ランサムウェア週次動向 — 週内185件、thegentlemenが3週連続首位／データソースの検知日時と掲載日のズレが判明

2026-09-20T00:00:00+09:00

今週（9/13〜9/19、UTC基準）、ダークウェブのランサムウェアリークサイトで新たに掲載が確認できた組織は185件。

前回（#004）に続き、DBの検知日時（discovered_at）ではなく実際の掲載日時（published_at）ベースで対象週内の新規掲載かどうかを再検証しているが、今回さらに、データソースの一つ（ransomlook）の「掲載日時」フィールドが実際には自動収集システムがクロールした時刻をそのまま記録しているだけで、真の掲載日を表していないことが判明した。他の独立ソース（ransomwatch・x_leaksite、いずれも実際の投稿時刻を保持）による裏付けがないransomlook単独の掲載については、個別に外部照合を行い、裏付けが取れなかったものは実際の被害の有無にかかわらず今週の確定集計から除外している。詳細は末尾「集計方法について」を参照。

今週の全体像

週内トップは thegentlemen（30件、16.2%）。#003・#004に続き3週連続の首位。2位は qilin（29件、15.7%）で、わずか1件差の僅差だった。3位は akira・n0n（新興グループ、詳細は後述）が10件（5.4%）で同数、5位 safepay（9件、4.9%）、6位 storm（8件、4.3%）と続いた。

panzer は当初の自動集計では上位に見えていたが、外部照合の結果、4件（Agencia Estatal de Meteorología・Konica Minolta Bulgaria・Financière d'Uzès・Aqualogus）が実際には9/8〜9/11の既存掲載で、データソース側の再クロールにより今週分として紛れ込んでいたと判明した。除外後は7件（3.8%）にとどまる。inc ransom も同様の理由で1件（Trulite Glass & Aluminum Solutions、実際の掲載は8/4）を除外したほか、裏付けを確認できなかった5件も除外し、4件（2.2%）にとどまっている（詳細は後述）。

セクター別ではManufacturing（28件、15.1%）が最多、Technology（21件、11.4%）、Professional Services（19件、10.3%）が続いた（Unknown=15件・8.1%）。国別はUS（55件、29.7%）が最多（Unknown=26件・14.1%）、次いでDE（10件、5.4%）。いずれも観測対象リークサイト・アカウント側の報告バイアスを含む可能性があり、実際の被害国分布と一致するとは限らない。

なお、storm の8件のうち5件は9/18にまとめて掲載されたもので、内訳は銀行3社（First Secure Bank and Trust・The State Bank・First Secure Community Bank）・投資顧問1社（Johnson Investment Counsel）・鋳造業1社（American Casting Company）だった。safepay も9/15に9件がまとめて掲載されている（うち1件は後述の両毛システムズ）。いずれも非ランサムウェア疑いのキーワードには該当せず、通常の一括投入とみられる。また、thegentlemen の30件は9/14の午後（UTC 14時台〜18時台、約3時間40分）にまとめて掲載されたものだった。

新興グループ n0n について

n0n は今回の対象週にDBで初めて観測された新興グループで、初登場から10件（5.4%）という規模で早くも上位に入った。複数の脅威インテリジェンス系メディアが、United Federation of Teachers（米国の教員組合）やArgentem Creek Partners（米投資会社）といった対象週内の著名な被害を報告している（このほかFanaticsも同グループの被害として報じられているが、これは対象週の翌日9/20の掲載）。このほかendzone・spiralsも各2件、同週に初めて観測されたグループだが、件数が少ないため詳細は割愛する。なお、この節の被害規模・件数の主張はいずれも各リークサイト・報道側の情報で、今回のDB集計では検証していない。

日本企業について

country属性が「JP」と記録された掲載を5件確認した（このほか1件、auditteamの掲載は掲載日が対象週より前と判明したため今週の新規掲載としては数えていない）。5件のうち、自社公表・独立した主要メディア報道の両方を確認できたのは1件のみで、実名の掲載はその1件に限定した（このため、日本企業に限っては米国・欧州企業より厳しい実名掲載基準を適用していることになる）。

