ランサムウェアレポート:標的となるVPN、そしてAI攻撃

NCCグループによると、ランサムウェア攻撃は6月まで4か月連続で前年同月比増加を記録したものの、2026年第2四半期の攻撃件数は前四半期比でわずか3%の増加にとどまりました。VPNなどのネットワークエッジデバイスは、依然として初期侵入の主要な標的となっています。さらに、自律型AIエージェントも新たな脅威として登場しています。

以下、最近のランサムウェアを巡る動向をまとめます。

リスクにさらされている業界

NCCグループの報告によれば、第2四半期にランサムウェア集団が最も標的にした業界は工業セクター(30%)で、次いで一般消費財セクター(24%)、情報技術(11%)と続きました。医療分野(10%)は4番目に狙われた業界で、4月にマサチューセッツ州のシグネチャー・ヘルスケアを襲った攻撃では救急搬送業務に支障が生じたほか、がん治療の予約がキャンセルされる事態となり、ブロックトン病院は数週間にわたりダウンタイム手順での対応を余儀なくされました。

Comparitechのレポートによると、政府機関は2026年上半期に確認済み89件、未確認98件のランサムウェア攻撃に見舞われました。最も標的となったのは米国の政府機関で、全体の31%を占めましたが、これは2025年下半期と比べて23%少ない割合です。Comparitechの調査では、過去半年で攻撃が増加している業界として、運輸(52%)、医療(35%)、小売(28%)、テクノロジー(23%)が挙げられています。

最も活発な脅威アクター

ランサムウェア集団のQilinとThe Gentlemenは、NCCグループによる2026年第2四半期の攻撃件数ランキングとComparitechによる2026年上半期のランキングの双方で1位と2位を占めました。ただしComparitechの指摘によると、Qilinの分派集団とされるThe Gentlemenは、6月単月のデータリークサイト上で主張された被害者数においてQilinを上回っています。サイバーレジリエンスプラットフォームを手がけるHalcyonは最近、The Gentlemenについて、これまで追跡してきた中で「最も急速に規模を拡大しているランサムウェア脅威の一つ」だと評しています。

Akira、DragonForce、Lockbit、INCが両ランキングの上位6位までを占める形となりました。NCCグループはまた、注目すべき新興集団としてKryBitを挙げています。KryBitは2026年3月に初めて観測されたグループで、Windows、Linux、VMware ESXi、NASデバイスを専門に狙うランサムウェア・アズ・ア・サービスとして運営されています。Halcyonによれば、KryBitの活動モデルは同グループに著しい成長の可能性を与えているとしています。

攻撃手法(TTP)の傾向

QilinとThe Gentlemenの双方が、最近「EDRキラー」ツールを展開していることが、それぞれCisco TalosとESETの報告により確認されています。

こうしたツール自体は目新しいものではなく、PCやサーバー上のエンドポイントセキュリティエージェントを回避、あるいは無効化しようとするものです。ただし注目すべきは、アフィリエイトが自前でEDRキラーを開発または調達する必要がある点です。防御側が使用するプラットフォームの幅広さを考えると、これは決して容易な取り組みではなく、脅威集団の技術的成熟度が高まっていることの表れと言えます。

NCCグループによると、ネットワークエッジの脆弱性や認証情報、特にVPNの悪用がランサムウェア集団の間で増加しており、Akira、Qilin、The Gentlemenがこの主要な侵入経路を多用しているとしています。標的となっているデバイスには、Fortinet、Citrix、Check Pointの製品が含まれます。Arctic Wolfは最近、Qilinによる進行中のキャンペーンとして、Palo Alto NetworksのGlobalProtect VPNの脆弱性を突く攻撃を発表しました。

AI動向

Sysdigの研究者は、JadePufferと名付けられた自律型AIエージェントの活動内容を詳しく報告しています。このエージェントは、初期侵入からデータベースの窃取・恐喝に至る侵入チェーン全体を、LLMを用いて動作を適応させながら完遂し、600件を超える連携したペイロードを実行しました。このエージェントは認証情報を収集し、永続化の仕組みを確立、内部サービスをマッピングした上で設定レコードを暗号化し、元のテーブルを削除、さらにビットコインでの身代金要求を残していきました。Sysdigの研究者はこれを「エージェント型ランサムウェアの初めての実例として記録された事例」と評しています。

関連記事:

• ランサムウェア集団、ネットワークエッジへの攻撃を強化し侵入経路を確保
• Microsoft、オンデマンドでの破壊を目的としたバックドア「GigaWiper」を発見
• The Gentlemenランサムウェアが突きつけるID管理と復旧対策の課題
• AIエージェントが自律的にネットワークをハッキング、その場で戦術を適応させ身代金を要求
• CitrixBleedに類似した新たなNetScalerの欠陥、実環境での悪用が確認される
• ランサムウェア仲介業者が使用する新たなバックドア「Mistic」に警戒を
• 「FortiBleed」キャンペーンで世界中の75,000台のFortinetファイアウォールが露呈
• Check Point、旧式VPNプロトコルを悪用したランサムウェア関連攻撃に警告