ランサムウェア週次動向 — 週内164件、thegentlemenが2週連続首位／集計方法を見直し
今週（9/6〜9/12）、ダークウェブのランサムウェアリークサイトで新たに掲載が確認できた組織は164件。
今回、通常の重複除去に加えて「本システムが検知した日時」（discovered_at）だけでなく実際の掲載日時（published_at）まで遡って裏取りする再検証を行った。その結果、従来の集計方法（discovered_at基準）では260件だったところ、実際には以前の週に既に掲載されていた被害者が今週まとめて重複登録されていたものが多数含まれていたと判明し、これらを除外している。詳細は末尾「今回、集計方法を見直した理由」を参照。
今週の全体像
週内トップは thegentlemen（21件、12.8%）。前週（#003）も同グループが首位（26件・9.2%）だったが、#003時点ではまだ今回のような掲載日ベースの再検証を行っておらず、集計方式が異なるため%は単純比較できない。方式は違うものの、2週続けてthegentlemenが最多という結果になっている。2位 krybit（12件、7.3%）、3位 safepay（11件、6.7%）、4位は direwolf（10件、6.1%）・auditteam（10件、6.1%）が同数で並び、6位 akira（7件、4.3%）と続いた。
なお、従来の集計方法（検知日時基準）では単独首位（41件）に見えていた storm は、後述の再検証の結果、対象週内の掲載と確定できたのは5件にとどまり、最終的な確定集計では上位6グループに入らなかった。
qilin は今週6件（3.7%）にとどまった。件数上は#001以来の低下傾向と整合的だが、#001〜#003は今回とは異なる集計方法によるものなので、%の推移をそのまま連続したトレンドとして読むことはできない。
セクター別ではManufacturing（31件、18.9%）・Professional Services（20件、12.2%）・Healthcare（15件、9.1%）が上位（Unknown=19件・11.6%）。国別はUS（47件、28.7%）が引き続き最多（Unknown=16件・9.8%）だが、観測対象リークサイト・アカウント側の報告バイアスを反映している可能性があり、実際の被害国分布と一致するとは限らない。
なお、上記164件とは別に22件は「対象週内にDBへ初めて登録されたが、独立ソース（ransomwatch・X経由リークアカウント）による掲載日の裏付けが取れなかった」ものとして保留し、今週の確定集計には含めていない。ランサムウェア被害である可能性自体を否定するものではないが、掲載日が対象週内かどうか確認できないため区別している。このほか、対象週内にDBへ登録されたが実際には対象週より前の掲載と判明したものが計74件あり、これらは重複登録として完全に除外した（内訳は後述）。
日本企業について
country属性が「JP」と記録されたリークが2件あり、いずれも掲載日は対象週内と確認できた（＝上記164件の確定集計に含まれる）。ただし、これは掲載日についての裏付けであって、被害組織の実体そのものを裏付けるものではない。実名の掲載は両方とも見送る。
- qilin のリークサイトに日本の小売関連事業者とみられる掲載があった。ransomware.live・RedPacket Security・HackNotice等の自動収集トラッカー複数がこの掲載を転記しているが、これらはいずれもリークサイトの主張をそのまま横流ししているだけで、独立した報道や当該企業自身による公表は確認できなかった。本記事の命名方針（独立報道／自社公表を確認できた場合のみ実名を出す）に照らし、今回は実名を伏せる。
- auditteam のリークサイトには "kijp" という掲載があった。これは我々の集計側の伏せ字ではなく、auditteam自身が被害組織名を伏せて掲載している（同グループの他の掲載も"WiIT"のように同様の伏せ方をしており、このグループの常套手段とみられる）。実体は不明。なお、country=JPのタグ自体もリークサイト側の記載に依存しており、過去に実体と異なっていたケース（#003参照）もあるため、あくまで参考情報として扱う。
今回、集計方法を見直した理由
003では group_name の表記ゆれ（"thegentlemen"/"the gentlemen"）や victim_name のドメイン有無による二重計上を見つけて補正したが、今回はさらに別の問題が見つかった。これまで（#001〜#003）は「対象週内にDBへ検知（discovered_at）された件数」をそのまま新規掲載数として集計していたが、一部グループで検知日時と実際のリークサイト掲載日が大きくずれているケースを発見した。
具体的には、データ取得元の一つ ransomlook が9月上旬に過去分の再クロールを行ったとみられ、スクレイプした時刻をそのまま「掲載日時」としてDBへ記録する仕様のため、2026年8月にはすでに掲載済みだった被害者のレコードが、あたかも今週新規登録されたかのように再びDBへ挿入されていた。この問題は kazu・storm・black nevas の3グループで特に目立った。
そこで今回、対象週より前の期間（7月中旬〜対象週開始日）までさかのぼってDBを確認し、 1. まず (グループ名, 被害者名) の組み合わせで見て、対象週より前にすでにDBへ登録されていた組み合わせは「重複登録」として完全に除外する 2. 残った、対象週内にDBへ初めて登録された組み合わせについて、独立した掲載日時情報と突き合わせ、対象週内と確認できたものを「確定」、対象週より前と判明したものは同じく「重複登録」として除外、確認できなかったものを「保留」に分類する
という2段階で再集計した。結果、確定164件・保留22件・重複登録として除外したもの計74件（うち1の時点で対象週より前と分かったものがkazu・storm・black nevasの3グループだけで54件、2の時点で独立した掲載日時から対象週より前と判明したものが他に8件）となった。
kazuの17件（重複除去後）のうち10件は、対象週より前（8月）にすでに登録されていたと判明し除外した。このうち4件は個別にWeb検索でも実際の掲載日が2026年8月23日だったと確認できた。残り7件のうち1件（MSM Unify）は確定、6件は保留とした。storm は41件中36件が同様に除外され、5件のみが確定。black nevas も14件中9件が除外され（うち1件は8月25日付と個別確認）、5件が保留となった。
この再検証は、週次の自動データ抽出パイプラインの通常処理ではなく、今回手作業で行ったもの。パイプライン側の恒久対応は別途検討中で、次回以降に反映予定。
データソースについて
集計はransomwatch・ransomware.live・ransomlook・X上のランサムウェアリークアカウント群（ThreatMon経由）を突き合わせたもの。ここに掲載された情報は、いずれも攻撃者側リークサイトに既に公開されている情報であり、この記事はその周知・注意喚起を目的としている。実際の侵害範囲・影響については、各社の公式発表を確認されたい。