2026年第2四半期ランサムウェア総括：Qilin、Akira、LockBit5が主導

2026年第2四半期 新たなランサムウェア勢力図

ランサムウェアは減速しておらず、単に顔ぶれが入れ替わっただけだ。脅威インテリジェンス企業Brandefenseの新たなレポートは、2026年第2四半期を支配した上位5つのランサムウェアグループとして、Qilin、TheGentlemen、Akira、DragonForce、LockBit5を挙げている。Brandefense独自のサイバー脅威インテリジェンス（CTI）追跡に基づくこの分析は、現在最も活発なグループがどこか、ひいてはどの組織や個人が最も被害を受ける可能性が高いのか、セキュリティチームや一般ユーザーにスナップショットを提供する。

ここ数年ランサムウェアのニュースを追っている人にとっては聞き覚えのある名前ばかりだろうが、その根強さが示す重要な事実がある。それは、テイクダウンや法執行機関の圧力だけでは、こうした活動を完全に止められないということだ。代わりにブランドは再構築され、アフィリエイトは新たなプラットフォームへ移行し、Ransomware-as-a-Service（RaaS）モデルは、以前からある名前や刷新された名前の下で新たなキャンペーンを次々と生み出し続ける。LockBit5は、過去の妨害努力にもかかわらず何度も再浮上するフランチャイズの明白な例だ。

数字の背後にある5つのグループ

Brandefenseが追跡した5つのグループは、それぞれ独自のアフィリエイトネットワーク、標的の好み、交渉スタイルで活動しているが、現代のランサムウェアを定義づける共通の手口を共有している。すなわち、アクセスを獲得し、データを窃取し、システムを暗号化し、情報が漏洩するか業務が停止する前に被害者を支払いへと追い込む、というものだ。

ここで、プライバシーへの影響が無視できなくなる。今日のランサムウェアは、もはやファイルをロックするだけではない。グループはますますデータ窃取をてことして利用し、中には「三重恐喝」と呼ばれるさらに踏み込んだ手口に進むものもおり、被害者の顧客やパートナーに直接接触するなどの追加の圧力戦術を重ねてくる。このエスカレーションが実際にどのように機能するかを詳しく知りたいなら、三重恐喝ランサムウェアに関する過去の記事で、攻撃者が単なる身代金要求を超えて、どのように盗んだデータを武器化するかを詳しく解説している。

しかし、すべてのグループが同じ手法を取るわけではない。一部のキャンペーンはデータ窃取の要素を完全に省き、暗号化のみのアプローチに回帰している。そのバリエーションについては、Jadepufferの暗号化のみのランサムウェアへの回帰に関するレポートで取り上げた。Brandefenseの2026年第2四半期の調査結果でリードする5つのグループの多様性は、まさにこの現実を反映している。もはや単一のランサムウェアのテンプレートはなく、異なる攻撃者が組み合わせて使う共通のツールキットがあるだけなのだ。

プライバシーこそが真の戦場である理由

現在、ほぼすべてのトップクラスのランサムウェア活動に共通する糸は、初期アクセスだ。攻撃者は、新しいエクスプロイトを書く必要がほとんどない。盗んだ認証情報で事足りるからだ。最近の業界分析は、侵害されたログイン情報がソフトウェアの脆弱性を抜き、ランサムウェアの好まれる侵入口になりつつあると指摘している。この変化は、Sophosによる侵害されたログイン情報に関する調査結果の記事で詳述した。その傾向と並行して、インフォスティーラー型マルウェアは、攻撃者にとって静かながら重要なサプライチェーンとなり、ログイン認証情報を大量に収穫し、後にまさにこれらのランサムウェアグループが実行する侵入に姿を現す。侵害原因の首位をフィッシングから奪ったインフォスティーラーログに関する記事では、このパイプラインがどのように機能するかを説明している。

これがプライバシーにとって重要なのは、ランサムウェアを根本的に認証情報とデータ保護の問題として捉え直すからだ。単なるエンドポイントセキュリティの問題ではない。複数のアカウントで使い回されるパスワード、感染したデバイスに放置されたセッショントークンは、どれもQilin、Akira、DragonForceといったグループが悪用する足がかりになり得る。被害者は大企業だけに限らない。ランサムウェアグループが暗号化の前にデータを窃取する場合、従業員、顧客、患者の個人情報が、身代金が支払われたかどうかに関わらず、てこの一部となることがよくある。

あなたにとっての意味

読者のほとんどは、LockBit5やTheGentlemenから企業ネットワークを直接防御する立場にはないだろうが、その下流の影響は誰にでも及ぶ。もしあなたが取引している企業がこれらのグループの標的になった場合、アカウントの認証情報から財務詳細に至るまで、あなたの個人データが恐喝プロセスの一環として暴露されたり漏洩したりする可能性がある。Stadler Railが身代金支払いを拒否した事例のように、一部の被害者は支払いを拒否する。つまり、結果がどうあれ、盗まれたデータが公開されてしまう可能性があるのだ。

現実的な教訓は、ランサムウェア防御は、組織にとっても個人にとっても、基本的な認証情報の衛生管理から始まるという点だ。一意で強力なパスワード、多要素認証、（しばしば海賊版ソフトウェアや悪意あるダウンロードを通じて配信される）インフォスティーラー型マルウェアへの警戒が、こうしたグループの侵入口となる確率を下げる。

実践可能な対策

• 複数のサービスで使い回しているアカウントはすべて負債と見なすこと。ランサムウェア集団は、自らハッキングするよりも、認証情報を購入したり収集したりすることをますます好んでいる。
• 侵害されたログイン情報が依然としてこうした攻撃の主要な侵入口であるため、利用可能なすべての場面で多要素認証を有効にすること。
• 取引のあるあらゆる組織からの侵害通知に注意し、盗まれたデータがランサムウェアの交渉の一部となることがいかに多いかを踏まえ、それらを真剣に扱うこと。
• 現在どのランサムウェアグループが活動しているかを常に把握すること。状況を知ることで、組織も個人も、事後に対応するのではなく、リスクを予測しやすくなる。

Brandefenseが描いた2026年第2四半期のランサムウェア情勢は、この脅威が消え去るのではなく、進化していることを裏付けている。その一歩先を行くには、単に名前だけでなく、これらのグループがどのように活動しているかに注意を払う必要がある。