← RECON トップへ戻る ・ 記事一覧

ランサムウェア週次動向 — 週内241件、the gentlemenが10/26に36件を集中掲載して首位、whitearmorは大手の名称を並べる

今週（10/25〜10/31、UTC基準）、ダークウェブのランサムウェアリークサイトで新たに掲載が確認できた組織は241件。

今週の首位は the gentlemen（50件、20.7%）で、前週（#009）に首位だったn0nは11件に減った。the gentlemenの50件のうち36件は、10/26の12:42〜16:57 UTCに集中して掲載されている。2位は qilin（25件、10.4%）、3位は booba team（16件、6.6%）。新興グループとして everstake が現れたが、5件のうち4件は伏字のドメインだった。whitearmor（8件）は、暗号資産・オンラインカジノ系のサービスと、米国の大手運輸・物流企業などの名称を並べた。国内では、国属性が日本の掲載が2件あったが、いずれも当該組織の公表や報道は確認できなかった。一方、攻撃を自ら公表している、または報じられている組織9件の名称が、リークサイトの掲載に現れた（8件は掲載と公表済みの事案が同一かは未確認）。集計の過程では、追加投稿や二重掲載、テスト用の文字列、報道媒体向けの検証ページなど9件の除外と、再掲載の疑いが強い5件の保留を人手で行い、要個別確認の13件から2件を加えた。詳細は末尾「集計方法について」を参照。

今週の全体像

週内トップは the gentlemen（50件、20.7%）。2位は qilin（25件、10.4%）、3位は booba team（16件、6.6%）。以下は emperador・n0n が各11件（4.6%）、leakeddata（Silent Ransom Group、以下SRG）・genesis が各10件（4.1%）、safepay・rhysida が各9件（3.7%）、whitearmor・payload・everest が各8件（3.3%）と続く。今週掲載のあったグループは39。

国別はUS（78件、32.4%）が最多、Unknown（44件、18.3%）、DE（15件、6.2%）、MX（11件、4.6%）、IT（7件、2.9%）、MY（6件、2.5%）、SG・GB（各5件、2.1%）が続く。DEの15件のうち6件はpayload、4件はthe gentlemen、3件はqilinの掲載。MXの11件のうち4件はqilin。booba teamの16件は、国は米国13件、カナダ・パキスタン・ベルギー各1件で、業種（トラッカーの分類）は行政5件、医療5件、教育・文化4件、金融1件、その他1件。掲載時刻は10/27 12:33〜13:16 UTCの9件と、10/29 12:51〜13:12 UTCの7件の2回のまとまりに分かれる。国の属性は掲載元トラッカーが付与したもので、誤りを含む（例: リーク側の説明ではブラジルの政党とされる掲載がDB上はアルゼンチンに、米国の物流企業がドイツに分類されていた）。観測対象リークサイト・アカウント側の報告バイアスもあり、実際の被害国分布と一致するとは限らない。なお業種別は、掲載元ごとに表記が揃わず自由記述が混ざるため、今週も割愛した。

241件のうち、伏字15件と番号だけの匿名2件の計17件（7.1%）は、組織を特定できないまま件数に含まれている。

組織名は、当該組織が自ら攻撃を公表している（被害を認めている）か、主要メディアが報じているものに限って記載する。今週は9件がこれに該当した（後述）。残りは公表や独立報道を確認できていないため名称を記載しない（確認は、日本の組織・公的機関・学校・上場企業・著名な組織名を中心に個別に行ったもので、全件の網羅的な確認ではない）。

the gentlemenの50件と、10/26の集中掲載

the gentlemenの50件のうち36件は、ransomwatchの掲載時刻で10/26 12:42〜16:57 UTCの約4時間強に集中している。ransomlookも、取り込んだ50件のうち36件を10/26の13時台〜16時台（UTC）に集中して記録しており、片方の収集の癖による見かけ上のまとまりではない。残りの14件は10/26 00:00（日付のみ）から10/31 06:21 UTCまで散らばっている。

36件の一括掲載の中身は確認できていない。過去には、特定グループが過去の被害者を一斉に再掲載した例（#006のclop）があった。今回はDBに記録された過去全期間の(グループ, 被害者)の履歴と照合し、同一グループでの再掲載として検出されたものはなかったが、DBに記録のない過去の公開分を含む可能性は排除できない。民間トラッカーのBreachsenseやSOCRadarは、このうち少なくとも5件（上場企業や大手事業者を含む）を10/27〜10/28に検知したと記録しており、少なくともこれらは10/26の掲載と整合する。

なお、ransomwatch由来のthe gentlemenの50行は、ransomwatch側の検知がいずれも10/31の07時台（UTC）で、DBへ一括で取り込まれたのも同日12:41 UTCのため、掲載から最大5日遅れている（ransomwatchの出力形式が変わって取り込めない期間があったため、修正後にまとめて取り込まれたとみられる）。

大手IT・金融系企業とみられる名称（地域法人を含む）も含まれるが、公表や独立報道を確認できていないため、名称は記載しない。

whitearmor — 大手の名称と暗号資産・ギャンブル系を並べる主張

whitearmor は10/21にDBで初観測された新興グループで（#009で取り上げた）、今週は8件。内訳は、暗号資産・オンラインカジノ系のサービスが3件、米国の大手運輸・物流企業2社と家具小売1社が3件、ほか2件（政党とみられる組織、東南アジアの造船会社）。いずれも、データを保有しているというグループ自身の主張で、報道や運営側の反応を確認できたのは暗号資産・カジノ系の1件（後述）だけ。残りの7件は、公表や独立報道を確認できていない。

リークサイト側の文面は、データの規模（1,364件の個人情報から1,875万行まで）と要求額（確認できた範囲で500万〜2,000万ドル）を具体的に示しているが、サンプルの真偽は検証できていない。リークサイトには、自らをハクティビストではなくデータ恐喝・ランサムウェアを主目的とするグループと位置づける投稿もあった（グループを「ハクティビスト」と報じた報道への反論とみられる）。このグループは、同一の被害者について続報や検証用の投稿を重ねる傾向があり、今週の8件のほかに、同一被害者の追加投稿・続報2件、報道媒体向けの検証ページ2件（同じ文面の別表記）、グループ自身のアカウント（TelegramとX）の掲載2件、報道への反論の投稿1件が、被害者としてDBやトラッカーに登録されていた。これらは被害組織の掲載ではないため集計から除いた（詳細は末尾）。

公表済みの事案と同じ名称の掲載

リークサイトに現れた名称のうち、当該組織が自ら攻撃を公表している、または報じられているものが9件あった。Gamdom以外の8件は、掲載の中身を直接確認できておらず、公表された事案と同一であるとは断定できない。Gamdomは、掲載そのものが報じられ、運営側が被害を認めている。

公的機関・自治体・大学

企業

上記以外の著名名称（今週のemperador・the gentlemen・whitearmor・everest・rhysida等に含まれる上場企業・大手企業の名称）は、今週の掲載に対応する公表や報道を確認できなかった。別の過去の事案（2025年の顧客データ事案など）が確認できたものもあるが、時期が大きく離れており、今回の掲載とは別件として扱った。「確認できなかった」は事案がないことの証明ではなく、公開情報に見つからなかったという意味である。

新興グループ everstake と、伏字・匿名の17件

everstake は、DBで最初に観測されたのが10/29 15:31 UTC（ransomlook）で、ransomwatchの掲載時刻は10/29 20:22〜10/30 23:55 UTCの5件。ドメイン表記の1件（企業コンプライアンス関連）以外の4件は、ドメインの一部を *** で伏せた表記で、業種は化学製品、保険代理、人材紹介、製造業と記載されている。いずれも組織を特定できず、名称は記載しない。なお「Everstake」は暗号資産のステーキング事業者の名称でもあるが、本件のグループとの関係は確認していない。

