2026年上半期ランサムウェア動向まとめ アサヒを襲ったQilinが首位：攻撃グループは過去最多に

2026年上半期のランサムウェア攻撃は、どのグループが猛威を振るったのか。アサヒグループホールディングスへの攻撃で知られるQilinが首位となる一方、攻撃グループの数や勢力図にも変化が起きている。さらに調査からは、ランサムウェア犯罪の「小規模化」を示す興味深い実態も浮かび上がった。

[＠IT]

　チェック・ポイント・ソフトウェア・テクノロジーズ（以下、チェックポイント）は2026年8月17日、脅威インテリジェンス部門「チェック・ポイント・リサーチ」（CPR）による2026年第2四半期のランサムウェアレポートを発表した。

　データリークサイトの調査で確認した被害は2139件で、前四半期の2122件からほぼ横ばいだった。一方、前年同期比では33％増加しており、高い被害水準が続いている。

　今回の調査で目立ったのは被害件数だけではない。活動中のランサムウェアグループ（RaaS）は過去最多となり、上位グループへの被害集中度も低下した。さらにCPRがあるRaaSの内部チャットやバックエンドシステムを分析したところ、中核のオペレーターは約9人だったことが判明した。少人数の中核組織でも、アフィリエイトとの分業によって、大規模な攻撃活動を展開できる構造が浮かび上がった。

アサヒを襲ったQilinは依然首位をキープ　少人数で“荒稼ぎ”するグループも

　2026年第2四半期に確認された活動中のランサムウェアグループ数は93に達し、第1四半期の71から大幅に増加した。CPRの調査で確認された中では過去最多となる。

　上位10グループによる被害の割合も、第1四半期の71％から57.6％に低下した。特定の巨大グループに被害が集中するのではなく、より多くの攻撃グループが活動する構造に変化している。

　被害件数ではQilinが279件で首位となり、4四半期連続でトップとなった。前四半期に「Oracle E-Business Suite」を狙った攻撃キャンペーンで多数の被害を出した「Cl0p」は、今四半期には活動が大幅に縮小した。一方、中堅規模のグループが存在感を高め、攻撃主体の裾野が広がった。

2026年第2四半期に最も活発に活動した上位10グループと攻撃件数（出典：チェックポイントのプレスリリース）

　Qilinの次に続いたRaaSが「The Gentlemen」だ。同グループは被害件数を前四半期から62％増加させ、6月単月ではQilinを上回った。

AIコーディングツールを攻撃に活用　RaaSグループの知られざる内情

　CPRはThe Gentlemenのバックエンドシステムや流出した内部チャットを分析。その結果、同グループの中核は約9人のオペレーターで構成されていたことが分かった。

　ただし、これは9人だけで攻撃を実行していたという意味ではない。The Gentlemenは中核となるオペレーターを軸に、外部のアフィリエイトを組み合わせることで攻撃規模を拡大していたとみられる。

　つまり、攻撃に必要な全ての機能を一つの組織が抱える必要はない。中核組織が犯罪インフラを用意し、アフィリエイトが侵入などの役割を担う分業によって、少人数の組織でも大規模な活動を展開できる。

　こうした構造は、ランサムウェア犯罪への参入障壁を引き下げる要因となっている。高度な技術者や大規模な開発・運用体制を自前でそろえなくても、エコシステム内で分業することで攻撃に必要な機能を外部化できる。

　さらにThe Gentlemenの内部チャットからは、管理者の「Zeta88」が「DeepSeek」や「Qwen」などのAIコーディングツールを利用し、ランサムウェアの管理パネルを約3日で構築したことも明らかになった。

　AIがランサムウェア攻撃そのものを自律的に実行した証拠が確認されたわけではないが、AIコーディングツールによって犯罪インフラの開発工程を短縮できれば、ランサムウェア運営に必要な技術的ハードルを下げる方向に作用する。

　アフィリエイトとの分業や、AIコーディングツールによる開発工程の短縮。こうした要素が組み合わさることで、少人数の中核組織でも短期間で攻撃基盤を整え、規模を拡大しやすい環境が生まれている。

　The Gentlemenの事例は、ランサムウェア犯罪が必ずしも大規模な組織を必要としなくなっていることを示す一例といえる。攻撃グループの数が増え、上位グループへの集中度が下がっていることも合わせれば、少数の大規模グループだけを監視する防御では、変化する脅威全体を捉えにくくなっている。

身代金支払い低下が示す、今後の攻撃者の動き

　身代金の支払率も低下している。CPRによると、ランサムウェアの身代金支払率は2019年の85％から約23％まで低下した。それでも、2025年にブロックチェーンで確認されたランサムウェア関連の支払総額は8億2000万ドルを超えている。

　支払率が低下する背景には、バックアップや復旧体制の整備など、暗号化被害への耐性が高まったこともある。しかし、バックアップだけでは盗み出されたデータそのものを取り戻すことはできない。

　そのため攻撃者は、ファイルを暗号化して業務停止を引き起こすだけでなく、窃取したデータを恐喝材料として利用している。暗号化とデータ窃取を組み合わせた二重恐喝に加え、暗号化せず、盗み出した情報の公開を脅しに使う恐喝も存在する。

　こうした変化は、ランサムウェア対策に求められる範囲も広げている。バックアップや復旧体制の整備だけでなく、機密情報の所在を把握して保護し、重要データの持ち出しを検知する仕組みも必要になる。

　また、攻撃者による脆弱（ぜいじゃく）性悪用のスピードが速まれば、パッチ適用を待つだけの対策では間に合わない可能性がある。CPRは、AIを利用したエクスプロイト開発が進めば、攻撃者が組織の修正対応より先に脆弱性を悪用するリスクが高まると指摘している。

「大物だけ見ればいい」が通用しない、攻撃主体の増加にどう備えるか

　The Gentlemenの事例では、VPNのスキャンやブルートフォース攻撃、認証情報ブローカーから入手した認証情報などが初期アクセスに使われていた。いずれもランサムウェア犯罪で広く使われている手法だ。

　こうした攻撃に対してCPRは、侵害後の対応だけに依存するのではなく、侵入される可能性を事前に減らすことが重要だと指摘している。フィッシングや漏えいした遠隔接続用の認証情報による初期侵入を防ぎ、外部から悪用可能なエクスポージャーを把握して優先順位を付け、速やかに是正する必要がある。

　侵入を許した場合にも、攻撃者がネットワーク内を横展開したり、重要な情報を持ち出したりすることを防ぐ仕組みが求められる。つまり、ランサムウェア対策はバックアップだけでも、エンドポイントでの検知だけでも完結しない。

　ランサムウェア対策に求められるのは、侵害された後にいかに復旧するかだけではない。増え続ける攻撃主体を前提に、外部から悪用可能なエクスポージャーを減らし、認証情報や機密情報を保護し、攻撃の各段階を早期に検知・阻止する必要がある。