2026年、ランサムウェアの発生件数は過去最高水準に達しました。Black Kiteの調査によると、公開された被害者数は7,551件、活動中のグループ数は146、そしてQilinの活動は前年比443%増と急増しており、脅威の構図を大きく塗り替えています。
Antivirus& Malware
このデータは、攻撃活動が構造的に高い水準へ移行していること、標的が中堅企業層へシフトしていること、そして攻撃者側の可視性が防御側自身の露出状況の理解を上回るケースが多いことを示しています。
2025年4月から2026年3月にかけて、ランサムウェアの被害公表件数は6,046件から7,551件へと24.9%増加し、Black Kiteの報告シリーズにおいて4年連続で過去最高を更新しました。
月平均の被害者数は約504件から629件へと増加しましたが、この見出し上の数字は、下半期における決定的な変化を覆い隠しています。
上半期の被害者数は2,904件だったのに対し、下半期には4,647件へと急増し、60%の増加となりました。10月から3月にかけては毎月700件を上回る水準が続き、3月単月では861件に達しています。
脅威アクターのエコシステムも同様の勢いを見せており、この期間中に61の新規グループが出現し、活動組織の総数は期末時点の127から2026年6月までに146へと増加しました。
これは、他の業界レポートでも指摘されているランサムウェア「ブランド」の多年にわたる拡大傾向を裏付けるものです。一方で一部の分析では、被害件数がより少数の主要グループへ再び集中しつつある動きも指摘されています。
Black Kiteのデータセットにおいて突出しているのがQilinです。被害者数は前年の250件から1,358件へと443%増加し、公表された全事案のおよそ5〜6件に1件をQilinが占める結果となり、その活動範囲は50カ国以上に及んでいます。
新規参入グループが数十に上る一方で、上位5グループが依然として全被害者の43.6%を占めており、市場としてはロングテール部分では分散化が進みつつも、上位では活動が集中していることがうかがえます。
Qilinの拡大は、2026年における最も活発なRaaS（Ransomware-as-a-Service）運営組織の一つとしてQilinを位置づける独立した各種評価とも一致しており、四半期を追うごとに被害者数が安定的に積み上がっています。
2026年ランサムウェア報告書
Black Kiteは2026年を「主役不在の市場」の年と位置づけています。Qilinは被害件数と地理的な広がりの両面で規模を拡大し、Everestは蓄積されたパッチ未適用の問題につけ込み、Clopは大規模な脆弱性悪用作戦を継続しました。
Black Kiteは2025年4月から2026年3月にかけて、公開されたランサムウェア被害7,551件を追跡しました。World Leaksは資格情報の窃取・暴露に注力し、Playは北米全域で迅速かつ日和見的なキャンペーンを続けました。
RansomHubが736件の被害者数からわずか12カ月でゼロへと急落した例に見られるように、個々のグループ単位では大きな変動があっても、全体の発生件数は安定または増加を続けているという構図が見えてきます。
製造業は4年連続で被害者数が最も多い業種となり、被害件数は1,660件(全体の22%)を占めました。次いで専門・科学・技術サービス業が1,389件で続き、この2業種だけで全体のおよそ40%を占めています。
建設業は541件で静かに3位に浮上しました。単一の大規模事案によるものではなく、着実にシェアを伸ばしてきた結果です。
2026年を通じた各種の調査でも同様に、製造業や事業者向けサービス業がランサムウェア攻撃者にとって恒常的な標的の集中地帯であることが強調されています。
Antivirus& Malware
地域別で見ると、米国は依然として被害者数全体の49.3%を占め最大の被害地域ですが、そのシェアは51.9%から低下しました。もっとも、米国の実数自体は19%増加しています。一方、欧州の伸びは米国を上回っており、ドイツ(48%増)、イタリア(96%増)、スペイン、フランスで顕著な増加が見られました。
この傾向は、Black Kiteが別途まとめた「2026年欧州サイバーリスク報告書」でも裏付けられており、同地域におけるランサムウェア事案は前年比55.1%増となり、月間発生件数のベースライン自体が高止まりしていることが分かっています。
収益規模別の分布は、もはや「小規模企業ほど安全」という単純な傾向には従っていません。年間売上高5,000万〜1億米ドル規模の企業層は、収益が判明している被害者に占める割合が25.1%から29.3%へと増加し、全セグメント中最大の伸びとなりました。一方、1億米ドル超の企業層は13.9%から9.5%へと減少しています。
年間売上高100万〜500万米ドル規模の企業層はシェアがほぼ倍増しており、大企業が依然として影響の大きい例外的存在である一方、中小企業が成長の大部分を担っているという、より広範な傾向を裏付けています。
2026年には、信頼されたベンダー企業のプラットフォームが主要な攻撃経路として浮上しました。Salesloft Driftを狙ったキャンペーンや、Gainsight関連のサービス障害などの事案は、直接的な境界防御の突破よりも、OAuthトークンの悪用や委任型SaaS信頼チェーンにこそリスクが存在することを浮き彫りにしています。
以前のMOVEitやCleoを巡る大規模な脆弱性悪用事案と同様に、CVE-2025-61882に関連するOracle E-Business Suiteの脆弱性悪用や、その後PeopleSoftを狙った攻撃活動は、広く利用されている単一のエンタープライズ向けプラットフォームが、特にゼロデイとして悪用された場合、いかに多くの二次被害者を生み出しうるかを示しています。
インシデント発生後の再スキャン結果は厳しい実態を物語っています。被害組織の43.5%が依然としてCVSS 9.0以上の脆弱性を少なくとも1件抱えており、30.8%は既知の悪用済み脆弱性(KEV)を保有していました。また62.5%が中程度以上のパッチ適用上の問題を、58.9%がDMARCの設定不備を抱えていたことも判明しています。
スティーラーログ(情報窃取マルウェアによる漏えいログ)の露出は175%増加し、ランサムウェア感染リスク指数(RSI)の平均スコアは0.557から0.616へと上昇しました。全体的なサイバーリスク評価やリスク管理スコアが改善する一方でこの結果が出ていることは、インシデント対応後の復旧とリスク露出の低減が、それぞれ別方向に進みつつある実態を示しています。
Black Kiteのテレメトリデータは、RSIが先行指標として有効であることを裏付けています。RSIが0.8を超える組織は、0.2未満の組織と比較して被害に遭う可能性が291倍高く、被害組織の93.5%が公表前の時点で月次比5%以上のRSI急上昇を少なくとも1回経験しており、85.9%は10%以上の急上昇を示していました。
この結果は、攻撃者から見える兆候─漏えいした認証情報、パッチ未適用のソフトウェア、サードパーティに起因する脆弱性─が標的選定においてますます中心的な要素になりつつあるという、業界全体でのより広範な見解とも一致しています。特にAIツールの活用によって、新規・既存を問わずランサムウェアグループの運用コストが下がっている点も、この傾向を後押ししています。
𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 ─ 2026年、どれが最適か? コスト、自動化、対応力を比較: 無料ガイドをダウンロード
翻訳元: https://gbhackers.com/2026-ransomware-report/
