端末のLANケーブルを抜き、Wi-Fiをオフにします。電源は切らないでください。ランサムウェアなどは社内のネットワークを伝って広がるため、まず通信を止めることが大切です。広がりが疑われる場合は、ネットワーク機器やインターネット回線の遮断も検討します。
範囲の判断
| 状況 | 切り離す範囲 |
|---|---|
| 1台だけで不審な動き | その端末 |
| 複数台・サーバーで暗号化が進んでいる | 該当するネットワークの区画、またはスイッチ単位 |
| 侵入経路が分からず広がっている | インターネット回線・拠点間の接続を遮断 |
電源を切らない理由
電源を切ると、メモリ上に残っている攻撃の痕跡（実行中のプログラム、通信先など）が消えます。調査で原因や被害範囲を特定するために、専門家の指示があるまでは電源を入れたままにします。ただし、暗号化が今まさに進んでいて止める手段がない場合は、専門家と相談して判断します。
SE向け：EDRを導入していれば、管理画面から端末をネットワーク隔離（管理通信のみ許可）できるものが多くあります。隔離の手順と権限を平時に確認しておきましょう（EDR）。