← RECON トップへ戻る ・ 記事一覧

ランサムウェア週次動向 — 週内302件、n0nが海運・港湾組織38件を一括掲載して首位に

2026-10-18T00:00:00+09:00

今週（10/11〜10/17、UTC基準）、ダークウェブのランサムウェアリークサイトで新たに掲載が確認できた組織は302件。

今週の首位は n0n（87件、28.8%）で、#003以降続いた thegentlemen の首位は5回で止まった。n0nの87件のうち38件は、10/12の約23分間に海運・港湾・物流・造船の組織をまとめて掲載したもので、海運専門メディアも報じている。ほかに、番号だけで掲載された匿名の39件が含まれる。国内では、自社公表済みの京王電鉄と佐賀大学の名が、それぞれ別グループのリークサイトに現れた（掲載と公表済みの事案が同一かは未確認）。集計の過程では、ナビゲーション文字列の取り込みや表記違いによる重複など9件を人手で除外した。詳細は末尾「集計方法について」を参照。

今週の全体像

週内トップは n0n（87件、28.8%）。2位は thegentlemen（37件、12.3%）、3位 qilin（25件、8.3%）、4位 wallstreet（15件、5.0%）、5位 orova（11件、3.6%）。以下は akira（10件）、play（9件）、lockbit5（8件）で、everest・inc ransom・新興の the seven deadly sins ほか1グループが各7件（2.3%）で並んだ。

n0nの87件の内訳は、10/12の一括掲載38件、番号付きの匿名掲載「Company #N」39件、社名つきのその他10件。一括掲載38件を除いても49件、匿名の39件を除いても48件で、いずれもthegentlemenの37件を上回る。両方を除くとn0nは10件になり、thegentlemenが首位になる。つまり今週の「首位」は、2つの特殊な掲載形態に依存している。

thegentlemenの37件は、前回（#007）の件数と偶然同じだが、今週の37件はいずれも同グループでの過去の掲載歴がなく、重複ではない。ransomwatchの掲載時刻では10/13〜10/16に分布し、約30件が10/14のUTC 14〜23時台に集中している（ransomlookが10/16 16:57にまとめて取り込んだ33件は、掲載時刻ではなくクロール時刻）。

国別はUS（91件、30.1%、「US」85件と「United States」6件の合算）が最多、Unknown（58件、19.2%）、BR（16件、5.3%）、KR（15件、5.0%）、SE（10件、3.3%）が続く。KRの15件のうち12件はn0nの掲載である。観測対象リークサイト・アカウント側の報告バイアスを含む可能性があり、実際の被害国分布と一致するとは限らない。なお業種別は、ransomlook由来の行で業種が自由記述になり集計が割れるため、今週は割愛した。

n0nによる海運・港湾組織38件の一括掲載

n0n は10/12、ransomwatchの掲載時刻でUTC 13:53〜14:16の約23分間に、海運・港湾・物流・造船などの組織38件を掲載した。ransomwatch上の国属性は18か国にわたり、日本の2組織（造船・船舶管理、フェリー）も含まれる。海運専門メディアのMaritime Executiveは、n0nが38組織を名指ししてデータ公開を予告したと報じている（Maritime Executive、The Loadstar）。

セキュリティ企業SOCRadarの分析として、要求額は約240万〜1,400万ドル、支払期限は10/19とされ、複数の組織が1つの共有システムから漏えいした可能性が高いと見ている（SOCRadar。Maritime ExecutiveとThe Loadstarも引用）。報道の時点では、掲載された組織のいずれも侵害を公には認めておらず、否定もしていない。要求額や期限、侵入経路はすべて攻撃者側の主張または分析企業の推定であり、確認された事実ではない。報道で個別に挙がった大手海運会社などを含め、各組織の公表は確認できていないため、本稿では組織名を記載しない。

残る49件のうち、Company #N と題した番号付きの匿名掲載が39件ある。10/5ごろから現れ、今週は番号の重複はなかった。業種と地域の説明のみで、組織名は特定できない。伏字掲載と同様に件数には含めるが、実体は確認できない。DBに取り込まれた番号は#1〜#88の範囲で飛びが多く（#6〜#13、#30〜#62などが未取り込み）、実際の掲載数は39件より多い可能性がある。

