ランサムウェア週次動向 — 週内191件、thegentlemenが約3時間40分で33件を掲載

2026-10-11T11:21:56.061843+00:00

今週（10/4〜10/10、UTC基準）、ダークウェブのランサムウェアリークサイトで新たに掲載が確認できた組織は191件。

今週は、thegentlemen が10/6の約3時間40分に33件を集中的に掲載したほか、新興グループ umbra による教育機関への連続掲載、国内では小池酸素工業が自社公表済みの掲載が目立った。また、米国の大手法律事務所を狙う silentransomgroup の実名掲載の多くは過去の伏字掲載と対応するため、新規掲載からは除外している。集計の過程では、過去に掲載済みだった被害組織の再登録26件などを除外した。詳細は末尾「集計方法について」を参照。

今週の全体像

週内トップは thegentlemen（37件、19.4%）。#003以降の集計で5回連続の首位で、前回#006（9/20〜9/26）の21件から大きく増えた（9/27〜10/3の週は集計していない）。2位は qilin（26件、13.6%）、3位 safepay（12件、6.3%）、4位 umbra（10件、5.2%）。5位以下は byod・eclipse・everest・akira・panzer など各5件（2.6%）が並んだ。

thegentlemenの37件のうち33件は、10/6のUTC 18:37〜22:15（約3時間40分）にまとめて掲載された（ransomwatchの掲載時刻による）。safepayの12件のうち10件も、10/5のUTC 18:26〜27（4件）と19:34〜39（6件）に分かれて集中している。

セクター別ではManufacturing（30件、15.7%）が最多、Technology（21件、11.0%）、Healthcare（20件、10.5%）、Professional Services（19件、9.9%）、Education（18件、9.4%）が続いた（Other=23件・12.0%、Unknown=19件・9.9%。業種を表さない文字列はUnknownに含めた）。国別はUS（57件、29.8%）が最多（Unknown=25件・13.1%）、次いでDE（9件、4.7%）、CA（8件、4.2%）。いずれも観測対象リークサイト・アカウント側の報告バイアスを含む可能性があり、実際の被害国分布と一致するとは限らない。

米国の大手法律事務所への掲載（silentransomgroup）

silentransomgroup（Silent Ransom Group、別名Luna Moth）は10/5、米国の大手法律事務所を含む複数の組織を、10/5〜10/8にかけて掲載した。同グループは米国の法律事務所を標的としていると、FBIのIC3が2025年に注意喚起している（IC3）。被害組織名をまず伏字（イニシャルのみ）で掲載し、のちに実名を公開する運用をとっているとみられ、データソースによっては同グループが「leakeddata」という別名で記録されている。

今週の実名掲載のうち3組織は、過去の伏字掲載と対応するとみられる。たとえば Sheppard, Mullin, Richter & Hampton は、伏字「S... M...」が9/2に掲載済みだった。ほかの2組織も8月下旬〜9月初旬の伏字掲載とイニシャルが一致する。このため#006の基準に従い、これらと、そのうち1組織の伏字とみられる同週の掲載1件は、今週の新規掲載には含めていない（伏字初出と実名の対応は、イニシャルの一致による推定である）。一方、対応する過去の伏字掲載を確認できなかった実名1件と、伏字1件は新規掲載として計上している。

Sheppard Mullinについては、同事務所に対する集団訴訟が10/7に提起されたと、10/8に報じられている。8月に発生したサイバー攻撃で、少なくとも1,000人の氏名と社会保障番号が盗まれたと訴状は主張している（Law360 Pulse）。ただし、報道でも、この攻撃とsilentransomgroupとの関係は確認できていない。ほかの事務所については、公表や主要メディアの独立報道を確認できなかったため、名称を記載しない。

新興グループ umbra と byod

umbra は今回の対象週より前のDBに観測がなく、今週初めて確認された。10件のうち5件はエジプトとインドの大学・教育機関（エジプトの工科大学・大学・大学の学部、インドの国立工科大学と私立大学）で、ほかに米国・南アフリカ・フランスの企業が各1件含まれる。各機関の公表や独立報道を確認できていないため、機関名は記載せず、リークサイト上の主張があったという事実のみを記録する。

byod も履歴ゼロの新興グループで、5件が確定集計に入った。米国の通信大手や暗号資産取引所を名乗る掲載を含むが、独立した裏付けは確認できていない。なお、byodの名義で対象週内の掲載と判定された11件のうち6件は、リークサイトの連絡手順の説明文（「Create an account.」「Paste our Session ID」など）が被害組織名として取り込まれたもので、除外した。

著名企業名を名乗る掲載について

termite名義で、世界的な企業の名称が10/6（UTC）に掲載された。この件数は集計に含まれている。ただし、termite名義の掲載には未検証の被害者主張が多いと複数のセキュリティメディアが指摘しており、本件でも侵入の証拠サンプルや規制当局への通知は報じられていない。当該企業からの公表もないため、企業名は記載しない。