safepay のリークサイトに掲載された「ryomo.co.jp」は、株式会社両毛システムズ（群馬県桐生市のシステムインテグレーター）と判断した。同社は2026年8月14日に社内システムへの不正アクセスを確認、8月19日付の第2報でランサムウェアによる攻撃であることを認めている（同社発表、ITmedia NEWS等が報道）。発表時点では情報漏えいの事実は確認されていないとしている。自社公表・独立報道の両方が確認できたため実名を掲載する。
残る4件（metaencryptorの掲載1件・vexyの掲載1件・thegentlemenの掲載2件）は、脅威インテリジェンス系メディアによるリークサイトの転記のみで、いずれも被害組織自身の公表や主要メディアの独立報道は確認できなかった。業種のみ記載すると、鉄鋼系の大手製造業1件、オフィス機器販売業1件、産業用ロボット部品メーカー1件、農業法人1件。
農業法人とした1件は、country=JPと記録されていたが、実際には日本企業ではなく米国の農業法人だったことを個別に確認した（このため国別集計のJP=5件には、実体が米国の1件が含まれている）。country属性はリークサイト側の記載に依存しており、過去にも実体と異なっていたケースがある（#003参照）。

集計方法について

前回（#004）は複数の独立ソースを個別に突き合わせて掲載日を裏付ける2段階の再検証を行ったが、今回はさらに一段深い問題が見つかった。データソースの一つ（ransomlook）から取得している「掲載日時」は、今回取得した190行全てで「本システムが検知した日時」と完全に一致しており、実際にはクロールした時刻をそのまま記録しているだけで、真の掲載日を表していない。このため、他の独立ソース（ransomwatch・x_leaksite）による裏付けがないransomlook単独の掲載については、機械的な日付比較だけでは対象週内かどうか判定できない。

そこで今回は以下の手順で再集計した。

group_nameの単純な正規化（英数字以外を除去）だけでは統合できない表記ゆれを手動で確認し、統合した。具体的には「vexy」/「vexy ransomware」、「arcus」/「arcus media」、「booba team」/「booba project」、「dls」/「black nevas」、「cinder」/「iah647」/「iah6477」が、被害者名の突き合わせにより同一グループの別名義だったことを確認した。あわせて被害者名側でも、auditteamの一部掲載に付く"AUDIT ENTITY: "という接頭辞の有無、一部ソースでの被害者名の文字数切り詰め（akiraの掲載2件）、shadowbyt3の期限延長時の再掲載名義違いによる二重計上を見つけて統合している。パース失敗行（"SIZESTATUSHOSTINGNAME"等）5行も除外した。ここまでの処理後、DBへ新規登録された(グループ, 被害者)の組み合わせは222件だった。
同一（統合後グループ, 被害者）の組み合わせで複数ソースから重複登録されている場合、そのうち最も古い掲載日時を採用し、対象週（9/13〜9/20、UTC基準）より前であれば重複登録として除外した。この時系列判定で21件を除外した（うちauditteam・settraの2グループで13件、8月下旬〜9月上旬の掲載が今週分として再クロールされていた）。
残りのうち、ransomwatch・x_leaksiteの裏付けがないransomlook単独の掲載が16組み合わせあった。これらをransomware.live・ransomlook.io等で個別に照合したところ、6組み合わせ（storm 1件・panzer 4件・inc ransom 1件〈Trulite Glass & Aluminum Solutions〉）は対象週より前の掲載と確定でき、ransomhouseの1件は既存掲載のステータス更新の再投稿、vexyの1件は対象週開始2分前の掲載と確定できたため、それぞれ除外した。残るinc ransom 5件・direwolf 2件・leakeddata 1件は、いずれもransomlookの検知記録以外に独立した掲載日の記録がなく（一見「別メディアが報じている」ように見えるものも、辿るとransomlookの検知イベントをそのまま転記しているだけだった）、個別に掲載日を裏付けることができなかった。実際の被害を否定するものではないが、掲載日を確認できない以上「今週の新規掲載」と断定できないため、8組み合わせすべてを確定集計から除外した。
新興グループ候補として自動検知されていた「cinder」は、上記1の処理でveritiv 1件（iah647・iah6477との二重登録）に統合されたが、規模が小さいため今回の記事では新興グループとして取り上げていない。

以上の結果、222件のうち、時系列判定で21件、個別照合で16件を除外し、確定185件となった。

データソースについて

集計はransomwatch・ransomlook・X上のランサムウェアリークアカウント群（ThreatMon経由）を突き合わせたもの。掲載日の個別照合にはransomware.live・ransomlook.io等の情報も参照した。ここに掲載された情報は、いずれも攻撃者側リークサイトに既に公開されている情報であり、この記事はその周知・注意喚起を目的としている。実際の侵害範囲・影響については、各社の公式発表を確認されたい。