新興グループ hyflock と the seven deadly sins

hyflock は対象週より前のDBに観測がなかったが、実際には9/9から掲載がある（ransomwatchの掲載日による）。DB上で最初に取り込まれたのが10/13だったため新興と判定されただけで、週前に掲載されていた4件（9/9、9/29、10/1、10/10）は確定集計に含めていない。対象週のhyflock名義は自動抽出で10件あったが、水増しされていた。ナビゲーションの文字列「HOME」「LOGIN」が被害組織として登録されたほか、「leaks」「leak」付きの別表記が4件あり、3件は同週分と重複、1件は10/10掲載分の別表記だった。これらを除いた結果、確定は4件となる。セキュリティ企業WatchGuardのトラッカーは、hyflockをRaaS（Nishiの別名があるとされ、初出は2026年2月とする）と整理している（WatchGuard）。4件の中には中南米の公的機関とされる掲載が含まれるが、掲載先の公表も独立報道も確認できていないため、名称は記載しない。

the seven deadly sins もDB上は今週初めて確認された。7件はXアカウント（x_leaksite）上で、10/15のUTC 17:42に一括投稿されている。ただし、リークサイトでの初出がいつかは確認できていない。WatchGuardのトラッカーは同グループの7件すべての恐喝日を9/21としており、ransomwatchにも掲載日が9/21の同グループの1件がある（週前掲載として確定集計から除外）。一方、ransomlookの初回クロールは10/15、ransomwatchの取り込みは10/16で、7件の掲載日は他ソースでは10/15〜10/16となっているため今週分に含めたが、実際の初出はこれより早い可能性がある。テクノロジー・ヘルスケア系が中心で、米国・ブラジル・オーストラリアなどの組織を名乗る。世界的に知られた企業名を含むが、公表や独立報道を確認できていないため、名称は記載しない。WatchGuardのトラッカーは同グループを新興として扱っている（WatchGuard）。このほか、新規グループ 0x00 がメキシコの組織とされる名義で1件掲載した。

日本企業について

日本関連とみられる新規掲載を6件確認した。

集計方法について

今回も、DBに記録された過去全期間の(グループ, 被害者)の履歴と、独立ソース（ransomwatch・x_leaksite）の掲載日時を照合して集計した。

  1. 自動抽出（スクリプト）で、対象週にDBへ登録された979行を(グループ, 被害者)に統合し、掲載日が対象週より前の21件、過去履歴の再掲載41件を除外して311件を得た。ransomlook単独で掲載日を判定できなかった14件は、この時点で確定集計に含めていない。
  2. 311件を人手で再確認し、次の9件を除外した。
  3. hyflockの6件（ナビゲーション文字列2件、「leaks」の有無による重複3件、掲載日が週前の1件）
  4. eclipseの1件（ドメイン名の表記で登録されていたが、9/30に別の表記で掲載済みだった再登録）
  5. 組織名ではなくプレースホルダとみられる1件（globalcybernetic名義）
  6. auroraの1件（同じ被害者が、auroraとは別表記のグループ名「aur0ra」でも登録され、二重計上されていた）
  7. 確定集計に含めていない14件の内訳は次のとおり。掲載日を独立に確認できなかったのが10件（majinahanashi 6件、payoutsking 2件、scarlettgroup 1件、lockbit5 1件）、被害組織名ではない文字列が2件、掲載日が週前のhyflockの1件、表記違いで既に集計済みのthe seven deadly sinsの1件。

以上の結果、311件から9件を除外し、確定302件となった。実際の被害を否定するものではない。今回の人手での補正は、社名やグループ名の表記ゆれ（「Pty Ltd」「leaks」の有無、ドメイン表記、グループ名の別表記など）が、掲載日の判定と重複の検出の両方に影響することを示している。

【訂正】10/18の公開時、確定件数を303件としていたが、同一の被害者1件がグループ名の別表記（「aur0ra」）により二重計上されていたため、10/25に302件へ訂正した。あわせて、n0nの割合（28.7%→28.8%）、thegentlemenの割合（12.2%→12.3%）、国別のUSの割合（30.0%→30.1%）、Unknown（59件、19.5%→58件、19.2%）、人手で除外した件数（8件→9件）、記事タイトルと要約の件数を訂正した。順位と、そのほかの件数・割合は変わらない。

データソースについて

集計はransomwatch・ransomlook・X上のランサムウェアリークアカウント群（ThreatMon経由）を突き合わせたもの。ここに掲載された情報は、いずれも攻撃者側リークサイトに既に公開されている情報であり、この記事はその周知・注意喚起を目的としている。実際の侵害範囲・影響については、各社の公式発表を確認されたい。