← RECON トップへ戻る ・ 記事一覧

ランサムウェア週次動向 — 週内255件、n0nが番号だけの匿名掲載35件を含む49件で首位、新興aoqinも登場

今週（11/1〜11/7、UTC基準）、ダークウェブのランサムウェアリークサイトで新たに掲載が確認できた組織は255件。

今週の首位は n0n（49件、19.2%）で、前週（#010）に首位だったthe gentlemenは25件に半減した。n0nの49件のうち35件は、組織名の代わりに「Company #113」〜「Company #147」という番号だけで掲載された匿名の行で、前週までの番号（#112）から途切れずに続いている。2位は qilin（27件、10.6%）、3位は the gentlemen（25件、9.8%）。4位には medusalocker（17件、6.7%）が入った。新興グループとして aoqin（5件）が現れた。国内では、日本の組織とみられる掲載が1件あったが、当該組織の公表や報道は確認できなかった。今週は、組織名を記載できるだけの公表・独立報道を確認できた掲載がなかったため、個別の組織名は記載していない。集計の過程では、被害組織名ではない声明文やプレースホルダー6件と、同一被害者の重複掲載2件（計8件）を人手で除外した。詳細は末尾「集計方法について」を参照。

今週の全体像

週内トップは n0n（49件、19.2%）。2位は qilin（27件、10.6%）、3位は the gentlemen（25件、9.8%）。以下は medusalocker（17件、6.7%）、akira（15件、5.9%）、brain cipher（12件、4.7%）、safepay（10件、3.9%）、inc ransom（8件、3.1%）、Silent Ransom Group（以下SRG、7件、2.7%）、metaencryptor（7件、2.7%）と続く。今週掲載のあったグループは40。

前週との比較では、the gentlemenが50件から25件、booba teamが16件から4件、whitearmorが8件から4件に減った一方、n0nは11件から49件に増えた（前週の件数は#010の公開値）。

国別はUS（88件、33.5%）が最多、Unknown（52件、19.8%）、DE（21件、8.0%）、GB（13件、4.9%）、CA（10件、3.8%）、BR（9件、3.4%）、KR（7件、2.7%）、CH（5件、1.9%）、TR・FR（各4件、1.5%）が続く。なお、metaencryptorの7件のうち少なくとも4件は、名称から韓国企業とみられる（国別の件数との対応は確認していない）。国の属性は掲載元トラッカーが付与したもので、誤りを含む。観測対象リークサイト・アカウント側の報告バイアスもあり、実際の被害国分布と一致するとは限らない。なお国別・業種別の件数と割合は、後述の除外8件を反映する前の自動抽出263件が基準である（除外8件の国・業種はこの集計データから確認できないため、再計算していない）。

業種別（トラッカーの分類）は、Unknown（42件、16.0%）、Manufacturing（32件、12.2%）、Technology（23件、8.7%）、Professional Services（15件、5.7%）、Healthcare（13件、4.9%）、Retail & E-Commerce・Financial Services・Other（各11件、4.2%）、Education・Transportation（各7件、2.7%）。業種は掲載元ごとに表記が揃わず自由記述が混ざるため、参考値として読んでほしい。

255件のうち、組織を特定できない伏字8件、番号だけの匿名38件、ハッシュ状の文字列1件の計47件（18.4%）は、件数に含まれている。

組織名は、当該組織が自ら攻撃を公表している（被害を認めている）か、主要メディアが報じているものに限って記載する方針で、今週は該当を確認できた掲載がない（確認は、日本の組織・著名企業・上場企業とみられる名称を中心に個別に行ったもので、全件の網羅的な確認ではない。確認できなかったことは、事案がないことの証明ではない）。

n0nの49件と、番号だけの「Company #N」35件

n0n は2026年9月ごろに現れたデータ恐喝型のグループで（セキュリティ各社はランサムウェアと呼べるか見解が分かれている）、今週は49件で首位に立った。内訳は、組織名の代わりに番号を使った「Company #113」〜「Company #147」の35件と、名称を載せた14件。番号は#010までの#112から連続しており、掲載の順序どおりに採番されているとみられる。なお、番号掲載と、名称を載せた14件が同一の被害者を指している可能性がある（番号掲載は予告段階の匿名表示で、後から実名で再掲載される形式ではないかとの見方もあるが、個別の対応づけも、その仕組みも、当方では確認できていない）。そのため、n0nの49件は上限に近い数字として読む必要があり、実際の被害組織数は35件前後まで少なくなる可能性がある。

