アサヒGHDも標的に 被害1200％増のランサムウェア集団「Qilin」急拡大の裏側：深刻度“中”の脆弱性でも放置してはいけない

ランサムウェア集団「Qilin」は、2024年から2025年にかけて急速に活動を拡大させている。トレンドマイクロの調査から見えてきた、企業が放置している致命的な不備とは何か。

[TechTargetジャパン]

　トレンドマイクロは、企業におけるリスク動向を分析した「TrendAI 2026 サイバーリスクレポート」を公開した。本調査は、同社の統合セキュリティサービス「TrendAI Vision One」を利用するユーザー企業を対象に、主として2025年通年のテレメトリーデータから数千に及ぶシステムの観測結果を分析したものだ。

　企業全体のセキュリティリスクを定量化する「サイバーリスクインデックス」（CRI）の世界平均は、2024年の38.5から2025年は35.8へと低下し、数値上は改善傾向を示した。しかし、その実態は決して楽観視できるものではない。

　脅威グループの活動を追跡したデータによると、確認済みのランサムウェア侵害件数は2024年比で236.0％の増加を記録した。中でも目を引くのが、同年比1270.0％増という驚異的な伸びを示して、活動ランキングの首位に躍り出たランサムウェア（身代金要求型マルウェア）グループ「Qilin」の急拡大だ。

　Qilinは2025年、国内大手飲料メーカーであるアサヒグループホールディングスへのサイバー攻撃でも名が挙がり、大きな注目を集めた。なぜQilinのような特定グループがこれほどまでに被害を拡大させられるのか。データから見えてきた「深刻度評価のわな」と、企業が気付かない攻撃の出発点を深掘りする。

ランサムウェア被害を招く「単純な隙」

併せて読みたいお薦め記事

トレンドマイクロの調査を読み解く

• 「GitHubで人気」は信じるな？　トレンドマイクロが暴いたMCPサーバの脆弱性
• パスワード使い回しは8割超　危険な運用をやめない人々の胸の内

　こうしたQilinの急成長は、ランサムウェアのエコシステムがより高度に細分化し、活発化していることを示している。同グループはサイバー攻撃をサービスとして提供する「Ransomware as a Service」（RaaS）を展開しており、その勢いは「アフィリエイト」と呼ばれる実行役ネットワークの大幅な拡大を反映したものだ。主要グループが法執行機関に摘発される中で生じた空白を、複数の新興グループが埋め合わせている。

　Qilinが企業のネットワークに侵入する手口は、攻撃経路予測のデータセットによって明らかになった。231万7503件の攻撃経路予測の中で、起点として最も多く悪用されていたのは「未修正の脆弱（ぜいじゃく）性」だった。これに続くのが、推測しやすいパスワードを狙い撃ちにする「パスワードスプレー」（113万5327件）や「パスワード推測」（88万0527件）といった、アイデンティティーに対する攻撃だ。攻撃者は、多要素認証（MFA）が無効化されたアカウントなど、管理の不備を徹底的に突いている。

　さらに深刻な問題として浮上したのが、脆弱性の「深刻度」に対する企業の思い込みだ。未修正のまま放置されている脆弱性の上位10件のうち、3件は共通脆弱性評価システム（CVSS）のスコアが「4.3」「5.5」「6.5」という中程度の深刻度に分類されるものだった。

　これらは単体では致命的な被害をもたらしにくいが、ローカルマシンでの情報漏えいを引き起こす可能性がある。攻撃者はこれらの「中程度の脆弱性」を足掛かりにして、同じシステムに存在するリモートコード実行や権限昇格といった深刻度がより高い脆弱性の悪用を容易にしている。CVSSスコアが低いという理由でパッチ適用の優先度を下げている企業は、致命的な攻撃を成功させるための条件を自ら放置していることになる。

　デジタルトランスフォーメーション（DX）が急速に進む業界でのリスクが高止まりしていることも判明した。2025年に最も高い平均CRIを記録したのは鉱業（42.5）であり、ヘルスケア（40.3）、農業（40.3）が続いた。鉱業では地理的に分散した拠点でのセンサーや自律走行車両の導入が進む一方、標的型フィッシングが初期侵入の主要な経路となっており、基本的な対策が追い付いていない。

　企業規模別に見ても、従業員1万人を超える大規模企業のCRIが40.4であるのに対し、従業員5001人から1万人の中堅企業は41.5と、全規模の中で最も高いリスクスコアを記録している。大企業に匹敵する複雑なネットワークを持ちながら、専任の運用チームやシステムへの投資が追い付いていないことが要因だとトレンドマイクロは推測する。

　特定攻撃グループの戦術に特化した事後対処型の防衛策では、絶えず形を変える脅威には対抗できない。企業は、中程度の脆弱性が連鎖するリスクを正しく評価し、アカウント管理を自動化するなど、自社のシステムに内在する根本的なリスク要因を削減する取り組みを継続的に実施すべきだ。