ますます狙われる中小企業と製造業
アサヒグループも襲ったQilinの手口とは 2025年国内被害22件に
2025年の国内ランサムウェア被害は増加の一途をたどり、人手不足に悩む中小企業や製造業が損害を受けている。攻撃グループ「Qilin」の手口とは。業務の完全停止を防ぐための具体的な検出方法と併せて解説する。
DX（デジタルトランスフォーメーション）の推進やリモートアクセスの普及は、企業に恩恵をもたらす一方で、サイバー攻撃の標的領域を広げている。中でも、データを暗号化して復旧と引き換えに身代金を要求するマルウェア「ランサムウェア」は、サプライチェーン全体を巻き込み、甚大な経済的、社会的損失を引き起こす。特に人手不足に悩む企業にとって、事後処理に割く人的リソースの確保は困難な課題だ。
Cisco Systemsのセキュリティ研究機関であるCisco Talosは、2025年の日本におけるランサムウェア被害の実態と、そこから得られる早期検出の知見に関する調査結果を公開した。本調査は、2025年1月から12月までの1年間を対象期間とし、日本国内の組織を対象に、データリークサイトの掲載情報や被害組織の公式発表、メディア報道に基づいて集計されたものだ。
同調査によると、2025年の国内におけるランサムウェア被害件数は、2024年と比較して明らかな増加傾向を示している。特にランサムウェアグループ「Qilin」による組織的な攻撃が全体の被害を大きく底上げしており、セキュリティ体制に制限のある中小企業や製造業が主な標的となっている。
ランサムウェアによる業務停止を防ぐには、暗号化が実行される前の初期段階で不審な動きを捉え、脅威を処理する仕組みを実現することが不可欠だ。具体的にQilinはどのような手口を使っているのか。同グループの侵入経路や、誤検知を減らして脅威を早期発見するための実践的なアプローチを解説する。
“大量の誤検知”を防ぐための監視術
2025年に日本国内で報告されたランサムウェア被害は合計134件に上り、2024年の実績と比較して17.5％の増加となった。この中で最も大きな割合を占めたのがQilinだ。Qilinによる国内のインシデントは22件で全体の16.4％を占め、2番目に活動が活発な「Lynx」による被害件数の約4倍という突出した規模を記録した。グローバルで見てもQilinの活動は非常に活発であり、2025年10月単月だけでもリークサイトに掲載された被害組織の数は200を超えている。
業種別の分析では、製造業が被害組織全体の28％を占めて最多となり、自動車関連産業（8％）、商社（7％）が続いた。資本金ベースで見ると、中小企業が全体の57％と半数以上を占め、大企業（17％）を大きく上回っている。Qilinの標的として医療・社会福祉業が頻繁に狙われている点も特徴的だ。これは、業務の停止が人命や社会生活に直結し、深刻な結果をもたらす可能性のあるセクターを攻撃者が戦略的に優先していることを示唆している。
Qilinは、標的システムへの初期侵入に際して、主にメッセージアプリケーション「Telegram」などのオンラインサービスを通じて不正に入手した認証情報に依存している。標的のシステムに侵入すると、侵害後の活動に注力して組織的に制御範囲を広げる。運用成熟度は比較的高く、効率的に侵入を行うための実践的かつ段階的な手順書である攻撃マニュアルを保持していると考えられる。
Qilinのアフィリエイト（攻撃実行者）は、標的システムで稼働するEDR（Endpoint Detection and Response）などのセキュリティ監視を回避し、監視ツールを無効化するツール「EDR Killer」を展開していることが確認された。このマルウェアは300種類以上のEDRドライバーの無効化を試みるだけではなく、旧ソ連諸国で一般的に使用されている言語設定を持つシステムを感染対象から除外するジオフェンシング機能も実装している。これは、特定地域での法執行機関による捜査を逃れるための戦術であり、アフィリエイトが旧ソ連圏とつながりを持つ可能性を示している。
Cisco Talosの調査からは、初期の侵害から実際にランサムウェアが展開、実行されるまで、平均して約6日間の猶予があることが判明した。被害を阻止するには、事後の処理ではなく、実行前フェーズで攻撃を検出する機会に注力することが重要だ。しかし、攻撃者がユーザーアカウント作成に用いる標準的なコマンドを単純に監視するだけでは、正規の管理者による業務操作も誤検知してしまうリスクがある。
IT部門が日々の運用の中で大量の誤検知に忙殺されることなく、真の脅威を早期に発見するためには、以下の3つのアプローチを取り入れた監視の仕組みを導入するとよい。
- 複数のイベントの相関関係に基づいてアラートを生成する仕組み
- ユーザーアカウントの挙動が、本来の役割から逸脱していないかどうかを検証する仕組み
- 通常の営業時間外にコマンドが実行されたかどうかを確認する仕組み
例えば、「Windows」でアカウントを管理する「net user」コマンドの使用を検出する場合、単発の実行でアラートを上げるのではなく、「15分以内に3回以上実行された場合」にのみ発報するように相関ルールを調整することで、実用的な検知体制を実現できる。
2026年に向けて、外部からの重大な妨害がない限り、Qilinの影響力はさらに拡大する見込みだ。ランサムウェアの運用はより自動化が進み、攻撃者の手口はますます洗練される恐れがある。企業は、特定のセキュリティ製品に依存せず、共通の形式で脅威検出条件を定義・共有できる「Sigmaルール」などの指標を自社のシステム構成に合わせて適用し、侵入を前提とした早期検出・対処のプロセスを継続的にアップデートすることが求められる。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。
TechTarget ニュースプラス
国内のIT業界ニュースを迅速に報道します。企業動向から導入事例、市場トレンドまで幅広く取り上げ、実務に直結する情報をタイムリーに提供する連載です。
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
製品資料
[株式会社ウェーブスプリッタ・ジャパン] 100Gbps対応の光トランシーバーはどう選ぶ？ 10分で分かる選定のポイント -
製品資料
[株式会社フィックスターズ] 組み込み開発の生産性と機密性を両立、自社環境で構築する「セキュアAI」活用術 -
製品レビュー
[ServiceNow Japan合同会社] 問い合わせの約9割を自動で解決、AI主導の自律型CRMがもたらす業務変革の全貌 -
市場調査・トレンド
[ServiceNow Japan合同会社] AI活用が業務自動化で止まる理由は何か？ 調査で判明した課題と変革への道筋
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
マンガで解説：採択率は3割台？ デジタル化・AI導入補助金申請の落とし穴
-
2
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
3
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
4
【基本情報技術者試験】「デュプレックスシステム」と「デュアルシステム」の違いは？
-
5
なぜOpenAIやAnthropicのAIは「脱走」したのか 情シスが迫られるエージェント統制
-
6
Anthropicが明かす AIは入力データを「どこまで覚えているのか」
-
7
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
8
GitHubが指摘 AIが書いた「おそらく動くコード」が招くシステム崩壊
-
9
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
-
10
「高すぎるGPU」を捨てAI推論をCPUへ Armが示す電力とコストの現実解
ホワイトペーパーランキング PR
-
1
生成AIのハルシネーションを防止 回答精度を高めるセマンティックレイヤーとは
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
4
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
-
9
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
10
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー