サイバー攻撃は「何か」ではなく「誰か」です。2017年からミラノで運用する欧州のSOCは、 287の脅威アクター（攻撃グループと攻撃ツール）を継続的に追跡しています。ここでは、特に活発なランサムウェアグループのプロファイルを、 別名、侵入の手口、悪用されるCVE、脅迫モデルとともにまとめています。 対応にあたる時点で、私たちは相手が誰で、どう動くのかをすでに把握しています。
検知できるか、被害を受けるかの差は、相手が動く前に相手を知っているかどうかです。各プロファイルには、トリアージに必要な情報をまとめています：系譜とリブランド、初期侵入の手口、実際に悪用されたCVE、脅迫モデル。これらのグループのTTPは、SOCの検知ルールに組み込まれています。警察庁によると、2025年に国内で報告されたランサムウェア被害は226件でした。
現場で観測した手口と、リークインフラの監視にもとづくプロファイルです。公開情報がまだ少ない場合は、カードにそう明記しています：数字を作ることはしません。
Operation Cronosによる摘発の後、2025年9月に再始動したLockBitです。クロスプラットフォームの暗号化ツール（Windows、Linux、ESXi、Proxmox）、AES-256-CTRとRSA-2048、高度な回避技術（プロセスホロウイング、ETWのパッチ、ログの消去）を備えます。二重脅迫。国土交通省港湾局の事案事例集によると、2023年7月の名古屋港の事案はLockBitによる攻撃とされています（LockBit 5.0より前の事案です）。
2023年から活動し、2025年に最も多くの収益を上げたグループのひとつです。多要素認証のないVPNや未修正のファイアウォールから侵入します：CVE-2024-40766（SonicWall）、CVE-2023-20269（Cisco ASA）、CVE-2024-37085（VMware ESXi）、CVE-2024-40711（Veeam）。二重脅迫。
旧名Agenda（2022年）。2025年末までにリークサイトに掲載された被害組織は1,000を超え、最多は製造業です。フィッシングと外部公開アプリケーションから侵入し、Cobalt Strikeを使い、Rcloneでデータを持ち出します。持ち出してから暗号化します。警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年に国内でランサムウェアの種別が判明した被害149件のうち、32件がQilinで最多でした。
2023年から活動し、2025年3月に「カルテル」を名乗りました。2025年4月のRansomHub崩壊後、その攻撃実行者（アフィリエイト）を取り込んでいます。Ivantiの脆弱性の連鎖（CVE-2024-21887、CVE-2024-21893）とLog4Shell（CVE-2021-44228）を悪用します。ホワイトラベル型のモデルで、脅迫の手法は複合的です。
ソースコードは2024年7月にLynxの運営者に引き渡され、Lynxが後継とみなされています。IT部門の担当者へのなりすまし、正規ツールの悪用。リークサイトを使った二重脅迫。
2025年1月にHunters Internationalからリブランドしました。暗号化をやめ、データの窃取のみを行います（Extortion as a Service）。独自のデータ持ち出しツールをアフィリエイトに提供しています。
2024年にAPT73として現れ、その後Eraleig、Basheと名称を変えました。リークサイトはLockBitのレイアウトを模倣しています。2024年の摘発後、元LockBitのアフィリエイトが立ち上げたとみられます。
2025年から活動し、Fortinetの脆弱性（CVE-2024-55591）を集中的に悪用します。環境内の正規ツールの悪用（AnyDesk、PsExec、PowerShell）、グループポリシーによる拡散、独自の回避技術。二重脅迫。
2025年から活動し、BYOVD（脆弱なドライバーの持ち込み）でEDRを無効化します（CVE-2024-51324、Baiduのドライバー）。Polygonのスマートコントラクトを使ったプロキシのローテーション、Sessionによる通信。被害組織の約57%が欧州・ロシア地域です。
2022年から活動する親ロシア派のグループで、「Five Families」の一員とされ、Dragon RaaSとの関係があります。スピアフィッシング、外部公開されたVPNとRDPの悪用、総当たり攻撃。政治的な動機による二重脅迫。
2024年9月から活動し、RaaSではありません。正規の認証情報とエッジ機器（VPN、ファイアウォール、RD Gateway）から侵入し、ChaCha20で暗号化します。侵入から暗号化までが24時間未満のこともあります。標的は中小企業とMSPです。
2025年3月から活動（Rbfsの後継）。FortinetのCVE-2024-55591を悪用し、2日間の期限を設けて中小企業を狙います。RcloneとMEGAでデータを持ち出した後、AES-256とRSA-2048で暗号化します。
2024年から活動し、Phobosのインフラと関係があります。リークサイトは「企業風」のデザインです。米国と欧州の中小規模の製造業、テクノロジー企業、医療機関を狙います。
2025年4月にRALordからリブランドしました。Rust製の暗号化ツール、qToxによる交渉。学校と非営利団体は標的にしないと主張しています。二重脅迫。
