ますます狙われる中小企業と製造業
アサヒグループも襲ったQilinの手口とは 2025年国内被害22件に
2025年の国内ランサムウェア被害は増加の一途をたどり、人手不足に悩む中小企業や製造業が損害を受けている。攻撃グループ「Qilin」の手口とは。業務の完全停止を防ぐための具体的な検出方法と併せて解説する。
DX（デジタルトランスフォーメーション）の推進やリモートアクセスの普及は、企業に恩恵をもたらす一方で、サイバー攻撃の標的領域を広げている。中でも、データを暗号化して復旧と引き換えに身代金を要求するマルウェア「ランサムウェア」は、サプライチェーン全体を巻き込み、甚大な経済的、社会的損失を引き起こす。特に人手不足に悩む企業にとって、事後処理に割く人的リソースの確保は困難な課題だ。
Cisco Systemsのセキュリティ研究機関であるCisco Talosは、2025年の日本におけるランサムウェア被害の実態と、そこから得られる早期検出の知見に関する調査結果を公開した。本調査は、2025年1月から12月までの1年間を対象期間とし、日本国内の組織を対象に、データリークサイトの掲載情報や被害組織の公式発表、メディア報道に基づいて集計されたものだ。
同調査によると、2025年の国内におけるランサムウェア被害件数は、2024年と比較して明らかな増加傾向を示している。特にランサムウェアグループ「Qilin」による組織的な攻撃が全体の被害を大きく底上げしており、セキュリティ体制に制限のある中小企業や製造業が主な標的となっている。
ランサムウェアによる業務停止を防ぐには、暗号化が実行される前の初期段階で不審な動きを捉え、脅威を処理する仕組みを実現することが不可欠だ。具体的にQilinはどのような手口を使っているのか。同グループの侵入経路や、誤検知を減らして脅威を早期発見するための実践的なアプローチを解説する。
“大量の誤検知”を防ぐための監視術
2025年に日本国内で報告されたランサムウェア被害は合計134件に上り、2024年の実績と比較して17.5％の増加となった。この中で最も大きな割合を占めたのがQilinだ。Qilinによる国内のインシデントは22件で全体の16.4％を占め、2番目に活動が活発な「Lynx」による被害件数の約4倍という突出した規模を記録した。グローバルで見てもQilinの活動は非常に活発であり、2025年10月単月だけでもリークサイトに掲載された被害組織の数は200を超えている。
業種別の分析では、製造業が被害組織全体の28％を占めて最多となり、自動車関連産業（8％）、商社（7％）が続いた。資本金ベースで見ると、中小企業が全体の57％と半数以上を占め、大企業（17％）を大きく上回っている。Qilinの標的として医療・社会福祉業が頻繁に狙われている点も特徴的だ。これは、業務の停止が人命や社会生活に直結し、深刻な結果をもたらす可能性のあるセクターを攻撃者が戦略的に優先していることを示唆している。
Qilinは、標的システムへの初期侵入に際して、主にメッセージアプリケーション「Telegram」などのオンラインサービスを通じて不正に入手した認証情報に依存している。標的のシステムに侵入すると、侵害後の活動に注力して組織的に制御範囲を広げる。運用成熟度は比較的高く、効率的に侵入を行うための実践的かつ段階的な手順書である攻撃マニュアルを保持していると考えられる。
Qilinのアフィリエイト（攻撃実行者）は、標的システムで稼働するEDR（Endpoint Detection and Response）などのセキュリティ監視を回避し、監視ツールを無効化するツール「EDR Killer」を展開していることが確認された。このマルウェアは300種類以上のEDRドライバーの無効化を試みるだけではなく、旧ソ連諸国で一般的に使用されている言語設定を持つシステムを感染対象から除外するジオフェンシング機能も実装している。これは、特定地域での法執行機関による捜査を逃れるための戦術であり、アフィリエイトが旧ソ連圏とつながりを持つ可能性を示している。
Cisco Talosの調査からは、初期の侵害から実際にランサムウェアが展開、実行されるまで、平均して約6日間の猶予があることが判明した。被害を阻止するには、事後の処理ではなく、実行前フェーズで攻撃を検出する機会に注力することが重要だ。しかし、攻撃者がユーザーアカウント作成に用いる標準的なコマンドを単純に監視するだけでは、正規の管理者による業務操作も誤検知してしまうリスクがある。
IT部門が日々の運用の中で大量の誤検知に忙殺されることなく、真の脅威を早期に発見するためには、以下の3つのアプローチを取り入れた監視の仕組みを導入するとよい。
- 複数のイベントの相関関係に基づいてアラートを生成する仕組み
- ユーザーアカウントの挙動が、本来の役割から逸脱していないかどうかを検証する仕組み
- 通常の営業時間外にコマンドが実行されたかどうかを確認する仕組み
例えば、「Windows」でアカウントを管理する「net user」コマンドの使用を検出する場合、単発の実行でアラートを上げるのではなく、「15分以内に3回以上実行された場合」にのみ発報するように相関ルールを調整することで、実用的な検知体制を実現できる。
2026年に向けて、外部からの重大な妨害がない限り、Qilinの影響力はさらに拡大する見込みだ。ランサムウェアの運用はより自動化が進み、攻撃者の手口はますます洗練される恐れがある。企業は、特定のセキュリティ製品に依存せず、共通の形式で脅威検出条件を定義・共有できる「Sigmaルール」などの指標を自社のシステム構成に合わせて適用し、侵入を前提とした早期検出・対処のプロセスを継続的にアップデートすることが求められる。
Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。
TechTarget ニュースプラス
国内のIT業界ニュースを迅速に報道します。企業動向から導入事例、市場トレンドまで幅広く取り上げ、実務に直結する情報をタイムリーに提供する連載です。
関連記事
新着ホワイトペーパー PR
-
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用 -
技術文書・技術解説
[NTTインテグレーション株式会社] 「耐量子計算機暗号」（PQC）に今、取り組むべき理由とは？ 実現の道筋も解説 -
製品資料
[株式会社リンプレス] どうしたら非デジタル人材を「自走するDX推進者」に変えられるのか？ -
製品資料
[アステリア株式会社] 既存システムをAIレディに変える「連携型モダナイゼーション」の手法とは？ -
製品資料
[アステリア株式会社] 「データ連携」徹底解説 要件整理から連携手法、ツール選択まで
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
2
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
5
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
6
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
7
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
8
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
9
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
-
10
1200万円のSaaS導入を回避 スギ薬局「運用費10万円」のAIエージェント構築術
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
3
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
4
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
5
「IT史に名を残すシステム障害」8選
-
6
SASE選定は「見極め力」で大きな差――本当に必要な製品を選ぶための6つの視点
-
7
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
8
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
9
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー