ランサムウェア

世界的に有名なランサムウェアグループQilinの28歳のロシア国籍の核心メンバーが日本で逮捕され、10月2日に法的にドイツに引き渡されました。報道によると、彼は2024年9月にドイツの物流会社のシステムに不正侵入し、データを暗号化し、約16.5万ドル（約2600万円）のビットコインを要求し、脅迫した疑いがあります。調査によると、彼はQilinの犯罪ネットワークで攻撃システムの構築を担当し、各支部の実行チームから徴収された身代金の一部を取り分として受け取っていました。日本の警察は、今年5月下旬に彼が大阪に旅行中に拘束し、その後東京高等裁判所の判断により条件を満たしていると認定され、ドイツ側に引き渡されました。Qilinは「ランサムウェア・アズ・ア・サービス」（RaaS）モデルで運営しており、2025年には日本の朝日グループに対するサイバー攻撃の責任を主張したことがあります。

Decrypt の報道によると、欧州刑事警察機構の通報に基づき、スペインのアリカンテで 16 歳のルーマニア国籍の容疑者が逮捕され、ランサムウェアグループ KillSec の管理者および主要オペレーターである疑いが持たれています。さらに、20 代の容疑者 2 名がそれぞれイギリスとルーマニアで逮捕されました。また、今年 8 月に 18 歳になったばかりの開発者が特定されましたが、一部の犯罪が未成年の期間に発生したため、逮捕されていません。今回の作戦は Operation KillSwitch と呼ばれ、ドイツのハンブルク州刑事警察局とその市の検察機関が主導し、世界中で約 1000 件の疑わしい攻撃に関する捜査が行われており、現在約 500 件が成功した侵入として確認されています。法執行機関は、スペイン、ギリシャ、ルーマニア、イギリスの 8 か所を捜索し、5 台の中央サーバーを押収し、関連するドメイン名を封鎖通知ページにリダイレクトしました。また、少なくとも 110 TB の盗まれたデータを押収しました。KillSec は 2024 年頃から活動を開始し、ソフトウェアの脆弱性やセキュリティが不十分なクラウドストレージの入り口を利用して企業システムに侵入し、内部データをコピーしてダークウェブの漏洩サイトで被害機関を名指しし、公開文書で脅迫して暗号通貨の身代金を要求し、相手が支払わない場合はデータを無料で公開するとしています。スイス連邦警察は、このグループが二重の脅迫手法を採用しており、まずサーバーを暗号化し、その後圧力をかけると指摘しています。アメリカの検察の起訴によると、イギリスに住むオランダ国籍の Fouad Eltibrizi（通称 Archduke）は 9 月 16 日にプエルトリコの連邦大陪審によって起訴され、その後逮捕されて引き渡しを待っています。最高で 10 年の懲役に直面する可能性があります。欧州刑事警察機構の下にある欧州サイバー犯罪センターは、暗号通貨の資金追跡とデジタル証拠収集の支援を行っています。

ロサンゼルス郡の前副保安官エリック・サーベドラが21ヶ月の禁固刑を宣告されました。裁判所は、彼が法執行データベースを利用して暗号通貨業者の脅迫計画を助けたと認定しました。禁固刑の他に、サーベドラは90984ドルの賠償金を支払うよう命じられました。この件は、彼がアメリカ国税庁に373146ドルの収入を隠していたことに関連しています。

ネットワークセキュリティ会社 Check Point Research は、StopAndProtect ランサムウェアキャンペーンが約 2000 の侵害された WordPress サイトを利用してマルウェアを拡散し、データを盗み、被害者を監視し、ランサムウェアを展開していることを発見しました。このキャンペーンは 5 月中旬に発見されました。7 月 24 日までに、このキャンペーンは 6000 を超える独立した IP アドレスを侵害しており、その中にはアメリカが 1852、ロシアとインドがそれぞれ 630 あります。侵害されたサイトは、マルウェアのホスティング、指令の送信、盗まれたファイル、スクリーンショット、活動ログの保存にも使用されました。攻撃者は偽の CAPTCHA を通じて Windows ユーザーを誘導し、PowerShell コマンドを実行させ、資格情報や暗号通貨ウォレットのリカバリーフレーズを盗み、ネットワークおよび USB デバイスを介して拡散させました。研究者は 3.1 万枚以上のスクリーンショットと 700 以上のデータ圧縮パッケージを収集し、攻撃者が誤って自ら感染した可能性があると考えています。

