中核わずか9人で世界3位のランサムウェア組織に — Check Pointが2026年第2四半期報告、AIで3日で管理パネル構築

Check Pointは2026年第2四半期（4〜6月）のランサムウェア情勢報告を公開した。ランサムウェア集団が身代金を払わない被害者をさらすデータ漏えいサイトの記録では、四半期の被害者数は2,139件で、第1四半期とほぼ横ばい、前年同期比では33%増となった。件数の見出しは動かなかったが、中身は大きく変わった。活動する集団の数は71から93へ増えて過去最多となり、上位10集団の占有率は71%から57.6%へ低下した。巨大集団への集中が緩み、中堅層が広がる分散化が進んでいる。

Qilinが4四半期連続の首位 — The Gentlemenが62%成長で猛追

四半期を通じて最多の被害者を記録したのはQilinで、279件と4四半期連続で首位を守った。2位にはThe Gentlemenが62%成長で迫り、6月単月ではQilinを上回った。一方、第1四半期にOracle E-Business Suiteを悪用した大規模攻撃で件数を押し上げたCl0pは、第2四半期にはほぼ姿を消した。特定の大規模攻撃に依存した集団が引いても、中堅層が穴を埋めて全体の件数を維持する構造になっている。

漏えい記録が暴いた9人体制 — AI支援で3日で管理パネル

今回の報告で最も注目されるのは、The Gentlemenのバックエンドとチャット履歴が漏えいし、世界3位級の組織の内側が研究者の目に触れたことである。記録によると、中核チームはわずか9人で、実際の侵入作業の多くを担うアフィリエイト（提携攻撃者）側に90%を渡す利益分配（90/10）で運営し、市場で最も高い水準の取り分を提示していた。

管理者「Zeta88」は、組織のランサムウェア管理パネルをAIコーディング支援ツールで約3日かけて構築した。Check Pointは、AIが標的選定や攻撃運用ではなく開発速度の向上に実際に使われた確かな証拠だと評価している。熟練した運営者1人がいれば、数か月で上位層に到達できるほど、深刻なランサムウェア事業を立ち上げる障壁が下がっていることが示された。

支払率は23%まで低下 — 暗号化よりデータ窃取の恐喝へ

身代金の支払率は6年連続で低下し、2019年の85%から足元では約23%まで下がった。バックアップの普及で暗号化の効果が薄れたことが主な理由である。しかし支払総額は連動して減っておらず、ブロックチェーン上の支払額は2025年も8億2,000万ドルを超えた。バックアップでは防げないデータ窃取と公開の脅しへ軸足が移り、「先に盗み出してから脅す」手口が主流になっている。

法執行機関は第2四半期に個別集団ではなく共通基盤を標的に動いた。資金洗浄プラットフォームの解体、関係取引所への制裁、マルウェア署名サービスの摘発、大規模なインフォスティーラー（情報窃取型マルウェア）網の遮断などが進んだ。差し押さえた基盤は他所で再構築される傾向があり、被害件数の押し下げには直結していないが、資金洗浄や署名、認証情報収集のコストを引き上げる摩擦になっているとCheck Pointは分析している。

Check Pointが挙げる防御の優先事項 — 初期アクセスと持ち出し検知

Check Pointは四半期のデータから導かれる防御の優先事項として、初期アクセス対策、データ持ち出し（exfiltration）検知、迅速な修復の3点を挙げている。The Gentlemenの侵入経路はVPN機器の探索、総当たり攻撃、売買された認証情報が中心で、エコシステム全体でも同じ経路が多いため、フィッシングと外部公開されたリモートアクセスへの防御が入口の主戦場になる。持ち出し検知はバックアップと同等の重みで扱うべきであり、脆弱性の開示から悪用までの間隔が時間単位に縮んだ現在、修復の速さが被害の規模を分けるとしている。

日本の組織にとっても、VPN機器やリモートアクセスの露出点検、持ち出し検知の整備、開示直後のパッチ適用体制の3点はそのまま当てはまる。少人数とAI支援で立ち上がる攻撃者が増える環境では、侵入を前提に被害を広げさせない設計が重要になる。

出典

• Check Point Blog「Ransomware Didn’t Slow Down in Q2 2026 — It Just Spread Out」（2026年8月13日公開） https://blog.checkpoint.com/security/ransomware-didnt-slow-down-in-q2-2026-it-just-spread-out/