番号の行は、1分間に5件ずつ入る形の一括掲載が目立つ。検知時刻（DB登録時刻）で見ると、11/2 06:24、11/3 04:23、11/3 13:23、11/4 12:23、11/5 18:22（いずれもUTC）の5回に、5件ずつ（計25件）が集中している。名称を載せた行にも11/6 12:26 UTCに5件のまとまりがある。これらの時刻はこちらの収集側が検知した時刻であり、リークサイト上の実際の掲載時刻とは一致しない可能性がある。

番号で掲載された35件は、組織名も業種も特定できないため、件数には含めつつ、内容は読み取れない。n0nは、被害者の名称を伏せた番号だけの掲載を続けているとみられる。名称を載せた14件には、上場企業や大手事業者とみられる名称も含まれるが、公表や独立報道を確認できなかったため、名称は記載しない。なお、n0nの掲載は、グループ自身の主張で、窃取の有無やデータ量などは、第三者による検証を確認できていない。

上位グループの動き

qilin（27件）は前週（25件）から小幅に増え、2位を維持した。the gentlemen（25件）は、前週（#010で報告）は50件のうち36件が10/26の約4時間に集中していたのに対し、今週は1分単位の一括登録は11/2 10:12 UTCの5件のみだったが、DB上の登録順では25件のうち24件が11/2〜11/3の検知に偏っており（収集側の取り込みの影響も含む）、掲載が週を通して分散していたとは言えない。medusalocker（17件）は今週4位に入った。ただし、17件の中には、短い文字列や意味の読み取れない表記など、組織名として解決できない行が含まれている。

brain cipher（12件）とsafepay（10件）は、ともにドメイン形式（例: 「〜.com」「〜.de」）で被害者を掲載する形式を取り、11/4 18:21 UTCにsafepayが8件、同日19:20 UTCにbrain cipherが8件、約1時間差で一括して検知された。両グループの一括掲載が近接している理由は不明で、収集側の取り込みタイミングの影響も否定できない。metaencryptor（7件）は11/7 13:30 UTCに7件がまとめて検知され、名称から韓国企業とみられるものが少なくとも4件、米国企業とみられるものが2件含まれる。

新興グループ aoqin と、そのほかの新規・低頻度グループ

aoqin は今週初めて観測されたグループで、5件。いずれも組織名・社名を載せており、地域は米国・欧州・中東など分散している（地域は名称や表記からの推定）。公表や独立報道は確認できていないため、名称は記載しない。

obsoft は3件で、すべて「Company #N」型の匿名掲載（うち1件は「New Victim Company #6」で、別の「Company #6」と同一の可能性があるが、確認できなかったため両方残した）。destello は1件。なお、新規グループ候補として検出された unitedlegion（4件）と pixelleaks（2件）は、後述のとおり被害組織の掲載とは判断できず、集計から除いた。

伏字・匿名の47件

伏字8件、番号だけの匿名38件、ハッシュ状の文字列1件の計47件（18.4%）は、組織を特定できないまま件数に含まれている。内訳は、n0nの番号匿名35件、obsoftの番号匿名3件、SRGの伏字4件、everstakeのドメイン伏字3件、audit teamの伏字1件、inc ransomの意味のないハッシュ状の文字列1件。

このうちSRGは、過去の週（#010など）で、伏字で掲載したのち後から実名の掲載が現れる例があった。今週のSRGは7件で、うち伏字は4件、実名は3件（名称から法律事務所とみられる）。自動抽出の段階で、今週の実名掲載に対応する伏字2件と、前週に伏字で計上済みだった実名1件（計3件）は二重計上として除外済み。残る伏字4件は、実名化されると同様に対応づけて除外される想定だが、対応づけられない場合は件数が二重になる可能性がある。SRG以外にも、名称や業種の記載から法律事務所とみられる掲載が複数あった（推定で、個別には検証していない）。

日本企業について

日本の組織とみられる掲載が1件あった。qilinの掲載で、名称から日本の科学機器メーカーとみられる。民間トラッカーのBreachsenseが11/3に掲載を記録しているが、当該組織の公表や報道は、日本語・英語の検索では確認できなかった（確認できたのはこのトラッカー1件のみ）。リーク側の掲載は組織側の主張であり、侵入の有無や範囲は確認されていない。ほかに、日本企業の海外子会社・現地法人とみられる名称が2件（metaencryptorの米国法人1件、the gentlemenのウクライナ法人1件）あるが、国属性は日本ではなく、日本企業との関係も確認していない。該当する可能性のある組織は、自組織の公式サイトの告知を確認されたい。