最近、国家コンピュータウイルス緊急処理センターとコンピュータウイルス防止技術国家工程実験室は、国家コンピュータウイルス協調分析プラットフォーム（https://virus.cverc.org.cn）を利用して、国内で複数のユーザーが「Sorry」ランサムウェア攻撃を受けた事例を発見したと、CCTVニュースが報じています。ユーザーの重要なファイルは暗号化され、ファイル名は元のファイル名+.sorryという後継文字列に変更され、攻撃者はユーザーのホストにランサムノートを残し、ユーザーに暗号化通信ツールをダウンロードして連絡するよう要求しています。

アメリカ、EU、イギリスは共同で、国家級ハッカー組織、サイバー犯罪グループおよびそのインフラ提供者に対して制裁を実施することを発表しました。対象者は、世界中の企業、重要インフラ、政府機関に数十億ドルの損失をもたらしたとされています。特に注目されているのは、EUがロシア国籍のサイバー犯罪者Vitaly Nikolayevich Kovalev（仮名 "Stern"）に対して行った制裁です。EUは、Sternが悪名高いTrickbot Groupのランサムウェアグループの核心的な管理者の一人であると認定しています。この組織には、ContiランサムウェアやRyukなどの複数の高危険ランサムウェアの変種が含まれています。ブロックチェーン分析によれば、Sternに関連するウォレットアドレスは累計で3億ドル以上のランサムを受け取っており、これにより彼はこれまで確認された中で「最も規模の大きいランサムウェア運営者」となる可能性があります。分析によると、3億ドルはStern個人が得た収益を示すものであり、Trickbotグループ全体の違法収入はこれをはるかに上回る可能性があります。ブロックチェーンの資金の流れは、SternがRyuk、Conti、Diavol、Karakurt、Royal、Quantumなどの複数のランサムウェアエコシステムと取引関係にあったことを示しています。調査によれば、SternはTrickbot組織内で「CEO」のような役割を果たし、予算管理、スタッフの採用、インフラの調達、攻撃計画の策定を担当していました。

Decryptの報道によると、ウクライナの元警官が暗号通貨企業家を誘拐し、暴力、脅迫、虚偽の債務請求を通じて約220万ドルを恐喝した。検察は、このグループが少なくとも4人の被害者をターゲットにし、法執行手段、公式の交通機関、警察を装う手段を利用して犯罪を実行したと述べている。キエフ地域検察庁は、事前

オープンソースデータ可視化ツールGrafanaはXプラットフォームで発表し、最近、無許可の攻撃者がGrafana Labs GitHub環境にアクセスできるトークンを取得し、それを利用してコードリポジトリをダウンロードしたことを発見したと述べています。調査の結果、この事件は顧客データや個人情報の漏洩には関与しておらず、顧客システムやビジネス運営に影響があったことも確認されていません。事件発生後、直ちに証拠分析が開始され、認証情報の漏洩源を特定したと考えられています。また、環境の防護を強化するために追加のセキュリティ対策が講じられました。さらに、Grafanaは攻撃者がコードリポジトリの公開を阻止するために身代金を要求しようとしたことを明らかにしましたが、会社は最終的に身代金の支払いを拒否し、調査が終了した後にさらなる事件の振り返り情報を公開することを決定しました。

27歳のドイツ国籍のハッカー、Noah Christopherがタイのバンコクで逮捕され、彼はヨーロッパで最大74件のサイバー犯罪の逮捕状に直面しています。調査によると、この人物は2021年から2025年の間にランサムウェアプラットフォームおよび「サイバー犯罪サービス」（CaaS）システムを開発・運営した疑いがあり、分散型サービス拒否（DDoS）攻撃ツール（Fluxstress、Neldownerなど）を提供し、世界中の顧客にサイバー攻撃を実行させ報酬を受け取っていました。関連する身代金の支払いには暗号通貨やその他のデジタル資産が含まれ、国際的なサイバー犯罪活動を構成しています。現在、彼のビザは取り消されており、ドイツへの引き渡しを待って拘留されています。

著名なオンチェーン調査者ZachXBTは、本日、Aleksandr（Aleks）KhinkisというロシアのOTCブローカーが、2025年以降、単一の暗号取引プラットフォームアカウントを通じて、ランサムウェアグループのマネーロンダリングを助け、470万ドル以上を洗浄したとする調査結果を発表しました。関連する資金は、合計約796枚のビットコイン（BTC）を含む3件の疑わしい身代金支払いに関与しています。調査によると、これらの資金はビットコインとAvalancheの間でブリッジ転送された後、彼の取引プラットフォームの入金アドレス（0xa756）に分割して送金され、2025年から2026年の間に合計75件の送金が完了しました。さらに、約1660万ドルの資金は現在もAaveに保管されており、徐々に現金化されています。ZachXBTは複数の身代金取引を指摘しています：2025年9月には約72枚のBTCの身代金支払いが関連アドレスにブリッジ転送されたことがあり、2025年10月には約164枚のBTCの身代金も発見され、約380万ドルに変換されました。一部の関連アドレスは2025年11月にTetherによってブラックリストに載せられ、その後凍結されたUSDTは3週間前に焼却され、法執行機関とコンプライアンス機関が介入したことを示しています。さらに遡る2023年には、このアカウントは約560枚のBTCの身代金取引にも関与しており、これらの資金は複数の中介アドレスと取引プラットフォームを通じて流通した後、2024年に再びAvalancheネットワークにブリッジされました。さらに、調査は関連するビットコインの出所アドレスが複数のランサムウェアアドレスと高い関連性を持っていることを指摘しており、支払いの中継ノードとして機能している疑いがあります。部分的な資金は依然として休眠状態にあるものの、ZachXBTは今後も洗浄される可能性があると警告し、被害者に対して関連アドレスを迅速に報告し、資金を凍結できるよう呼びかけています。

据 Criptonoticias 报道，西班牙加利西亚自治区桑亨霍（Sanxenxo）市政府遭受勒索软件攻击，黑客加密了数千份行政文件并阻断系统访问，要求支付 5,000 美元比特币赎金。攻撃は1月26日に発生し、自治体のサーバーが完全にダウンし、17,000人以上の住民を抱えるこの都市の基本サービスの運営に影響を与えました。市政府はスペインの民間警察に通報し、身代金の支払いを拒否し、システムを復元するために毎日のバックアップを有効にしていると述べています。

根据《巴黎人报》报道，法国加密货币税务申报平台 Waltio 宣布，其遭到名为 "Shiny Hunters" 的黑客组织勒索。该组织声称已获取平台约 5 万名客户（其中大部分位于法国）的个人数据，并以此索要赎金。Waltio 是一家为加密货币持有者提供投资组合追踪和税务计算服务的公司。该公司表示已就此次 "企图勒索和破坏自动数据处理系统" 的事件向警方报案。报道指出，黑客据称在 2024 年就已获得了相关客户的电子邮件和账户余额信息。

据 Cointelegraph 报道，网络安全公司 Group-IB 研究人员发现，一款名为 "DeadLock" 的勒索软件正利用 Polygon 智能合约隐藏自身并轮换代理地址。该勒索软件于去年 7 月首次被发现，其通过调用特定智能合约动态更新用于与受害者通信的命令与控制基础设施地址。一旦受害者被感染且数据被加密，DeadLock 将发出勒索信，威胁若要求未获满足将出售被盗数据。研究人员指出，将代理地址存储在链上使得其基础设施极难被破坏，因为不存在可关闭的中心服务器，且区块链数据在全球节点上永久留存。这种滥用智能合约传递代理地址的方法具有极强变异性。尽管 DeadLock 目前曝光度较低且已知受害者数量有限，但其新颖的攻击手法仍对未予以重视的组织构成潜在威胁。

据 Group-IB 监测，勒索软件家族 DeadLock 正利用 Polygon 智能合约分发和轮换代理服务器地址，以逃避安全检测。该恶意软件于 2025 年 7 月首次被发现，通过在 HTML 文件中嵌入与 Polygon 网络交互的 JS 代码，利用 RPC 列表作为网关获取攻击者控制的服务器地址。这种技术与之前发现的 EtherHiding 类似，旨在利用去中心化账本构建难以被屏蔽的隐蔽通信通道。DeadLock 目前已出至少三个变体，最新版本还嵌入了加密通信应用 Session 以直接与受害者对话。