そのほか、thegentlemenの10/10の掲載にも、知名度の高い飲食チェーンと同名の組織があった。別法人との区別がつかないため、名称を記載せず、掲載日を独立に確認できないため確定集計からも除外している。

日本企業について

country属性が「JP」と記録された新規掲載を3件確認した。

exitium のリークサイトに10/10（UTC 14:31）に掲載された「KOIKE Sanso Kogoyo Co. Ltd.」（原文ママ）は、産業ガス機器メーカーの小池酸素工業株式会社と判断した。同社は10月6日、10月5日に自社へのサイバー攻撃の可能性を認識したとして、外部専門家・警察を含む関係当局と連携して調査していると公表している（同社発表）。自社公表が確認できたため実名を掲載する。事実関係、影響範囲、情報漏えいの範囲はいずれも調査中とされ、リークサイト側の窃取データ量などの主張は確認されていない。
残る2件（qilinの1件、black xの1件）は、自社公表や主要メディアの独立報道を確認できなかった。このうちblack xの1件は、国属性が正しいか自体が確認できていない。名称は記載しない。

集計外の動き：IDCFクラウドへのランサムウェア攻撃

リークサイトへの掲載ではないため上の集計には含めないが、今週の国内の大きな動きとして、IDCフロンティアの「IDCFクラウド」の事案に触れておく。なお、リークサイトに掲載がないことは、データが窃取されなかったことを意味しない。

10/7の3時40頃に始まった障害について、同社はランサムウェア攻撃によるものと公表し、影響は495の企業・自治体に及ぶとしている（IDCフロンティア第2報、Impress Watch）。10/8の第3報は、東日本リージョン1の4ゾーンについて、データの取り出しや復元が困難な見通しとし、復元は利用者自身が保持するバックアップからのみ可能として、別環境での再構築を案内している（第3報）。10/9の第4報では、10/7午前9時に設置した緊急対策本部の体制や、親会社ソフトバンクとの連携が示された（第4報）。

侵入経路、攻撃グループ、復旧の見通しは、本稿の執筆時点（10/11）で公表されていない。IDCF自身は情報流出を確認したとは公表していないが、利用企業側では、JR東日本・ビューカード・JR九州が10/9、本事案の影響でメール配信用の外部サービスに保存されていたメールアドレス等が閲覧・取得された「可能性」を公表している。いずれも可能性の段階で、不正利用は確認されていない（ITmedia、NHK）。

攻撃者を名乗る側の犯行声明が管理コンソールに表示されたとされる画像が拡散し、同社も同様の画像を複数確認したと回答している（ITmedia）。ただし、そこに書かれた被害規模などの数字は攻撃者自身の主張であり、同社も調査中としている。今週のDBに同社に関する掲載の記録はない。続報があれば別途扱う。

集計方法について

006で、対象週内のデータ同士の比較だけでは過去に掲載済みの被害組織の再登録を検知できないことがわかった。今回は、DBに記録された過去全期間の(グループ, 被害者)の履歴と照合したうえで集計した。

対象週にDBへ登録された724行を(グループ, 被害者)に統合し、276件を得た。被害者名はTLDや接頭辞を除去して正規化し、グループ名の別名（leakeddata→silentransomgroup、black→black x）も統合した。
DBの過去全期間の履歴に同じ組み合わせがあるものを、再掲載として26件除外した（majinahanashi 18件、thegentlemen 2件など）。
独立ソース（ransomwatch・x_leaksite）の掲載日時が対象週より前だったものを、39件除外した。
ransomwatch・x_leaksiteによる裏付けがないransomlook単独の9件を除外した。このうち、termiteのURL形式の2件と3am（threeam名義）の1件は、別表記で既に集計済みの重複、endzoneの1件は声明文の見出しで、掲載日を独立に確認できないのは5件（5件の中に、著名な飲食チェーンと同名の1件を含む）。
byodの声明文の断片6件を、被害組織ではないとして除外した。
silentransomgroupの今週の掲載8件のうち5件を除外した。過去の伏字掲載とイニシャルが対応する実名4件（うち1組織は表記違いで2件）と、その1組織の伏字とみられる同週の掲載1件である。対応する伏字のない実名2件と伏字1件は新規として計上した。

以上の結果、276件から、再掲載26件、掲載日が対象週より前の39件、ransomlook単独分9件、声明文の断片6件、silentransomgroup分5件を除外し、確定191件となった。実際の被害を否定するものではない。

過去の伏字掲載との照合はイニシャルの一致に基づく推定であり、確定ではない。また、今週の著名な組織の掲載のうち、独立報道を確認できていないものは、本稿では名称を記載していない。

データソースについて

集計はransomwatch・ransomlook・X上のランサムウェアリークアカウント群（ThreatMon経由）を突き合わせたもの。ここに掲載された情報は、いずれも攻撃者側リークサイトに既に公開されている情報であり、この記事はその周知・注意喚起を目的としている。実際の侵害範囲・影響については、各社の公式発表を確認されたい。