イベントレポート

Security Days Fall 2025

ランサムウェア集団「Qilin」は医療機関もお構いなし。犯罪アクターの融合が進む？

小林哲雄

2025年10月30日 12:55

日本プルーフポイント株式会社チーフエバンリストの増田幸美氏

　東京都内で10月21日～24日に開催されたサイバーセキュリティ専門のセミナー／展示会イベント「Security Days Fall 2025」で行われた講演の中から、本記事では「敵を知る - 生成AIで崩れた言語壁：世界で最も狙われる日本に必要な守りの再定義」の内容の一部を紹介する。講師は日本プルーフポイント株式会社チーフエバンリストの増田幸美氏。今回の講演のメイントピックは、アサヒグループHDへのランサムウェア攻撃に関与しているとされる「Qilin」だ。

Qilinのリークサイトに掲載された、アサヒグループHDについての内容。「アナリストの試算では、10月中に完全復旧できなければ第4四半期の国内利益は83％減になる」などとえげつないことが書かれている

10月になってさらに活動が活発化する「Qilin」

　Qilinは、RaaS（Ransomware as a Service）を運営しているグループの名前と思えばいいだろう。増田氏は「マスコミは『Qilinが攻撃している』という言い方をしているが、違う」と指摘。RaaSは、ランサムウェア攻撃を仕掛けるだけの技術力や開発力などがない攻撃者（“アフィリエイター”という）でも攻撃を行えるようにする環境を提供する。そのため、実際に攻撃を行うアフェリエイターの名前は報道では表に出てこない。今回の事例でいえば、「Qilinのシステムを使ったランサムウェア攻撃」とでも言えばいいだろうか。

　蛇足だが、ランサムウェア攻撃とは、攻撃対象のサーバーなどのデータを暗号化して“人質”にとり、それを復号化するキーと引き換えに身代金を要求するものだ。データバックアップが完全であれば、暗号化されるだけなら被害は小さいが、現在はデータを盗んでから暗号化し、「データを公開されたくなければ金を払え」という二重脅迫に発展している。データを盗むのが主目的で、暗号化と脅迫はかく乱のために行うこともあるという。

リークサイトに掲載された2025年のランサムウェア被害組織数トップ10で最も多いのが、今回取り上げる「Qilin」だ

　Qilinはロシアを拠点としているグループで、2022年7月から活動を開始している。ターゲットは政府機関、製造、医療、テクノロジー、ビジネスサービス、金融と幅広い。増田氏によると「身代金の要求額は5万ドル～80万ドルで、このうち15～20％がQilinの手元に入る」という（注：アフィリエイターの手元に80～85％が入る計算だが、実際には、初期侵入の手口を指南する“イニシャルアクセスブローカー”にも支払われるのが一般的と言われている）。

Qilinはロシアを拠点とする愛国主義者的なRaaSグループ。2022年に活動を開始したが、今年最も活動しているグループと言える

RaaSでは、ランサムウェア攻撃システムを貸し出す。実際の攻撃はアフィリエイターが行い、利益を分配するビジネスモデルとなっている。これとは別に、初期侵入データを提供するブローカーも存在する分業体制だ

　Qilinの人気は、手数料が他のRaaSより少ないことに加え、“信頼度”もあるという。「身代金は通常、RaaSに入金されるが、『俺たちFBIに捕まっちゃったので払えない』と持ち逃げしたRaaSグループが出たことで（アンダーグラウンドの中で）信用問題となった。Qilinは逆に、アフィリエイターに身代金を入金させ、そこから手数料をもらうかたちに変更した」（増田氏）という。

身代金をRaaS側が持ち逃げした事例があったことを受け、Qilinは2023年、身代金をまずアフィリエイターに入金させ、そこから分配金を受け取る方法にして信頼度を上げている

RaaSグループ連携の背後には国家の意図が？

　Qilinの活動は2025年になってから増えだし、リークサイトに掲載された被害組織の数は10月だけですでに165と非常に多い。2023年以降、現在までに964組織が掲載され、そのうち日本の組織は21だ。

2023年以降、Qilinによってリークサイトに掲載された被害組織は964で、そのうち21が日本の組織。今年になって公表数が増えだし、10月単月での165は、前述のトップ10で10位のグループの年間数を超えている

　急増した背景として、増田氏は2つの点を示した。1つ目は「ロシア語圏RaaSの協力体制」だ。今年3月にDragonForceというRaaSグループが、RansomHubとBlackLockというグループを併合し、9月にはDragonForceがLockBit、Qilinと連合体制をとるという発表がなされた。その後、Qilinの犯行声明数が急増している。

DragonForceがRansomHubとBlackLockを統合するという、一般企業のM&Aのようなことが起こった

その後、DragonForce、LockBit、Qilinの連合を発表。それぞれ得意分野の提供を行うことでの拡大なのか、背後の元締めが一本化したのか……背景は不明だ

かつて存在感を示していたLockBitは、テイクダウンおよびメンバー逮捕により存在感が小さくなったが、3者連合で勢力図が変わるかもしれない

　なお、Qilinは、RaaSとしては禁じているところもある医療機関にも侵入する。祖国に自由をもたらすお金のために戦っており、お金は目的ではなく手段だとして、「（医療機関への）攻撃を後悔していない」という発言もしているという。

　英国では大手の血液診断・病理診断を行う機関に攻撃した結果、ロンドンの複数の病院で手術・診療がキャンセルされた。約束を守らない疑似同盟国にも報復をすると発言しており、これはロシアに経済制裁を行っている日本もターゲットになることを意味している。

Qilinの主張では、祖国に自由をもたらすお金のために戦っており、お金を手段の1つとしている。米国が最大のターゲットなのはそのためで、経済制裁に加わっている日本もターゲットに入るのは当然だろう

RaaSは医療機関はあまり狙わないイメージだが、Qilinは敵対国の医療機関もターゲットとしている。英国では手術・診察がキャンセルされる事態になっており、日本のクリニックも攻撃された

　さらに増田氏は「西側諸国との捕虜交換で解放されたロシアのサイバー犯罪者がロシアの傭兵となっているのでは？」と指摘した。以前は（金銭目的の）サイバー犯罪者、国家支援で情報収集を狙うAPT（Advanced Persistent Threat）、ハクティビストとして分離していた組織が融合しつつあるという見解を示している。

　APTの背後は国家というのが一般的に言われている。一方、RaaSを隠れ蓑にして国家がランサムウェア攻撃を行い、情報を活用している可能性は否定できない。