ランサムウェアグループが2025年4月から2026年3月にかけて公表した被害者数は7,551件に上り、前回の報告期間から24.9%増加しました。
この急増を牽引したのがQilinで、前年比443%増となる1,358件の被害を主張しています。また、エコシステム全体も拡大を続け、2026年6月時点で活動中のグループは146にまで増えました。
これらの数値は公表された、あるいはリークサイトで主張された情報に基づくものであり、すべてのランサムウェアインシデントを網羅しているとは限りません。
Black Kiteの報告によれば、この増加傾向は期間の後半にかけて加速しました。最初の6か月間の被害者数は2,904件でしたが、後半の6か月では4,647件に達し、活動ペースが60%上昇したことになります。2026年3月単月だけでも861件の被害が主張されており、これはデータセット内で最も多い月間件数です。
製造業は4年連続で最も被害を受けたセクターとなり、1,660件、全体の22%を占めました。専門・科学・技術サービス分野がこれに続き、1,389件の被害が確認されています。
建設業は541件の被害で3位に浮上しており、ランサムウェア攻撃者が、業務停止が収益やサプライチェーン、事業運営に即座に打撃を与えるような組織を狙い続けていることを浮き彫りにしています。
米国は被害が確認された組織全体の49.3%を占めました。ただし、その割合は51.9%から低下しており、これは米国内の被害者数自体は増加している中での相対的な低下です。
欧州では被害の伸びがさらに顕著でした。ドイツは48%増の281件、イタリアはほぼ倍増の188件に達したと報告されています。この傾向を踏まえると、セキュリティチームはサードパーティやサプライヤーのリスクを評価する際、米国中心の被害想定に頼るべきではありません。
中堅企業層が主要な標的として拡大しています。年間売上高5,000万ドルから1億ドルの組織は、売上高が判明している被害者のうち29.3%を占め、前回期間の25.1%から上昇しました。
売上高100万ドルから500万ドルの層も大きくシェアを伸ばしており、攻撃者が従来の大企業中心の標的選定から範囲を広げていることがうかがえます。
Qilinが主張する1,358件の被害は、データセット全体のおよそ5件から6件に1件の割合に相当します。
Agendaとしても知られるこのグループは、アフィリエイトが侵入からランサムウェアの展開までを担うRaaS(Ransomware-as-a-Service)モデルで運営されており、暗号化とデータ窃取・リーク予告を組み合わせる手口が一般的です。
同グループの成長は、混雑し分断化した市場の中で起きています。Black Kiteの追跡によれば、報告期間終了時点で127だった活動中グループ数は、2026年6月には146にまで増加し、この12か月間で61の新規参入グループが確認されました。
こうした新規参入の流入にもかかわらず、上位5グループが公表被害者全体の43.6%を掌握しており、ランサムウェア市場が競争激化と高い集中度という二つの側面を同時に強めていることを示しています。
各グループは独自の運営モデルをより明確に打ち出すようになっています。Qilinは幅広く大量の活動によって規模を拡大した一方、Clopは企業向けソフトウェアの欠陥を狙った大規模な悪用に注力しました。また、他のグループは認証情報の窃取、パッチ未適用の脆弱性、あるいは日和見的な地域標的化に重点を置いています。
公開されている報告によれば、Qilinのアフィリエイトはフィッシング、外部公開されたリモートサービス、侵害されたVPNアカウント、インフォスティーラーで窃取した認証情報、RMMツール、そして二重恐喝の手口を用いているとされています。Black Kiteは述べています。
信頼された業務用プラットフォームも、影響の大きい侵入経路として浮上しています。
同レポートは、SaaSのOAuth悪用、ベンダーアプリケーション連携、そして企業向けソフトウェアの大規模な悪用が、たった一件の侵害から多数の下流組織を危険にさらしかねない経路になっていると指摘しています。
このため、サードパーティリスク管理は単なるベンダー向けアンケートの域を超えたものになりつつあります。組織は、連携アプリケーション、特権を持つ統合機能、ID権限、そして下流のプロバイダーを継続的に評価していく必要があります。
より強固なプロアクティブ防御で、重大インシデントと金銭的損失を未然に防ぎましょう。15,000のSOCから集約されたライブ脅威フィードを統合する
翻訳元: https://cyberpress.org/qilin-fuels-record-ransomware-victims/