけで取引全体を判断しない
海外拠点や外国の事業者が関与する場合は，その国の規制の検討が必要になることもある。
適用関係は，法人・人・支払いの経路等により異なるため，本記事だけで特定の送金の適法性を判断することはできない。
実務上は，関係する国と事業者を洗い出し，確認した規制と未確認の点を決裁資料に分けて記載するとよい。
第４ 取締役の責任と判断記録
１ 支払ったかどうかだけで責任は決まらない
会社法４２３条１項は，役員等が任務を怠った場合に，それによって会社に生じた損害について賠償責任を負うと定めている。
したがって，サイバー攻撃を受けたことや，身代金を支払った・支払わなかったという結果だけから，取締役の責任を直ちに結論付けることはできない。
NCOのハンドブックQ６０は，身代金要求への対応について，法令上の問題に加え，役員の意思決定の過程・内容等を検討する解説をしている。
同解説は個別の身代金事件についての裁判所の判断ではない。
２ 何を調べ，何を比較し，誰が決めたかを残す
本記事の実務上の提案として，決裁資料には少なくとも次の事項を整理したい。
書類を作ることだけで責任を免れるという趣旨ではなく，当時の情報と判断を後から検証できるようにするためである。
– その時点で確認できた侵害の範囲と，攻撃者の主張にとどまる事項。
– 復旧・代替運用の選択肢，必要な期間・費用，顧客や事業に及ぶ影響。
– 支払いに関する法令確認の結果と，残っている不明点。
– 技術・法務・保険の担当者から得た助言と，その前提条件。
– 採用した対応，採用しなかった選択肢と理由，決裁者及び決裁日時。
– 新たな漏えい確認や復旧の遅れが判明した場合の見直し条件と担当者。
３ 平時に受けた警告への対応も別に検証する
事故発生後の対応とは別に，事故前の脆弱性の指摘や更新提案にどう対応していたかも整理しておきたい。
警告の内容，受領者，実施・延期の判断，代替措置及び再確認の期限を確認する。
事後の対応が適切だったという説明だけで，平時の問題まで検討し終えたことにはならない。
警告を受けた事実だけで，義務違反や事故との因果関係まで決まるわけでもない。
制作・保守の契約範囲や更新の役割分担については，Web制作・保守会社のPHP更新責任の記事も参照されたい。
第５ サイバー保険は費目と約款を確認する
１ 事故対応費用と身代金そのものを分ける
保険の相談では，調査，データ復旧，業務停止，第三者への賠償及び身代金そのものを分けて，契約のどの条項が適用されるかを確認したい。
「サイバー保険に入っている」という説明だけで，これら全ての費用が補償されるとは判断できない。
ここでは特定の保険商品の補償を約束するものではない。
実際の保険証券・約款・特約を用意し，被保険者，対象事故，補償する費目，免責，支払限度，通知手続及び委託前の承認条件を保険会社に確認する。
回答を得た日時と，回答が前提とする事実も残しておくとよい。
２ 相談・通知は支払い判断と並行して進める
事故対応業者への発注や支出を決める際は，保険側の連絡先・指定業者・事前承認の取扱いを確認する。
補償の有無の回答を待つ間にも，必要な隔離や証拠保全をどう進めるかを技術担当者と調整する。
保険の相談をしたことを，支払い自体の法令確認の代わりにしてはならない。
第６ 身代金要求についてのよくある質問
１ 支払えば復旧や情報の削除は保証されるか
警察庁は，支払っても復号が保証されないと説明している。
情報の削除についても，攻撃者の約束と，実際に確認できた状態を分ける必要がある。
送金だけをもって調査・再発防止や報告・通知の検討を終えるべきではない。
２ 支払わなければ取締役の責任を免れるか
支払わなかったことだけで結論は出ない。
会社法４２３条１項の要件に沿って，任務を怠ったか，会社の損害とその原因は何かを検討する必要がある。
平時の対策，事故後の情報収集，復旧・代替手段の比較及び意思決定を分けて記録したい。
３ 警察への相談と公表の判断は同じか
警察庁の案内では，警察から被害の公表を求めることはないとしている。
他方で，自社に適用される法令上・契約上の報告・通知や公表の検討は別に行う。
具体的な整理は，情報漏洩に備える企業法務の記事を参照されたい。
第７ 関連記事
– 情報漏洩が相次ぐ今，企業の信頼を守る法務の備え
– Web制作・保守会社にPHPを更新する責任はあるか
– お名前.com デスクトップクラウドの不正アクセスでFX口座に損失が出たら
– 能動的サイバー防御は企業の要請で発動するのか
第８ 出典
– 警察庁「ランサムウェア被害防止対策」：被害が疑われた場合の対応，警察への相談及び支払いに関する説明。
– 内閣官房国家サイバー統括室「サイバーセキュリティ関係法令Q&Aハンドブック」Ver.３.０：Q６０，印刷頁３４９～３５３。
法令等についての解説資料。
– 会社法：４２３条１項。
– 外国為替及び外国貿易法：１６条。
– 財務省「経済制裁措置及び許可手続きの概要」，同省「ウクライナ関連情報」：経済制裁による支払規制と暗号資産による支払いの取扱い。