Qilin ランサムウェアによる侵害が 1,358 件に到達：グローバル攻撃における過去最高を記録

Qilin Ransomware Claims 1,358 Victims as Global Attacks Reach New Record

2026/07/21 CyberSecurityNews — Qilin ランサムウェアは、急速に拡大する犯罪組織から、グローバルな恐喝攻撃において最も注目される脅威の 1 つへと成長した。このグループの戦術は、システムを暗号化し、データを窃取した後に、情報を公開すると脅して被害組織に圧力をかけるというものだ。その攻撃キャンペーンは、複数の業界および 50 カ国以上の組織に混乱をもたらし、業務上の損害と評判の失墜を引き起こしている。このランサムウェア・グループは被害組織へ到達するため、流出した認証情報／パッチ未適用のソフトウェア／信頼されたサードパーティとの接続に大きく依存している。

Qilin は RDP 履歴を悪用する手法により、侵害した環境内を迅速に移動する能力も示している。この手法により、ネットワーク内のシステムやアカウントの特定が効率化されていると推測される。Black Kite は Cyber Security News (CSN) に共有したレポートで、追跡期間中に Qilin が 1,358 件の被害組織を主張したと報告している。この件数は、前年比で 443% の増加を示している。

Black Kite のアナリストによると、同グループは 50 カ国以上で活動しており、公表されたランサムウェア被害組織のおよそ 5～6 件に 1 件の割合を占めている。また、ランサムウェアの情勢全体も悪化しており、Black Kite の調査によると、2025年4月から 2026年3月までの間に公表された被害組織は 7,551 件を記録している。これは前年比 24.9% 増であり、2026年3月だけでも 861 件に達し、同社の研究者が観測した中で過去最高の月間件数となった。

Qilin ランサムウェアが 1,358 件の被害組織を主張

Qilin が主張した 1,358 件の被害組織が示唆するのは、競争が激化するランサムウェア市場で同グループが攻撃性を強めている状況である。2026年6月の時点で、活動中のランサムウェア組織が 146 グループへ拡大する中で、Qilin が台頭している。従来の主要グループが姿を消す一方で、新たな犯罪グループが市場へ参入し続けている状況が示されている。

このレポートが、ランサムウェア市場に関して示すのは、上位 5 つのグループが公表された被害組織の 43.6% を占めていた点であり、単一のアクターが年間を通じて市場を支配する状況には至っていなかった。その中で Qilin が、活動規模において際立っていた一方で、他のグループが重点を置いていたのは、大量の攻撃／流出した認証情報の悪用／特定地域への攻撃といった、それぞれの手法や標的であった。

製造業は依然として最も標的とされた業界であり、公表された被害組織は 1,660 件を記録し、それに続くのが専門／科学／技術サービス業の 1,389 件だった。また、年間売上高 5,000 万～1 億ドルの組織が、被害組織に占める割合も増加しており、中堅企業も大企業と同様に、増大する圧力にさらされていることが示唆される。

Qilin の成長は、攻撃者の行動におけるより広範な変化も反映している。先日報告された PAN-OS の脆弱性の悪用では、インターネットに公開されたシステムの、認証上の弱点を悪用してアクセスを確立した脅威アクターが、ランサムウェアを展開していることが確認されている。それが示すのは、インターネットに公開されたインフラに対する、迅速なパッチ適用が不可欠であることだ。

復旧してもリスクは終わらない

Black Kite のインシデント後スキャンでは、ランサムウェア・インシデントの終結後も、多くの組織が依然として脆弱な状態にあることが判明している。被害組織の 43.5% は、依然として深刻度の高いパッチ未適用の脆弱性を抱え、30.8% は攻撃者が悪用可能な Known Exploited Vulnerabilities (KEV) カタログに掲載された脆弱性を保持していた。

これらの調査結果が裏付けるのは、暗号化されたファイルの復元だけではなく、包括的なセキュリティ改善プロセスとして、復旧を捉える必要性である。そのために、ユーザー組織にとって必要なことは、インシデント発生後 30 日／60 日／90 日の各時点で体系的な外部レビューを実施し、窃取された認証情報／深刻な脆弱性／KEV カタログに掲載された脆弱性が残存するシステムの有無を重点的に確認することである。

サードパーティ製アプリケーションについても綿密な検証が必要であり、OAuth トークンや連携ソフトウェアの悪用が攻撃経路になり得ると、このレポートは指摘している。例として挙げられる、Salesloft Drift トークン窃取インシデントは、アプリケーションへのアクセス権が侵害されることで、接続された環境に保存されるデータが漏洩する可能性を示している。

セキュリティ・チームにとって必要なことは、定期的な保守スケジュールではなく、現在の悪用状況と深刻度に基づいてパッチ適用の優先順位を決定することである。さらに、接続されたアプリケーションのインベントリを作成し、OAuth 権限を見直すとともに、不審なアクティビティ検知後に認証情報を更新し、社内およびベンダーのアカウント全体で多要素認証を徹底する必要がある。

これらの対策により、ランサムウェア攻撃者が繰り返し悪用する侵入経路が低減され、組織のセキュリティが強化される。

訳者後書：Qilin ランサムウェアによる広大な被害の背景には、いくつかの明確な技術的原因が存在します。主な要因としてあげられるのは、漏洩した認証情報の悪用や、パッチ未適用のソフトウェアの放置、信頼されたサードパーティ接続の弱点などです。インターネット上に公開されたシステムの、認証における脆弱性を突いて初期侵入を果たした攻撃者は、ネットワーク内の RDP (Remote Desktop Protocol) 履歴を悪用して迅速に横展開を行います。また、OAuth トークンや連携ソフトウェアの悪用を通じて接続環境へ侵入する手法も確認されています。さらに多くの組織において、インシデント復旧後も KEV カタログに掲載された深刻な脆弱性が解消されず放置されている点が、侵入の再発を許す大きな原因となっています。よろしければ、Qilin での検索結果も、ご参照ください。