マウスポインターが自分の操作とは関係なく動く、画面が切り替わる、文字が入力される。この状態が続いているなら、まず原因究明よりも通信を止めることを優先してください。遠隔操作とは限りませんが、第三者が操作中だった場合の被害拡大を抑えられます。
一方で、タッチパッドへの接触、無線マウスの不調、キーボードのキー詰まりでも似た動きは起きます。この記事では、今まさに動いている場合と、落ち着いて切り分けられる場合を分けて説明します。
この記事でわかること
- 今まさに勝手に動く時はWi-FiまたはLANを切る
- パスワード変更はそのPCではなく別の安全な端末から行う
- 遠隔ツールが見つからないだけで完全に安全とは断定しない
最初に注意
画面に表示された電話番号へ連絡せず、相手の指示でアプリを追加しないでください。すでに相手と通話中なら通話を終えます。
今すぐ行うこと
有線LANならケーブルを抜き、Wi-Fiならパソコン本体のWi-Fiボタン、機内モード、またはルーター側で接続を止めます。画面操作を奪われて設定を開けない場合は、ルーターの電源を一時的に切る方法もあります。
ネットワークを切った後は、被害時刻、表示された電話番号、入れたソフト、相手に伝えた情報、支払いの有無を紙へ控えます。証拠になり得る画面はスマホで撮影し、むやみに消去しません。
- LANケーブルを抜く、またはWi-Fiを切る
- ネットバンキングやメールをそのPCで開かない
症状で見分ける：今動いているのか、勝手に起動したのか
マウスポインターや文字入力が目の前で続いている場合は、第三者の遠隔操作、入力機器の誤動作、アプリの自動処理を切り分けます。まず通信を止める対象です。
一方、夜間にPCが起動した、スリープから勝手に復帰した、再起動後に更新画面が出たという症状は、Windows Update、スリープ解除タイマー、予約されたメンテナンス、USB・ネットワーク機器からの復帰などが候補です。起動したことだけで遠隔操作と断定せず、発生時刻と画面表示を記録します。
遠隔操作以外の原因も切り分ける
通信を切ると動きが止まるかを確認します。ただし、止まったから遠隔操作、止まらないから安全、と単純には決められません。マウスやタッチパッドの誤動作、Bluetooth機器、キーの押しっぱなし、アクセシビリティ機能でも似た症状が出ます。
マウス・タッチパッド
外付けマウスの電源を切り、USBレシーバーを外します。ノートPCではタッチパッドを乾いた布で拭き、手や袖が触れていない状態で確認します。別のマウスへ交換して再現するかを見ると切り分けやすくなります。
遠隔操作ソフト
AnyDesk、TeamViewer、RustDesk、LogMeIn Rescueなど、心当たりのない遠隔操作ソフトが入っていないか、「設定」→「アプリ」→「インストールされているアプリ」で確認します。名称が見つかっただけで不正利用と断定せず、導入日時、自動起動、接続履歴、使った経緯を合わせて判断します。
リモートデスクトップ・クイックアシストの設定を確認する
「設定」→「システム」→「リモートデスクトップ」で、有効状態と自分の利用歴を確認します。クイックアシストは通常、接続時にコード入力や許可操作を伴いますが、記憶がない場合でも履歴だけで安全とは断定できません。遠隔ツール、ユーザー、ログイン履歴を合わせて確認します。
自分で確認できる範囲：タスクマネージャーとスタートアップ
通信を切ったまま、Ctrl＋Shift＋Escでタスクマネージャーを開き、動いているアプリ名と発行元を確認します。見覚えがない名称でもWindowsやメーカーの正規プロセスの場合があるため、名前だけでウイルスと断定せず、画面を撮影して記録します。不明なプロセスの強制終了、サービス停止、レジストリ変更は行いません。
Windowsの「設定」→「アプリ」→「スタートアップ」で、サインイン時に自動起動するアプリを確認します。「設定」→「アプリ」→「インストールされているアプリ」では、遠隔操作を許可した日付の前後に追加されたソフトを確認します。心当たりがないからと一括削除せず、名称、発行元、導入日を控えます。
勝手な起動・スリープ復帰の記録を見る