集計方法について

今回も、DBに記録された過去全期間の(グループ, 被害者)の履歴と、独立ソース（ransomwatch・x_leaksite等）の掲載日時を照合して集計した。

  1. 自動抽出（スクリプト）で、掲載日が対象週より前の17件、過去履歴の再掲載34件、伏字掲載と実名の対応3件を除外して263件を得た。ransomlook単独で掲載日を判定できなかった7件は、この時点で確定集計に含めていない。
  2. 掲載日が週前の17件のうち3件（nightspire 2件、obsoft 1件）は、前週（10/25〜10/31）の期間内に掲載されたもの（10/25、10/28、10/31）。前週の集計後にDBへ登録された可能性があるが、確認していない。ほかは9/29〜10/23の掲載で、settraが7件（9/29〜10/16）と最も多い。
  3. 過去履歴の再掲載34件は、auditteam 5件、the gentlemen 4件、ransomhouse・payload・orova 各3件のほか、ほか12グループに分散している。
  4. 伏字掲載と実名の対応3件は、SRGの伏字2件（今週の実名掲載に対応）と、前週に伏字で計上済みだった実名1件。
  5. 263件を人手で再確認し、被害組織名ではない6件と、同一被害者の重複掲載2件を除外して255件とした。
  6. qilinの1件：ドイツの研究機関とみられる同一名称の掲載が、末尾が「…」で切れた行と完全な行の2行で登録されていたため、同一被害者の重複とみなして1件にまとめた。
  7. byodの1件：同一の被害者が、警告文の接頭辞をつけた別表記で2行登録されていたため、1件にまとめた。
  8. unitedlegionの4件：「1.╭∩╮(✿︿✿)╭∩╮ ✩░▒▓▆▅▃▂▁ SnowSoul…」「…qinglong…」「3.72小时 数据公开+密钥删除…」「5.为了中国,,,我们会持续攻击。(加入我们)」のように、グループ名や番号付きの声明文の断片で、被害組織名ではない。政治的な声明の文面とみられ、ハクティビスト系の投稿がランサムウェア被害として混入したものと判断した（当方の判断）。
  9. pixelleaksの2件：「Unnamed」「Disclosed」というプレースホルダーで、被害組織を特定できない。
  10. 要個別確認の7件（ransomlook単独）は、民間トラッカーなど他ソースで掲載日を照合したが、確定できなかったため、確定集計には含めていない。内訳は、Breachsenseが11/3〜11/4の検知を記録した2件（単一ソース、検知日ベースで掲載日と断定できない）、4月に別グループが同名の組織を掲載済みだった1件、被害組織名ではなく投稿のタイトルだった1件、独立ソースで確認できなかった3件（伏字1件を含む）。
  11. 自動抽出が出した「バースト挿入」10件も確認した。n0nの番号掲載（5件×5回）は、検知時刻がそのまま掲載の集中を表しているとは限らない（収集側の取り込みタイミングの影響を含む）。safepay・brain cipherの8件ずつ、metaencryptorの7件も同様で、いずれも掲載は週内だった。誤混入は上記の2グループ（unitedlegion・pixelleaks）を除いて見つからなかった。

以上の結果、自動抽出の263件から8件（声明文・プレースホルダー6件、重複2件）を除外し、確定255件となった（263 − 8 = 255）。実際の被害を否定するものではない。今回の人手での補正は、収集側の取り込み時刻と実際の掲載時刻のずれ、匿名・声明文の混入、同名組織の過去の掲載が、件数と日付の判定に影響することを示している。

【訂正】11/8の公開直後に、公開版の再レビューで次の点が判明したため、同日中に訂正した。(1) 同一被害者が別表記で2行登録されていたbyodの1件を、重複として集計から除いた（qilinの1件に続く2件目）。確定件数は256件から255件になり、qilin 10.5%→10.6%、n0n 19.1%→19.2%、medusalocker 6.6%→6.7%に訂正した。(2) 意味のないハッシュ状の文字列1件を、組織を特定できない行として匿名に数え直し、伏字・匿名を46件（18.0%）から47件（18.4%）とした。(3) n0nの番号掲載と実名掲載が同一被害者を指す可能性があるため、49件は上限に近い数字であると追記した。(4) the gentlemenの掲載が週を通して分散したとの記述を、実際には11/2〜11/3に偏っていたことに合わせて改めた。(5) 組織名を特定しうる記載（qilinの重複1件の名称）を削除し、日本企業の海外子会社とみられる名称を1件から2件に訂正した。

データソースについて

集計はransomwatch・ransomlook・X上のランサムウェアリークアカウント群（ThreatMon経由）を突き合わせたもの。ここに掲載された情報は、いずれも攻撃者側リークサイトに既に公開されている情報であり、この記事はその周知・注意喚起を目的としている。実際の侵害範囲・影響については、各社の公式発表を確認されたい。収集側の取り込みの遅れや欠落により、他のソースでのみ報告された掲載を反映できていない可能性がある。