Black Kite 2026年ランサムウェア動向を分析：被害組織は7,551件で過去最多を記録

2026 Ransomware Report Reveals 7,551 Victims, 146 Active Groups, and Qilin’s 443% Surge

2026/07/21 gbhackers — 2026年のランサムウェア被害件数が、過去最高を記録した。Black Kite が公表した被害組織 7,551件／活動中のグループ 146件を追跡すると、Qilin の活動が前年比 443% 増となり、脅威情勢が大きく変化していることが明らかになる。このデータが示すのは、攻撃活動の構造的な加速／中堅企業標的への移行／攻撃者による外部露出の可視性などが、防御側自身による露出状況の把握を上回っている状況である。

2025年4月から 2026年3月までの間に公表された、ランサムウェア被害組織数は 6,046件から 7,551件への 24.9% 増を記録した。これは Black Kite のレポートシリーズにおいて4年連続で年間最多となる件数であり、月間平均被害組織数も約 504件から 629件へ増加したが、この数字だけでは年後半に発生した決定的な転換点は見えてこない。

実際、最初の 6ヶ月間の被害組織数は 2,904件であったのに対し、後半の 6ヶ月では 4,647件へと 60% も増加している。2025年10月から2026年3月までの、各月の被害組織数は 700件を超え、2026年3月には単月で 861件に達した。

脅威アクターのエコシステムも同様のペースで拡大し、この期間中には 61の新たなグループが確認されたほか、活動中のグループ総数は 2026年3月の 127から、2026年6月の 146へと増加した。

それが示すのは、ランサムウェア・ブランドの拡大が複数年にわたり継続していることであり、この傾向は他の業界レポートでも確認されている。その一方で、一部の分析では、攻撃件数が再び少数の支配的グループへ集中し始めていることも指摘されている。

Black Kite のデータセットで最も顕著な例は Qilin である。同グループによる被害組織数は前年比 250件から 1,358件へ増加し、443% の伸びを記録している。その結果、50カ国以上で公表されたインシデントの 5～6件に 1件の割合を Qilin が占めることになり、2026年の最も活発な RaaS (Ransomware-as-a-Service) として同グループを 評価する、別の調査とも一致している。また、各四半期ごとに、多くの被害組織を安定して維持していることも確認されている。

数十の新規参入グループが出現したが、上位 5 グループは依然として全被害組織の 43.6% を占めている。この状況が示すのは、市場の下位層では細分化が進む一方で、上位層では依然として集中が続いている状況である。

2026 年ランサムウェア・レポート

Black Kite は 2026年を、個々の主役ではなく、市場自体が主役となった年と位置付けている。Qilin は攻撃件数と活動地域を拡大し、Everest は蓄積したパッチ未適用の問題を重点的に標的とし、Clop は大量悪用型の攻撃手法を継続した。

また、2025年4月から 2026年3月までに公表されたランサムウェア被害組織 7,551件を、Black Kite が追跡した結果として、World Leaks は漏洩した認証情報の悪用に重点を置き、Play は北米全域において迅速かつ日和見的なキャンペーンを継続したことが確認された。

RansomHub のようなグループは、12 ヶ月以内に被害組織数 736件からゼロへと激減した。それが示すのは、ランサムウェア・ブランド単位での変動性が極めて高い一方で、全体の被害件数は安定／増加を維持していることだ。

製造業は 4年連続で最も多く被害を受けた業種となり、公表された被害組織数は 1,660件で全体の 22%を占めた。それに続くのは、専門／科学／技術サービスの 1,389件であり、この2業種だけで全インシデントの約 40% を占めている。

建設業は 541件で 3位へ浮上したが、これは単一の大規模インシデントによるものではなく、継続的に被害シェアが拡大した結果である。2026年を通じて実施された並行調査でも同様の傾向が確認されており、産業分野とビジネス・サービス分野が、ランサムウェア攻撃者にとって継続的な主要標的となっていることが示された。

地域別では、米国が依然として最大の被害組織数を占め、公表されたインシデント全体の 49.3%を占めた。ただし、米国における被害組織数は実数で 19%増加しているが、全体に占める割合は 51.9%から低下している。その一方で、欧州の増加率は米国を上回り、特にドイツは 48%／イタリアは 96%の増加を記録したほか、スペイン／フランスでも顕著な増加が確認された。

この変化は、Black Kite が公表した 2026 European Cyber Risk Report にも反映されている。同レポートでは、欧州におけるランサムウェア・インシデントが前年比 55.1%増加し、月間攻撃件数のベースラインが高い水準で推移していることが確認された。

