ランサムウェアは、入り込んですぐにファイルを暗号化するわけではありません。多くの場合、社内の様子を調べ、管理者のパスワードを手に入れ、ウイルス対策を止め、バックアップを消してから暗号化します。前兆に気づける機会は、この「暗号化の前」にあります。
この記事では、それぞれの段階でWindowsに残る兆候と、自分で確かめるコマンドをまとめます。
暗号化の前に通る4つの段階
- 1
偵察
社内の様子を調べる
- 2
パスワードの窃取
管理者になりすます
- 3
防御の停止
Defender・ログを止める
- 4
バックアップの削除
復旧できなくする
前兆を確かめる前に：入られる経路
入口になるのは、VPN機器やリモートデスクトップ、盗まれたパスワードでのログインが中心です。入り込んだあとは、正規のアカウントで社内のPC・サーバーへ順にログインして広がっていきます。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見る段階1：偵察の兆候を確かめる
入り込んだ攻撃者は、まず「自分は誰か」「管理者は誰か」「どんなPC・サーバーがあるか」を調べます。使われるのは、Windowsに最初から入っているコマンドです。
whoami /all net user /domain net group "domain admins" /domain nltest /dclist:これらは普通の管理作業でも使うため、実行されたこと自体は異常ではありません。ただ、業務で使わない人のPCや、深夜に続けて実行されていれば前兆を疑います。
実行の記録を残すには、監査ポリシーの「プロセス作成の監査」を有効にし、グループポリシーで「プロセス作成イベントにコマンドラインを含める」を有効にします。すると、セキュリティログのイベントID 4688に、実行されたコマンドが残ります。
auditpol /get /subcategory:"プロセス作成"既定では、この記録は取られていません。「監査なし」と出た場合、偵察のコマンドを後から追うことはできません。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
段階2：パスワードの窃取の兆候を確かめる
次に狙われるのは、管理者のパスワードです。PCのメモリ（LSASSという仕組み）からパスワードの情報を抜き出したり、アカウント情報のファイル（SAM）を持ち出したりします。
- Defenderの検知履歴：パスワードを抜き出す道具は、Defenderが検知することがあります。「Windows セキュリティ」の「保護の履歴」を確認します。
- ログインの失敗が続いていないか：パスワードの総当たりは、セキュリティログのイベントID 4625（ログオン失敗）が短時間に並ぶ形で残ります。手順はWindowsのログイン履歴を確認する方法にまとめています。
- 4688の記録（段階1の設定をしている場合）：
reg save HKLM\SAMや、メモリを書き出す道具の実行が残ります。
Get-MpThreatDetection | Select-Object InitialDetectionTime, ThreatID, ActionSuccessWindowsのログインは、パスワードを知っていれば誰でも本人として入れます
パスワードを抜き出されると、攻撃者は記録の上でも本人として社内のPC・サーバーにログインできます。前兆に気づくことと合わせて、パスワードだけでは入れない状態にしておくことが、広がり方を変えます。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
段階3：防御の停止の兆候を確かめる
暗号化の前に、攻撃者はDefenderなどのウイルス対策、ファイアウォール、ログの記録を止めようとします。この段階はWindowsに記録が残りやすく、確かめやすい前兆です。
Defenderが止められていないか
Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtectedRealTimeProtectionEnabled が False なら、リアルタイム保護が止まっています。イベントビューアーでは、アプリケーションとサービス ログ > Microsoft > Windows > Windows Defender > Operational を開き、次のイベントIDを探します。
| イベントID | 意味 |
|---|---|
| 5001 | リアルタイム保護が無効になった |
| 5007 | Defenderの設定が変更された（除外の追加などもここに残る） |
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" | Where-Object Id -in 5001,5007 | Select-Object TimeCreated, Id, Message -First 20除外設定が足されていないか
Defenderを止めずに、特定のフォルダや拡張子を「検査しない」設定に足す手口もあります。身に覚えのない除外がないかを確かめます。
Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcessファイアウォールが止められていないか
Get-NetFirewallProfile | Select-Object Name, Enabledログが消されていないか
痕跡を消すため、イベントログを消去することがあります。消去そのものは記録に残ります。
| ログ | イベントID | 意味 |
|---|---|---|
| セキュリティ | 1102 | セキュリティログが消去された |
| システム | 104 | イベントログ（システムなど）が消去された |
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=1102} -ErrorAction SilentlyContinue Get-WinEvent -FilterHashtable @{LogName='System'; Id=104} -ErrorAction SilentlyContinue誰も消した覚えがないのに記録があれば、強く疑うべき前兆です。ログの残り方はイベントビューアーのログ保存期間を確認・変更する手順も参照してください。
防御の停止は、深夜に起きることが多い