2026年に犯行声明を出している脅迫型のブランドで、集計サイトが追跡しています。データのサンプル（給与情報、文書）を公開します。公開されている技術情報はまだ限られています。
2026年に出現。Go製の暗号化ツール（X25519による鍵交換、AES-CTRとAES-GCM）、PowerShellによる自己削除。初期の被害組織はIT企業とMSPに集中しており、連絡にはToxを使います。
2019年からアフィリエイトが展開しています（2021年に現れた「Medusa」とは別物です）。RDPへの総当たり攻撃と窃取された認証情報で侵入し、RDP、PsExec、SMBで拡散します。二重脅迫。
2020年から活動し、暗号化からデータ窃取のみ、さらにアクセス権の販売へと軸足を移しています。医療分野の被害組織は120を超え、米国では専用の注意喚起が出されています。
2025年7月から活動。RSAとAES-256による独自の暗号化ツールと、強力な解析妨害（APIと文字列のハッシュ化、ダイレクトシステムコール）を備えます。初期侵入はフィッシングで、犯行声明のある被害組織は約100です。
2025年9月から活動（暗号資産取引所のCoinbaseとは無関係）し、データ窃取のみを行います。インフォスティーラーで収集された認証情報から侵入し、段階的なリークとオークションを行います。犯行声明のある被害組織は160を超えます。
2024年12月から活動。二重脅迫に、破壊的な「ワイプ」モードを組み合わせています（暗号化とワイパーを兼ねる珍しいツールです）。スピアフィッシング、柔軟な報酬配分（80/20、60/40、50/50）。
2025年から活動し、医療、通信、製造業を狙っています。RaaSか閉鎖型の構造かは確認されていません。
旧名「Alpha/DGJT」で、リークサイトは2026年から稼働しています。外部公開された境界機器（Fortinet、Cisco、Citrix、Palo Alto）へのアクセスを収益化しています。検証できない犯行声明も多く含まれます。
2025年10月から活動（2026年に「Shisa」へリブランド）。多要素認証のないRDPとVPNで正規アカウントを悪用し、速度を優先した部分的な暗号化を行います。カウントダウン付きのリークサイトを持ち、被害組織は約50です。
2026年から活動。Babuk由来のコードで、WindowsとESXiに対応します。立ち上げ時に7か国で12の被害組織を公表しました。公開されている情報はまだ限られています。
2026年に現れた新しい攻撃者で、小規模なリークサイト（エネルギー、製薬）にフランス、ルーマニア、タイの組織を掲載しています。暗号化を行うランサムウェアかどうかは、まだ確認されていません。
2025年末から参加者を募集しており、C++製のマルチOS対応マルウェア（Windows、Linux、ESXi）を使います。既知の重大な欠陥として、128KBを超えるファイルは暗号化されずに破壊されます。BreachForumsおよびTeamPCPとの関係があります。
主な系譜とリブランド：World LeaksはHunters Internationalのリブランド、INC RansomはLynxの起源とみなされ、NovaはRALordのリブランド、Tenguは「Shisa」に名称を変え、DragonForceはRansomHubのアフィリエイトを取り込みました。
グループを知ることが第一歩です。間に合ううちに止めることが第二歩です。攻撃が進行中であれば緊急対応を、攻撃を未然に防ぐには予防策をご用意しています。
欧州で特に活発なのは、LockBit 5.0、Akira、Qilin、DragonForce、INC Ransom、SafePay、Anubis、Medusa、そして2025年から2026年にかけて現れた多くのグループ（TheGentlemen、NightSpire、PayoutsKing、Coinbase Cartel、Tengu、Vect）です。警察庁によると、2025年に日本国内でランサムウェアの種別が判明した被害のうち、最も多かったのはQilinでした。これらのグループのTTPは、SOCの検知ルールに組み込まれています。
二重脅迫：データを先に持ち出してから暗号化するため、バックアップから復旧しても公開は防げません。三重脅迫：さらに3つ目の圧力（DDoS攻撃、取引先や従業員への直接の連絡、規制当局への通報）が加わります。最近のグループの中には、暗号化をまったく行わないものもあります。
インシデント対応の現場で観測したTTP、リークサイトとC2インフラの監視、脅威インテリジェンスフィードを組み合わせています。インシデントに対応する時点で、攻撃者が誰で、どのように動くのかをすでに把握しています。場当たり的な対応はしません。
相手を知ることが、防御の第一歩です。間に合ううちに止めることが、第二歩です。知る、先回りする、止める。
Fortgaleの脅威ブリーフィングでは、お客様の業界で活動するランサムウェアグループと、お客様の露出（外部公開されたアクセス経路、未修正のCVE、すでに売買されている認証情報）に焦点を当てます。アナリストにご相談ください。
自動返信やナーチャリングメールは送りません。1営業日以内（欧州の営業日・CET/CEST）に、アナリストから英語でご連絡します。
レポートの全文（エグゼクティブサマリー、運用向けIoC、技術的な対応手順書）は限定公開です。いくつかの情報をお送りいただくと、アナリストからアクセス方法と簡単な技術ブリーフィングについてご連絡します。
30分以内に折り返しご連絡し、1〜4時間を目安に封じ込めを行います。Fortgaleのお客様でなくてもご相談いただけます。緊急対応は英語で行います。
