活動量上位ランサムウェアグループの動向と生成AIの情報流出リスク

活動量上位グループではThe Gentlemenが公開攻撃件数全体の17％を占め、11％のQilinを上回った。LockBitは前月1％から7％へ増加し、3番手となった。

The Gentlemenは2025年半ばに設立されたRaaS（Ransomware as a Service）運営組織で、関連フォーラムで攻撃実行を担うアフィリエイトを募集した。RaaS提供機能に加え、初期侵入経路提供機能も持ち、事前侵害済みFortiGate機器約1万4000台へのセルフサービス型アクセスを提供した。公開被害件数は320件超、Check Point Research分析では実際の侵害件数推計1570件超となった。Windows、Linux、ESXiへ対応する暗号化機能を備え、2026年5月にはEDR回避手法変更も公表した。米国の被害割合は12％にとどまった。ランサムウェア全体では米国が被害の約半数を占めるのに対し、同グループは侵害済み機器の所在地が被害地域を左右する構図だ。

Qilinは2022年から活動実績を持つRaaS組織で、旧名称AgendaからQilinへ改称後、Rust製暗号化機能や運営基盤を拡充した。RansomHub活動終了後はアフィリエイトの募集を強化し、2025年3月以降は情報公開件数を増やした。

LockBitは2019年開始のRaaS組織で、2021年に機能強化版を公開した。主な標的は大企業と政府機関で、身代金支払いがない場合は窃取データ公開日時を示す運用を採用した。暗号化速度の高さでも知られる。

業種別では教育分野が週間平均4816件で首位だった。前年同月比16％増となり、政府分野は2836件で同5％増、通信分野は2835件で同13％増だった。教育機関は開放的なネットワーク、多数の端末入れ替え、限られたセキュリティ資源などを背景として標的になりやすい状況が続いた。政府分野と通信分野も高い攻撃件数を記録し、世界全体の攻撃件数に占める割合が大きい状態が続いた。

地域別では中南米が週間平均3501件で首位となり、前年同月比27％増だった。APACは3060件で同5％増、欧州は22％増、北米は14％増だった。アフリカは3008件で前年同月比9％減となり、調査対象地域の中で唯一減少した。

生成AI利用に伴う情報流出リスクも集計した。企業ネットワークから送信されたプロンプトの26件に1件が機密情報漏えいリスクの高い内容とされ、世界平均のリスク率は3.9％だった。生成AIを継続利用する組織の85％で高リスクなプロンプトが確認された。高リスクと判定されたプロンプトとは別に、27％のプロンプトが機密性を持つ可能性のある情報を含んだ。2026年6月の1カ月間で、各組織は平均7種類の生成AIツールを利用し、利用者1人当たり平均78件のプロンプトを生成した。

地域別の高リスク率は中南米5.2％、欧州3.9％、北米3.6％、APAC3.5％だった。業種別では医療分野が5.7％で首位となり、通信分野とビジネスサービス分野が各5.1％、情報技術分野が4.1％で続いた。

プロンプトへ含まれた機密情報では個人情報が80％の組織で確認された。ネットワークやインフラ関連情報は62％、法務・規制関連情報は61％、財務情報は60％、従業員情報は57％だった。調査結果は、幅広い種類の情報が生成AIツールへ入力された実態を示した。

調査は、世界各地で攻撃件数増加が広がった状況、生成AI利用に伴う情報流出リスク分布、ランサムウェア勢力図変化を示す内容となった。

なおCheck Pointによる今回の発表は、二重脅迫型グループが被害者情報を公開するリークサイトの掲載情報を同社が集計・分析したものだ。