収益規模別に見ると、企業規模が小さいほど安全という単純な傾向に、被害分布は従っていない。年間売上が 5,000万～1億 USD の企業が占める割合は 25.1%から 29.3%へ増加し、全セグメントの中で最も大きな伸びを示した。その一方で、年間売上 1億 USD 超の企業は 13.9%から 9.5%へ低下し、年間売上 100万～500万 USD の企業層は全体に占める割合をほぼ倍増させた。大企業が依然として大きな被害を受ける傾向にある一方で、被害件数全体の増加を支えているのは中小企業であるという、より広範な傾向が裏付けられている。

2026年には、信頼されているベンダー・プラットフォームが主要な攻撃経路として浮上し、Salesloft Drift を悪用するキャンペーンや Gainsight に関連する混乱が生じた。それらが浮き彫りにするのは、境界防御を直接突破する攻撃ではなく、OAuth トークンの悪用や委任された SaaS 信頼チェーンが抱えるリスクである。

これまでの MOVEit や Cleo に対する大規模悪用キャンペーンと同様に、CVE-2025-61882 に関連する Oracle E-Business Suite の悪用および、その後の PeopleSoft を標的とした活動が衆目された。それが示すのは、広く利用される単一のエンタープライズ・プラットフォームが、多数の利用組織へ被害を拡大させ得ることである。特に、ゼロデイ脆弱性が悪用された場合に、その影響が極めて大きくなることが確認された。

インシデント後に実施された再スキャンの結果は、依然として厳しい状況を示している。被害組織の 43.5%は、少なくとも 1 件の CVSS 9.0以上の脆弱性を、依然として外部へ露出した状態にある。また、30.8%は Known Exploited Vulnerabilities (KEV) カタログに掲載された脆弱性を少なくとも 1 件を抱えていた。

また、62.5%は少なくとも 1 件の Medium 以上のパッチ未適用問題を抱え、58.9%では DMARC のミスコンフィグが確認され、Stealer Log による認証情報の露出は前年比 175% 増であり、平均 Ransomware Susceptibility Index (RSI) スコアは 0.557 から 0.616 へと上昇した。その一方で、組織全体のサイバー・セキュリティ評価やリスク管理スコアは改善している。この結果が示すのは、インシデントからの復旧と実際のリスク露出の低減が必ずしも一致していないことである。

Black Kite のテレメトリは、RSI がランサムウェア被害の先行指標であることを裏付けている。RSI が 0.8 を超える組織は、0.2 未満の組織と比較して、ランサムウェア攻撃を受ける可能性が 291 倍も高かった。さらに、公表された被害組織の 93.5%は、前月比 5%以上の RSI 上昇を記録しており、85.9%では 10%以上の RSI 急上昇が確認されていた。これらの結果は、RSI の継続的な監視が、攻撃を受ける前兆を把握するための有効な指標となる可能性を示している。

Black Kite の分析は、攻撃者が外部から観測できる情報が、標的選定において従来以上に重要な役割を果たしていることを示している。具体的には、漏洩した認証情報／未パッチのソフトウェア／サードパーティに起因する脆弱性といった、攻撃者による視認が可能なシグナルが、標的選定の判断材料として重視される傾向にある。

この傾向は、業界全体で報告されている観測結果とも一致している。特に、AI ツールの普及により、新規／既存を問わずランサムウェア・グループの運用コストが低下したことで、攻撃者は多くの標的を効率的に探索／評価できるようになった。つまり、外部から取得可能な情報の重要性がさらに高まるという状況にある。

このような状況では、組織が自らの内部評価だけに依存するのではなく、攻撃者の視点から見える外部露出を継続的に把握し、認証情報の漏洩対策／脆弱性管理／サードパーティ・リスク管理を一体的に実施することが、ランサムウェア被害の低減につながる重要な取り組みであると、Black Kite は示唆している。

ランサムウェア被害が急増している主な原因は、外部から確認できるシステムの弱点を、攻撃者が効率よく狙っている点にあります。具体的には、Oracle E-Business Suite の脆弱性 CVE-2025-61882 などへのパッチ未適用や、DMARC の設定ミス、流出した認証情報の露出などが挙げられます。また、SaaS プラットフォームにおける OAuth トークンの悪用や、AI の普及による攻撃作業の効率化も被害を広げる要因となっています。攻撃者は防御側と比較して、多くの外部露出情報を把握しているため、自組織の公開情報や認証情報の管理状況を継続的に確認し、弱点を適切に塞ぐことが大切になります。