← RECON トップへ戻る ・ 記事一覧

ランサムウェア週次動向 — 週内209件、n0nは匿名22件を除くとqilinが首位、SRGは法律事務所を掲載

2026-10-25T00:00:00+09:00

今週（10/18〜10/24、UTC基準）、ダークウェブのランサムウェアリークサイトで新たに掲載が確認できた組織は209件。

今週の首位は n0n（49件、23.4%）で、前週（#008）に続く2週連続の首位。ただし49件のうち22件は番号だけで掲載された匿名の「Company #N」で、これを除くとn0nは27件になり、qilin（36件、17.2%）が上回る。3位は akira・braincipher の各8件で、leakeddata（Silent Ransom Group、以下SRG）は7件。SRGの7件は名称から法律事務所とみられる3件と、伏字の4件からなる。FBIはSRGが米国の法律事務所を継続的に標的にしていると警告している。新興グループとして whitearmor と mimori が現れ、どちらも大手とみられる企業の名称を含む。国内では日本の組織とみられる掲載は確認できなかった。一方、攻撃を自ら公表している米国・カナダの公的機関3件とドイツのホテルグループ1件の名称が、リークサイトの掲載に現れた（掲載と公表済みの事案が同一かは未確認）。集計の過程では、同一グループの別表記による重複や伏字の二重計上など6件を人手で除外し、1件を追加したうえ、要個別確認の16件から1件を加えた。詳細は末尾「集計方法について」を参照。

今週の全体像

週内トップは n0n（49件、23.4%）。2位は qilin（36件、17.2%）、3位は akira・braincipher の各8件（3.8%）。以下は emperador・lamashtu・leakeddata が各7件（3.3%）、lockbit5・booba team・everest・krybit が各6件（2.9%）と続く。今週掲載のあったグループは42。

国別はUS（80件、38.3%）が最多、Unknown（33件、15.8%）、DE（17件、8.1%）、GB（6件、2.9%）、AR・ES（各5件、2.4%）が続く。DEの17件のうち5件はlamashtuの掲載。booba teamの6件はすべて米国の組織で、医療機関3件、教育機関1件、自治体2件を含む（掲載時刻は10/20 12:19〜12:48 UTCに約30分かけて分散しており、一括掲載ではない）。観測対象リークサイト・アカウント側の報告バイアスを含む可能性があり、実際の被害国分布と一致するとは限らない。なお業種別は、ransomlook由来の行で業種が自由記述になり集計が割れるため、今週も割愛した。

209件のうち、伏字8件と番号だけの匿名22件の計30件（14.4%）は、組織を特定できないまま件数に含まれている。

組織名は、当該組織が自ら攻撃を公表しているか、主要メディアが報じているものに限って記載する。今週は4件がこれに該当した（後述）。残りは公表や独立報道を確認できていないため名称を記載しない（確認は公的機関・学校・上場企業・著名な組織名を中心に個別に行ったもので、全件の網羅的な確認ではない）。

n0nの49件と、番号だけの匿名掲載22件

n0nの内訳は、Company #N と題した番号付きの匿名掲載が22件、社名つきが27件。匿名掲載の番号は #89〜#110 で欠番がなく、前週までの #88 から途切れずに続いている。業種と地域の説明のみで組織名は特定できず、伏字掲載と同様に件数には含めるが、実体は確認できない。ransomwatchの掲載時刻では、10/20 05:52〜05:53 UTCに3件、10/21 10:22〜10:25 UTCに5件、10/22 07:25〜07:28 UTCに6件と、数分のあいだに続けて掲載される形が多い。

匿名の22件を除くとn0nは27件で、qilinの36件を下回る。つまり今週のn0nの「首位」は、番号だけの匿名掲載に依存している。社名つきの27件は、自社公表や主要メディアの報道を確認できていないため、名称を記載しない。

SRG（leakeddata）の7件と法律事務所

SRG名義の7件は、ransomwatchの掲載時刻で10/19〜10/22 UTCに分布する。名称から法律事務所とみられるものが3件（10/19、10/21、10/22）、イニシャルだけの伏字が4件（10/20〜10/22）。ransomwatchがsilentransomgroup名義で収集している掲載を、本稿ではleakeddata（SRG）として扱っている。各事務所の公表も独立報道も確認できていないため、名称は記載しない。SRGは過去に、伏字で予告したのち数時間〜数週間で実名に差し替える運用をしており、今週も伏字3件が実名掲載または伏字の更新と対応していたため集計から除いた（詳細は末尾）。残る伏字4件にも、後日実名化されるものが含まれる可能性があり、7件は上限に近い数字として読む必要がある。

FBIは2025年5月23日に民間向け通知「Silent Ransom Group Targeting Law Firms」（FBI）、2026年5月26日にFLASH「Silent Ransom Group Impersonating IT Personnel through Social Engineering」（FBI）を出し、SRGが米国の法律事務所を継続的に標的にしていると指摘している。両文書は、IT部門を装った電話・メールで遠隔操作を許可させる手口に加え、攻撃者が事務所に直接人を送り込み、記憶媒体を接続してデータを持ち出す手口を報告している（The Registerは、遠隔での侵入に失敗した場合の手段として報じた）。今週のSRGの掲載はこの警告と整合するが、リークサイトの掲載はグループ側の主張であり、侵入経路や被害の範囲は確認されていない。