「設定」→「Windows Update」の更新履歴と、勝手に起動した時刻を比べます。更新直後なら再起動処理の可能性があります。スリープ解除タイマーやタスクスケジューラにも自動実行項目がありますが、正規の保守タスクも含まれるため、見覚えがないという理由だけで削除しません。電源を切ったつもりでも実際はスリープだった可能性も分けて考えます。
自分で行うのは状態の確認と記録までに留め、タスクスケジューラの項目削除、未知のサービス停止、管理者ユーザーの削除は行わないでください。必要な証拠や正常なWindows機能を消すおそれがあります。
途中で判断に迷ったら
心当たりのない遠隔ソフトや管理者ユーザーが見つかった場合は、ネットワークを再接続せず、画面を撮影してWELLへご相談ください。
別の安全な端末で確認すること
メール、Microsoft、Google、通販、金融・カードなど、遠隔中に表示または入力した可能性があるアカウントを別のスマホやPCから確認します。パスワードを変更する場合は重要なメールから順に行い、多要素認証とログイン履歴も確認します。
カード番号やネットバンキングを入力した、送金や購入操作をした場合は、警察だけでなくカード会社や金融機関にも早めに連絡します。ブラウザ履歴だけではログインや情報窃取の有無は確定できません。
WELLで確認する範囲
WELLでは、ネットワークを切った状態から、ダウンロード、インストール済みアプリ、スタートアップ、サービス、タスク、ユーザー、ブラウザ設定、遠隔ツール、セキュリティ検査を順に確認します。実際の被害有無は、聞き取りと端末上で確認できた事実を分けて判断します。
不審な常駐が見つからなくても、遠隔中に相手が画面を見たり情報を書き留めたりした可能性まで完全に否定することはできません。確認済みの事実、可能性、未確認事項を分けてご説明します。
自分で止める範囲と相談する境界
マウス交換で症状が消え、心当たりのないソフトやアカウント履歴もない場合は、機器不良として様子を見られます。反対に、相手に操作を許可した、遠隔ツールを入れた、支払い情報を入力した、管理者ユーザーが増えている、不審動作が続く場合は、電源を入れ直して使い続けず専門家へ相談してください。
よくある質問
電源を切れば大丈夫ですか？
通信は止まりますが、それだけで遠隔ツールや変更内容が消えるとは限りません。まずネット接続を切り、何をしたか記録してから確認します。
ウイルススキャンで何も出なければ安全ですか？
スキャンで脅威が出なかったことと、情報を見られていないことは別です。アカウント履歴や遠隔ツール、設定変更も確認します。
初期化は必須ですか？
必須とは限りません。不審な常駐、操作内容、扱った情報、求める安全性を確認して、継続利用・追加調査・初期化を選びます。
見覚えのないプロセスがあれば遠隔操作の証拠ですか？
証拠とは限りません。Windows、メーカー、周辺機器の正規プロセスも分かりにくい名前を使います。名称、発行元、保存場所、開始時刻を記録し、単独ではなく他の痕跡と合わせて判断します。
Windows Updateで夜中に再起動することはありますか？
更新の適用やメンテナンスで再起動・スリープ復帰する場合があります。更新履歴と発生時刻を比べ、操作中のカーソル移動や未知のソフトがないかを別に確認します。
リモートデスクトップを使った記憶がなくても確認すべきですか？
勝手な操作が続く、他人に設定を任せた、管理者アカウントが増えた場合は確認対象です。有効というだけで侵入を意味しないため、設定を消す前に状態を記録します。
まとめ
今まさに勝手に動く時はWi-FiまたはLANを切ることから始め、原因を一つに決めつけず安全な順に切り分けてください。データ消失や被害拡大のおそれがある場合は、無理に操作を続けないことが大切です。
関連するWELLの記事
参考にした公式情報
さいたま市周辺で自分での切り分けが難しい方へ
心当たりのない遠隔操作や設定変更がある場合は、ネットワークを切ったまま状況をご相談ください。
基本料金は60分15,400円（税込）、60分以降は30分ごとに3,300円（税込）です。電話受付は9:00〜18:00、訪問サポートは9:00〜19:00、土日祝は予約制です。さいたま市を中心に埼玉県内63市町村へ対応し、状況を伺って作業前に料金の目安をご案内します。
