復旧で大切なのは、侵入経路をふさいでから戻すことです。原因が残ったまま元に戻すと、同じ方法で再び侵入されます。また、バックアップ自体が汚染されていないかを確認し、認証情報（パスワード）を一斉に変更したうえで、重要な業務から順に再開します。
復旧の手順
- 侵入経路と被害範囲の特定（原因調査）
- 侵入経路をふさぐ（機器の更新、設定変更、不要な接続の廃止）
- 管理者を含む全アカウントのパスワード変更と多要素認証
- 端末・サーバーを初期化・再構築
- 感染前の時点のバックアップから戻し、不審なものがないか確認
- 重要な業務から段階的に再開し、監視を強める
Active Directoryなどの認証の中心が侵害されていた場合は、とくに慎重な再構築が必要です（Active Directoryの保護）。