Ransomware-angrep mot organisasjoner i Japan økte med 4,7 % fra år til år i første halvdel av 2026, ifølge ny trusseletterretningsforskning. Rapporten identifiserer The Gentlemen som den mest aktive ransomware-gruppen som opererer mot japanske mål, mens en rivaliserende operasjon kalt Qilin ser ut til å inkorporere kunstig intelligens i sin angrepsarbeidsflyt. Små og mellomstore bedrifter absorbrete den overveldende majoriteten av skadene, et mønster som fortsetter å endre hvem som trenger å bekymre seg for ransomware og hvorfor.

The Gentlemen's raske fremvekst på lekkasjesider

Forskningen peker ut The Gentlemen som den enkeltstående mest produktive ransomware-gruppen som retter seg mot japanske organisasjoner i første halvdel av 2026, med 14 dokumenterte hendelser knyttet til gruppen. Det som skiller seg ut er veksttakten: oppføringer på gruppens mørkebørs-lekkasjeside mer enn doblet seg mellom januar og juli. Lekkasjesider er hvor ransomware-operatører legger ut stjålne data fra ofre som nekter å betale, både som bevis på et brudd og som press for å få utbetaling. En rask økning i oppføringer antyder at The Gentlemen utvidet mållisten sin, forbedret inntrengingsteknikkene sine, eller begge deler, i løpet av et relativt kort vindu.

Etterforskere undersøkte infrastrukturen bak The Gentlemen's operasjoner nøye, et steg som er viktig fordi forståelsen av hvordan en gruppe hoster lekkasjesidene sine, administrerer kommando- og kontrollservere og forhandler med ofre, ofte avslører mønstre som hjelper forsvarere med å forutse fremtidige angrep i stedet for bare å reagere på dem i etterkant.

Qilin's andreplass og tegn på AI-assistanse

Qilin rangerte som den nest mest aktive gruppen som retter seg mot japanske organisasjoner, men det mer bemerkelsesverdige funnet er bevis på at gruppen kan bruke AI-verktøy et sted i operasjonene sine. Den opprinnelige forskningen spesifiserer ikke nøyaktig hvilket stadium av angrepskjeden som involverer AI, men den bredere implikasjonen er betydelig. Ransomware-grupper har historisk sett vært avhengige av manuell rekognosering, tilpasset skripting og menneskelige forhandlere. Hvis AI nå assisterer med noen del av den prosessen, enten det er å identifisere verdifulle mål, lage mer overbevisende phishing-lokkemat eller automatisere forhandlingsprat, kan det tillate mindre kriminelle grupper å operere med den effektiviteten som tidligere var forbeholdt godt finansierte grupper.

Dette gjenspeiler en trend som allerede er dekket i Cisco Talos' bredere analyse av Japans ransomware-økning, som fant at det totale angrepsvolumet økte selv om antallet aktive grupper endret seg. AI-assisterte operasjoner, hvis bekreftet, vil bidra til å forklare hvordan angripere opprettholder høy produksjon uten en proporsjonal økning i antall ansatte.

Små bedrifter forblir det primære målet

Kanskje den mest konsekvensrike statistikken i rapporten er at organisasjoner med kapital under 1 milliard yen, omtrent terskelen Japan bruker for å klassifisere små og mellomstore bedrifter, utgjorde 80 % av alle ransomware-ofre i første halvdel av 2026. Dette tallet understreker en trend sikkerhetsforskere har flagget i årevis: angripere foretrekker i økende grad mindre organisasjoner som ofte mangler dedikerte sikkerhetsteam, modne sikkerhetskopieringsrutiner eller budsjett for avanserte overvåkingsverktøy.

SMB-er er attraktive mål nettopp fordi de kan være like lukrative som større firmaer, spesielt hvis de har sensitive kundedata eller fungerer som leverandører til større selskaper, mens de tilbyr langt mindre motstand. Den samme dekningen av Japans ransomware-data for H1 2026 bemerker at denne ubalansen legger en uforholdsmessig byrde på virksomheter som er minst utstyrt til å absorbere den.

Hva dette betyr for deg

Hvis du driver eller jobber for en mindre bedrift i Japan, eller hvor som helst med et lignende SMB-landskap, er denne rapporten et direkte signal om at ransomware-grupper ser på deg som et levedyktig mål, ikke en ettertanke. Ransomware-angrepene i Japan som er dokumentert i denne perioden var ikke isolerte hendelser; de gjenspeiler et aktivt, utviklende kriminelt økosystem som skalerer operasjonene sine, potensielt med AI-assistanse, mens de fortsetter å prioritere organisasjoner med begrenset forsvar.

For individuelle ansatte og kunder i berørte organisasjoner strekker risikoen seg utover virksomheten selv. Lekkede data fra ransomware-hendelser inkluderer ofte personopplysninger, finansielle poster og intern kommunikasjon, alt som kan drive identitetstyveri eller oppfølgings-phishing-kampanjer lenge etter at det første bruddet falmer fra overskriftene.

Handlingsrettede råd

Noen få praktiske tiltak kan meningsfullt redusere eksponeringen for den typen aktivitet som er beskrevet i denne rapporten:

  • Oppretthold offline eller uforanderlige sikkerhetskopier som ransomware ikke kan nå eller kryptere, og test gjenoppretting regelmessig.
  • Bruk multifaktorautentisering på tvers av e-post, fjern tilgang og administrative kontoer, siden kompromitterte legitimasjoner fortsatt er et vanlig inngangspunkt.
  • Overvåk for uvanlig kontaktivitet eller dataoverføringer, spesielt rundt perioder utenfor arbeidstid når inntrenginger er vanskeligere å oppdage.
  • Hvis organisasjonen din er navngitt på en ransomware-lekkasjeside, anta at tilknyttede personlige eller finansielle data kan være eksponert og ta skritt som kredittovervåking eller tilbakestilling av passord deretter.

Ransomware-grupper som The Gentlemen og Qilin bremser ikke ned, og den økende bruken av automatisering og AI i operasjonene deres antyder at angrepsvolumet kan fortsette å klatre. Å holde seg informert om hvordan disse gruppene opererer, og hvem de retter seg mot, forblir et av de mest praktiske forsvarene tilgjengelig for både bedrifter og privatpersoner.