なお、名称または業種の記載から法律事務所とみられる掲載は、SRG以外のグループにも少なくとも9件あった（名称・業種記載による推定で、個別には検証していない）。

新興グループ whitearmor と mimori

whitearmor は、DBで最初に観測されたのが10/21 11:23 UTC。この時点では被害組織ではない文字列（「Updates.」「W.A」）が2件取り込まれただけで、被害組織としての掲載は、ransomwatchの掲載時刻で10/21 21:03、10/23 14:45、10/24 21:33（UTC）の3件。民間トラッカーBreachsenseの最初の被害記録も10/22付で、当方の観測と大きな差はない（同社は、これは自社の収集に入った日であり、活動開始時期とは限らないと注記している）。3件はいずれも大手とみられる製造業・運輸業の企業の名称だが、公表や独立報道を確認できていないため、名称は記載しない。このほか、グループ自身のサイト名を掲載したエントリがあったが、被害組織ではないため集計から除いた。外部の初出はこれより早い可能性があり、「新興」はDB上の初観測を指す。

mimori は、ransomwatchの掲載時刻で10/20 13:44 UTCに2件を掲載し、約4時間後にXのリークアカウントも同じ2件を取り上げている。2件はいずれも大手のソフトウェア関連企業の名称とみられるが、公表や独立報道を確認できていないため、名称は記載しない。Breachsenseはmimoriの掲載を3件と記録しており、当方の収集ソースにはない1件がある可能性がある。本稿の集計は当方の収集ソースにあるものに限る。

公表済みの事案と同じ名称の掲載

リークサイトに現れた名称のうち、当該組織が自ら攻撃を公表しているものが4件あった。いずれも掲載の中身は直接確認できておらず、公表された事案と同一であるとは断定できない。

日本企業について

日本の組織とみられる新規掲載は、今週は確認できなかった（国属性が日本のものは0件で、名称・ドメインからも該当を見つけられなかった。スペインの販売会社や韓国のIT企業は日本の組織とは見なしていない）。

集計方法について

今回も、DBに記録された過去全期間の(グループ, 被害者)の履歴と、独立ソース（ransomwatch・x_leaksite等）の掲載日時を照合して集計した。

  1. 自動抽出（スクリプト）で、対象週にDBへ登録された527行を(グループ, 被害者)に統合し、掲載日が対象週より前の15件、過去履歴の再掲載20件を除外して213件を得た。ransomlook単独で掲載日を判定できなかった16件は、この時点で確定集計に含めていない。掲載日が週前の15件のうち6件は、前週（10/11〜10/17）の期間内に掲載されたが、DBへの登録が前週の集計後だったため、前週・今週のどちらの集計にも含まれていない。
  2. 213件を人手で再確認し、次の補正をした。
  3. aur0ra名義の2件を除外（同じ被害者が、auroraとは別表記のグループ名「aur0ra」でも登録され、二重計上されていた）
  4. SRGの伏字3件を除外（同週に実名で掲載された組織の予告掲載、またはその伏字の表記を更新した再掲載とみられる。伏字の掲載から実名の掲載までは約20〜23時間で、過去の運用と同じ並び）
  5. whitearmorの1件を除外（グループ自身のサイト名で、被害組織ではない）
  6. whitearmorの1件を追加（10/24 21:33 UTCに掲載されたが、DBへの登録が集計窓の終了後〔10/25 01:24 UTC〕だったため自動抽出から漏れていた。同様に窓の終了後に登録される掲載が他にもある可能性がある）
  7. 要個別確認の16件は、民間トラッカーBreachsenseなど他ソースで掲載日を照合した。
  8. 追加1件（everestの1件）：他のトラッカー1社が10/21の掲載を記録している
  9. 除外15件：the gentlemenの伏字2件（同じ週に実名で集計済みの2件と対応）、sovcaliの7件（自動車関連企業の掲載に関する投稿・記事見出し6件は被害組織名ではなく、この企業の掲載自体はransomwatchで8/4にあり今週のものではない。残る1件は掲載日がトラッカー間で10/22と10/8に食い違い、確定できなかった）、whitearmorの2件（被害組織名ではない文字列）、SRGの1件（同じ伏字の別表記とみられる）、掲載日を独立に確認できなかった3件（interlock 2件、majinahanashi 1件）
  10. 自動抽出が出した「バースト挿入」9件も確認した。ransomlookの掲載時刻は取り込み（クロール）時刻のため、実際の掲載時刻が分散していても同じ分に固まって見える。ransomwatchの掲載時刻で見ると、booba teamの6件は約30分に分散し、qilinの2回は数分ずつのまとまりが数時間にわたって分かれていた。braincipherの8件は、当方のクローラが同グループ自身のサイトから同時刻（10/21 15:11 UTC）に取得したもので、ransomwatch上の掲載時刻とは別である。n0nの匿名掲載は数分間隔の小刻みな掲載だった。いずれも誤混入ではなかった。

以上の結果、自動抽出の213件から6件を除外し1件を追加して208件、要個別確認から1件を加えて、確定209件となった。実際の被害を否定するものではない。今回の人手での補正は、グループ名の別表記（aur0ra）、伏字から実名への差し替え、DB登録時刻と掲載時刻のずれ、ransomlookのクロール時刻が、件数と日付の判定に影響することを示している。

データソースについて

集計はransomwatch・ransomlook・X上のランサムウェアリークアカウント群（ThreatMon経由）を突き合わせたもの。ここに掲載された情報は、いずれも攻撃者側リークサイトに既に公開されている情報であり、この記事はその周知・注意喚起を目的としている。実際の侵害範囲・影響については、各社の公式発表を確認されたい。

なお今週は、当方の収集側で、X上のアカウント群の取り込みが10/20 18:51 UTCで止まり、ransomlookの取り込みも10/24 06:32 UTC以降はほぼ止まっていた。10/21以降の掲載はransomwatchを中心とした確認になっており、他のソースでのみ報告された掲載は反映できていない可能性がある。