伏字・匿名の17件は、n0nの番号匿名「Company #N」2件（#111、#112。前週までの#110から途切れずに続く）、SRGの伏字5件、everstakeの伏字ドメイン4件、audit teamの「AUDIT ENTITY」と題した伏字4件、doommageddonとnightspireの伏字各1件。このうち、SRGは過去に、伏字で予告したのち数時間〜数週間後に実名へ差し替える運用をしている。今週のSRGは10件で、名称から法律事務所とみられるものが5件、伏字が5件。伏字5件のうち2件は、約6〜6.5時間後に同日実名で掲載された法律事務所の名称と頭文字が対応する可能性があるが、確定できないため集計に残した。このため、SRGの10件は上限に近い数字として読む必要がある。SRG以外にも、名称や業種の記載から法律事務所とみられる掲載が少なくとも6件（falcon 2件、qilin 2件、n0n 1件、inc ransom 1件）あった（推定で、個別には検証していない）。

日本企業について

国属性が日本（JP）の掲載が2件あった。qilinの1件は日本の製造業の企業（大手とみられる）、safepayの1件は日本の大学（.ac.jpドメイン）で、いずれも当該組織の公表や報道を、日本語・英語の複数回の検索では確認できなかった。リーク側の掲載は組織側の主張であり、侵入の有無や範囲は確認されていない。名称・ドメインから日本の組織と判断できるのはこの2件で、ほかに日本の組織とみられる掲載は見つけられなかった（説明文に「Japan」が出てくる4件は、日本市場での事業、日本での検査記録、日本車向けの取引への言及で、日本の組織とは見なしていない）。該当する可能性のある組織は、自組織の公式サイトの告知を確認されたい。

集計方法について

今回も、DBに記録された過去全期間の(グループ, 被害者)の履歴と、独立ソース（ransomwatch・x_leaksite等）の掲載日時を照合して集計した。なお、自動抽出は最新版のスクリプトを今回あらためて実行している（Slackに自動通知された254件ではなく、同週内の伏字・実名の対応除外を反映した253件が出発点）。

  1. 自動抽出（スクリプト）で、対象週にDBへ登録された563行を(グループ, 被害者)に統合し、掲載日が対象週より前の10件、過去履歴の再掲載24件、伏字掲載と実名の対応2件を除外して253件を得た。ransomlook単独で掲載日を判定できなかった13件は、この時点で確定集計に含めていない。253件はいずれも、ransomwatch・x_leaksite等の独立ソースの掲載日が対象週内だった。
  2. 掲載日が週前の10件のうち4件は、前週（10/18〜10/24）の期間内に掲載されたもの。うち1件（whitearmorの1件）は#009で追加済み。残る3件は、前週の集計後にDBへ登録されたため、前週・今週のどちらの集計にも含まれていない。
  3. 過去履歴の再掲載24件のうち10件は、qilinが10/26 11:33〜12:03 UTCに再掲した過去の被害者（#009で取り上げたBurnaby Schoolsを含む）。
  4. 伏字掲載と実名の対応2件は、過去に伏字で掲載済みだった法律事務所の実名掲載1件と、同週の実名掲載に対応するSRGの伏字1件。
  5. 253件を人手で再確認し、9件を除外し、5件を保留（集計から外した）とした。
  6. whitearmorの5件（グループ自身のTelegramの掲載1件、報道媒体Gambling Lore向けの検証ページ2件〈取材時にサイトの支配権を示すために掲示された「Verification for Gamblinglore.com」の別表記〉、同一被害者の追加投稿・続報2件）
  7. booba teamの1件（同一被害者の別表記で、同時刻に二重登録されていた）
  8. byodの1件（University of New Mexico掲載の更新投稿）
  9. uloseのテスト用とみられる文字列2件
  10. 保留したqilinの5件：10/26 11:33〜12:03 UTCに連続して掲載された15件の一部。同じ15件のうち10件は過去履歴の再掲載で、この5件はransomwatchの記録しかなく（ransomlookにも記録がない）、独立した確認もできなかった。再掲載の可能性が高いと判断して集計から外した（新規だった場合、qilinは30件、全体は246件になる）
  11. 要個別確認の13件は、民間トラッカーBreachsenseなど他ソースで掲載日を照合した。
  12. 追加2件（米国のIT企業1件、米国の学区1件）：Breachsenseが10/27〜10/28の掲載を記録している
  13. 除外11件：伏字4件（cloak 2件、payoutsking 2件）、whitearmor自身のアカウント1件、whitearmorの報道への反論投稿1件（トラッカーは被害として登録していたが、文面は侵害の主張ではなかった）、今週の掲載を独立に確認できなかった5件（航空会社1件、保険金請求関連の企業1件、学校2件、クリニック1件）
  14. 自動抽出が出した「バースト挿入」7件も確認した。ransomlookの掲載時刻は取り込み（クロール）時刻のため、実際の掲載時刻が分散していても同じ分に固まって見える。ransomwatchの掲載時刻で見ると、everestの8件は約2時間、playの6件は約2時間20分、booba teamは前述の2回のまとまりに分散しており、いずれも掲載は週内だった。the gentlemenは前述のとおり実際に10/26に集中していた。safepayの9件は、うち7件をransomlookが10/26 16:17 UTCにまとめて取り込んだのに対し、ransomwatchの時刻は10/31 07:59〜08:03 UTCで、約5日の食い違いがある（いずれも週内。実際の掲載時刻は確定できない）。genesisの9件は、ransomwatchの掲載日が10/30（日付のみの記録）、取り込みも21:56〜22:02 UTCで、ransomlookの10/30 22:27 UTCの取り込みと整合する同日の一括だった（残る1件は10/27）。n0nの6件は10/25 06:53〜06:56 UTCの小刻みな掲載だった。誤混入は見つからなかった。