米国司法省の発表によると、2人のアメリカ人男性が ALPHV BlackCat ランサムウェアを使用してアメリカの複数のターゲットに対して攻撃を行った罪を認めました。ジョージア州出身のライアン・ゴールドバーグ（40歳）とテキサス州出身のケビン・マーティン（36歳）は、2023年4月から12月の間に ALPHV BlackCat ランサムウェアを展開したことを認めました。2人はネットワークセキュリティ業界の従事者であり、別の共謀者と共に ALPHV BlackCat 管理者に対して20%の身代金分配を支払ってランサムウェアの使用権を取得しました。1人の被害者から約120万ドルのビットコインを成功裏に奪った後、3人はそのうちの80%の身代金を分け合い、さまざまな方法でマネーロンダリングを行いました。2人の被告は2026年3月12日に判決を受ける予定で、最高で20年の懲役が科される可能性があります。

据 The Hacker News 报道，Qilin 勒索组织通过攻破韩国一家 IT 服务商 GJTec，发起 "Korean Leaks" 供应链攻击，导致 28 家金融企业受害、100 多万文件共计 2 TB 数据被窃。Bitdefender 调查发现该行动与朝鲜背景 APT "Moonstone Sleet" 有关，疑似与俄语系 Qilin 组织合作，目标对韩国金融市场施压。

ChainCatcher のメッセージによると、Bitcoin News が報じたところによれば、ランサムウェア組織「Rhysida」がアメリカ・メリーランド州の交通局から敏感なデータを盗み、これらのデータを 30 ビットコイン（約 340 万ドル）の価格でオークションにかけているとのことです。

ChainCatcher のメッセージによると、アメリカ司法省の情報に基づき、イギリス市民の Thalha Jubair が少なくとも 120 件のネットワーク侵入およびランサムウェア攻撃に関与したとして起訴され、47 のアメリカの団体が関与しており、被害者が支払った身代金の総額は 1.15 億ドルを超えています。起訴状は、19 歳の Jubair（別名「EarthtoStar」、「Brad」、「Austin」など）が「Scattered Spider」と呼ばれるサイバー犯罪グループと協力し、ソーシャルエンジニアリング技術を通じて不正なネットワークアクセスを取得し、情報を盗み暗号化した後、被害者に身代金を要求したとしています。このグループは、アメリカの重要なインフラ企業やアメリカの裁判所システムにも攻撃を行いました。法執行機関は 2024 年 7 月にサーバーを押収した際、約 3600 万ドル相当の暗号通貨を押収することに成功しました。Jubair はコンピュータ詐欺、電気通信詐欺、マネーロンダリングなどの多くの罪で起訴されており、最大で 95 年の懲役刑に直面しています。

ChainCatcher メッセージ一つのいわゆる欧州刑事警察機構（Europol）がロシアのランサムウェアグループ Qilin の管理者を追跡するために 5 万ドルの懸賞をかけたというニュースは、実際には Telegram の詐欺です。この虚偽の懸賞メッセージは、複数のサイバーセキュリティニュースメディアを欺き、Europol が Qilin の二人の管理者 Haise と XORacle に関する情報を提供できる者に報酬を支払うと誤解させました。報告によれば、これら二人は「関連組織を調整し、ランサム活動を監督する」責任があり、Europol は「これらの管理者を特定または位置づけることに直接つながる情報」を求めています。しかし、Europol は Security Week に対し、このいわゆる懸賞は実際には「詐欺」であり、同機関はそのような懸賞を発表したことはないと確認しました。

ChainCatcher メッセージ、アメリカ合衆国司法省は、バージニア州、カリフォルニア州、テキサス州の連邦裁判所が6件の捜索令を解除した後、280万ドル以上の暗号通貨、7万ドルの現金、そして高級車1台を押収したと発表しました。これらの資産は、イアニス・アレクサンドロビッチ・アントロペンコ（Ianis Aleksandrovich Antropenko）が洗浄したランサムウェア犯罪の所得に関連しているとされ、彼は現在テキサス北部地区で起訴されています。起訴状によれば、アントロペンコとその仲間はゼッペリンランサムウェアを展開し、被害者のシステムに侵入してデータを暗号化し、情報を盗み出した後、ファイルの復号化、漏洩の防止、または盗まれたデータの削除と引き換えに身代金を要求しました。被害者には、アメリカ国内外の個人、企業、機関が含まれています。捜索令によると、アントロペンコは複数の手段を通じてランサムの所得を洗浄しており、その中には2023年に国際的な法執行機関によって解体された暗号通貨ミキシングサービスであるChipMixerの使用が含まれています。彼はまた、暗号通貨を現金に換え、規制を回避するために口座に分割して預け入れていました。