過去4年間、ランサムウェアの活動は一定のパターンをたどってきました。各年を特徴づけていたのは、支配的な攻撃グループの存在、その崩壊、あるいは大規模なサプライチェーンインシデントでした。Black Kiteの「2026年版ランサムウェアレポート」は、より断片化した市場の実態を明らかにしており、複数のランサムウェア攻撃手法が同時並行で拡大している状況を記録しています。
脅威アクター別の月間被害件数の推移(出典:Black Kite)
2025年4月から2026年3月までの間に、61の新しいランサムウェアグループが市場に参入し、平均すると週に1グループ以上のペースで増えていったことになります。2026年6月までに、活動中の脅威グループの数は146にまで達しました。上位5グループが全被害者数の43.6%を占めています。
Black Kiteのチーフリサーチ&インテリジェンスオフィサーであるFerhat Dikbiyik氏は、次のように述べています。「これまでの年は、支配的な単一のランサムウェアグループや、たった一つの大規模事件によって特徴づけられることが多くありました。しかし今年は違いました。より多くのグループが市場に参入する一方で、既存の攻撃者も規模を拡大し続け、下半期には攻撃件数の増加ペースがさらに加速しました。こうした変化は、ランサムウェアを取り巻く状況の様相を根本的に変えたのです」
ランサムウェア被害の傾向と活動状況
今回の調査期間中、7,551件のランサムウェア被害が記録されました。上半期の活動は、前年の月間水準に近い状態を維持していましたが、下半期のランサムウェア被害公表件数は、上半期と比較して60%増加しています。
2025年10月から2026年3月にかけての期間は、ランサムウェア活動が持続的に増加した時期にあたります。Qilinは、被害件数において最大規模の攻撃グループとなりました。新規参入グループは、既存の攻撃者を押しのけることなく被害件数を積み増していきました。中には市場参入後まもなく大規模なキャンペーンを開始したグループもあれば、活動が縮小したり停止したりした既存グループも複数見られました。
被害の地理的分布
米国は全被害者の49.3%を占め、依然として最も標的にされている国となっています。欧州で被害の多い上位4カ国では、調査期間中に合わせて250件以上の被害が追加で記録されました。そのうち複数の国は、世界的な上位10カ国のランキングにおける順位をさらに上げています。
欧州市場全体で事業を展開する組織は、この地域におけるランサムウェア活動の拡大を考慮に入れる必要があります。米国でのリスクプロファイルを中心に据えたサードパーティリスクプログラムでは、欧州のリスクが過小評価されてしまう可能性があります。
アジアの一部地域では、増加率で見ると最大級の伸びが記録されました。同地域の複数の市場で、国別の被害件数が急増しています。
ランサムウェアの被害を最も受けている業界
製造業は依然として最も標的にされている業界であり、それに続くのが専門・科学・技術サービス業です。建設業、医療、卸売業、金融・保険業、情報産業、小売業がその次の階層として標的にされています。
被害の公表は平日に集中しており、全体の84.1%を占めています。最も活動が活発だったのは水曜日で、最も少なかったのは日曜日でした。
年間収益が5,000万ドルから1億ドルの範囲にある組織は、収益帯別で見ると最も被害者の割合が高い層となりました。年間収益が1億ドルを超える組織の割合は、前回の調査期間と比較して減少しています。
標的化のパターンは収益帯によって異なります。一部のランサムウェアグループは、狙いやすい組織に対して大量の攻撃キャンペーンを展開する一方で、より価値の高い標的に的を絞るグループも存在します。
危険信号、サプライチェーンのリスク、攻撃手法
被害組織全体を通じて、セキュリティの設定不備、インターネットに公開されたリモートアクセス、ソフトウェアの脆弱性、スティーラーログ、認証情報関連の問題、ボットネット活動などが確認されています。
サードパーティサービスは、強固な内部統制を敷いている組織であっても、ランサムウェア攻撃にさらされる原因となり得ます。SaaSプラットフォーム、ERPシステム、CRMアプリケーション、OAuthトークン、リモートアクセスツール、連携された業務用ソフトウェアは、いずれも一般的な攻撃経路となっています。
暗号化は、ランサムウェアグループが被害者に支払いを迫るための主要な手段であり続けています。データ窃取はこれに加わる第二の脅迫手段として機能しており、多くのグループが両方の手口を組み合わせています。QilinとAkiraは暗号化とデータ窃取を組み合わせることで、業務への支障を拡大させるとともに、機密データが流出するリスクを高めています。
AIは、ランサムウェアグループが偵察、フィッシング、ソーシャルエンジニアリング、そして脅迫メッセージの作成を迅速に進める手助けとなっています。参入障壁の低下により、経験の浅い攻撃者にとってもランサムウェアキャンペーンを実行しやすい環境が整いつつあります。
ボイスフィッシング、多言語を用いた誘導文、音声クローン、ディープフェイク音声は、攻撃者が従業員になりすましたり、ヘルプデスクを欺いたり、ID認証を基盤としたワークフローの弱点を突いたりする際の助けとなっています。
翻訳元: https://www.helpnetsecurity.com/2026/07/24/ransomware-attack-trends-2026-report/