以上の結果、自動抽出の253件から14件（除外9件、保留5件）を外し、2件を追加して、確定241件となった（253 − 14 + 2 = 241）。実際の被害を否定するものではない。今回の人手での補正は、同一被害者への続報・追加投稿、別表記による二重登録、一括掲載に紛れた再掲載の疑い、収集ソースごとの掲載時刻の食い違い、DB登録時刻と掲載時刻のずれが、件数と日付の判定に影響することを示している。

【訂正】11/1の公開後に、次の誤りが判明したため、同日中に訂正した。(1) Gamdomの記述が、10/31に公開された創業者インタビューより前の情報（影響は数百件にとどまるとする反論）にとどまっていたため、運営側が約1,600万件のプレイヤー記録の抽出などを認めた内容に改めた。あわせて、「第三者による検証はない」「10/13の攻撃とは別の事案」とした記述を削除した。(2) 報道媒体Gambling Lore向けの検証ページ（whitearmorが取材時にサイトの支配権を示すために掲示したもの）を、被害組織の掲載として数えていたため、集計から除いた。確定件数は242件から241件、whitearmorは9件から8件、暗号資産・オンラインカジノ系は4件から3件になった。割合は、qilin 10.3%→10.4%、emperador・n0n 4.5%→4.6%、国別のUS 32.2%→32.4%、MX 4.5%→4.6%、Unknown 45件（18.6%）→44件（18.3%）、伏字・匿名 7.0%→7.1%に訂正した。上位3グループの順位は変わらない。(3) the gentlemenの集中掲載について、ransomlookの取り込み件数（37件→36件）とDBへの取り込み時刻の記述を訂正した。

データソースについて

集計はransomwatch・ransomlook・X上のランサムウェアリークアカウント群（ThreatMon経由）を突き合わせたもの。ここに掲載された情報は、いずれも攻撃者側リークサイトに既に公開されている情報であり、この記事はその周知・注意喚起を目的としている。実際の侵害範囲・影響については、各社の公式発表を確認されたい。

なお今週は、当方の収集側で、X上のアカウント群の取り込みが10/26 14:21 UTCから10/31 14:12 UTCまで止まっていた（上流アカウントの投稿書式が変わり、被害者名を抽出できなくなっていたため。10/31に修正した。停止中の分は遡って取り込んでいない）。今週のX由来の行は9行にとどまる。また、ransomlookの取り込みは前週末の10/24 06:32 UTCから10/25 09:51 UTCまで止まっていたが、10/25 10時台（UTC）にバックフィルされており、週内の欠落への影響は小さいとみている。X由来の欠損を含め、他のソースでのみ報告された掲載は反映できていない可能性がある。