段階4：バックアップの削除の兆候を確かめる
暗号化の直前に、攻撃者は復旧の手段を消します。代表的なのが、Windowsの「シャドウコピー」（ボリューム シャドウ コピー）の削除です。次のようなコマンドが使われます。
vssadmin delete shadows /all /quiet wmic shadowcopy delete wbadmin delete catalog -quiet bcdedit /set {default} recoveryenabled noいまシャドウコピーが残っているかは、管理者権限で次のように確かめます。
vssadmin list shadows普段は作られているはずのシャドウコピーが、ある日すべて消えていれば前兆です。ファイルサーバーなど、シャドウコピーを使っているサーバーでは特に確かめてください。段階1の設定（4688とコマンドライン）をしていれば、上のコマンドの実行も記録に残ります。
シャドウコピーが消えると
消される前
- 誤って消したファイルや、暗号化されたファイルを、以前の版に戻せることがある
消された後
- Windowsの機能では以前の版に戻せない
- 別の場所に取ったバックアップが頼りになる
1台ずつの確認では間に合わない理由
ここまでのコマンドは、「いま、このPCで」確かめる方法です。実際に使うときには、次のような限界があります。
- 台数分の手間がかかる：PC・サーバーが20台あれば、20台で同じ確認が必要です。
- 起きたその時には見ていない：防御の停止やシャドウコピーの削除は、深夜や休日に行われがちです。翌朝に確かめても、暗号化が始まっていることがあります。
- 記録が取られていないことが多い：プロセス作成の監査は既定で無効です。偵察や窃取のコマンドは、設定していなければ後から追えません。
- ログそのものを消される：PCの中だけに記録があると、消去されたあとには調べられません。
そのため、前兆に「気づく」ためには、全PC・サーバーの記録を1か所に集め、異変を自動で見つけて知らせる仕組みが要ります。
全PC・サーバーで前兆を自動で検知しその場で止める
アプリップリキーを使うと、アプリップリキーを入れた全PC・サーバーで、次のことができます。
- 4つの段階の前兆を自動で検知：偵察、パスワードの窃取、防御の停止（Defenderの停止・ファイアウォールの停止・ログの消去）、バックアップの削除を検知します。監査ポリシーが無効なPCでも検知します。管理画面では、攻撃の段階ごとの件数が分かります。
- 異変があるときだけ管理者ご本人が登録したLINEに届く：深夜や休日でも、PCの前にいなくても気づけます。何もない日は見に行かなくて済みます。
- スマホからその場で止める：LINEのボタンから、PCの画面の確認・ネットワーク分離・電源オフ（確認付き）ができます。
- 連続したログイン失敗の相手は自動で遮断：パスワードの総当たりをしてきた相手のIPアドレスを自動で遮断します。
- 記録は1か所に残る：PCの中のログを消されても、集めた記録から経緯をたどれ、CSVで報告にも使えます。
さらに、入口のログインを2要素認証にできます。PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると（PC版・サーバー版。リモートデスクトップでのログインも対象）、盗まれたパスワードだけでは次のPC・サーバーに入れなくなります。社員の操作はスマホでワンタッチなので、毎日のログインの手間はほとんど増えません。
普段の管理が楽になると何が変わるか
この記事のコマンドは、どれも「気になったときに、そのPCで打つ」ものです。全PC・サーバーの記録が1か所にまとまっていれば、毎朝1台ずつ確かめに行く必要はありません。異変があるときだけLINEに届き、届いたらスマホから画面を確認して、必要ならその場でネットワークから切り離せます。
何かあったあとも、どのPCで、いつ、どの段階の前兆が出たかを画面やCSVでそのまま見せられるので、経営層や取引先に経緯を説明しやすくなります。兼任の担当者でも、夜間や休日を気にせず休めます。
対象は、アプリップリキーを入れたPC・サーバーで、インターネットにつながっている必要があります。
よくある質問
ランサムウェアの前兆には、どんなものがありますか
暗号化の前に、偵察（whoami や net user などで社内を調べる）、パスワードの窃取、防御の停止（Defenderの停止・ログの消去）、バックアップの削除（シャドウコピーの削除）が起きることが多くあります。Defenderの停止はイベントID 5001、セキュリティログの消去はイベントID 1102として記録に残ります。
シャドウコピーが削除されたかどうかは、どう確かめますか
管理者権限で vssadmin list shadows を実行し、シャドウコピーが残っているかを確かめます。普段は作られているはずのシャドウコピーがすべて消えていれば、前兆を疑います。
監査ポリシーを設定していないと、前兆は分かりませんか
Defenderのイベント（5001・5007）やログの消去（1102）は記録されますが、偵察やパスワードの窃取に使われたコマンドは、プロセス作成の監査を有効にしていないと残りません。アプリップリキーは、監査ポリシーが無効なPCでも前兆を検知します。
前兆に気づいたら、まず何をしますか
そのPCをネットワークから切り離し、被害が他のPC・サーバーへ広がらないようにします。そのうえで、ログイン記録から、どのアカウントでどこから入られたかを確かめます。
参考・出典
- Microsoft Learn「Microsoft Defender ウイルス対策のイベント ID とエラー コード」
- Microsoft Learn「vssadmin」
- Microsoft Learn「1102(S): The audit log was cleared」
- Microsoft Learn「4688(S): A new process has been created」
※ 本記事は2026年11月時点の一般的な解説です。画面の名称やコマンドの出力は、Windowsのバージョンおよび環境によって異なる場合があります。シャドウコピーの削除などのコマンドは、試しに実行しないでください。
ランサムウェアの侵入経路と対策の全体像は、ランサムウェア対策の基本とランサムウェアに多要素認証はどこまで効くかで整理しています。