Black Kiteの2026年のランサムウェア報告書：脅威の経済が速く、より断片化している

Black Kiteの2026年ランサムウェア報告書は、ランサムウェア市場がもはや、1つの支配的なギャング、注目を集める1件の摘発、あるいは1つの攻撃手法だけで定義されるものではないことを示している。同社が2025年4月1日から2026年3月31日までに確認した公表済み被害組織は7,551件で、前回報告期間の6,046件から増加した。ただし、総数の増加以上に重要なのは、その増え方である。活動は年度後半に急加速し、新たなランサムウェア集団が速いペースで出現した。また、信頼されているソフトウェアプラットフォームが、自社の内部環境を十分に保護していたはずの組織に侵入する経路として使われる例も増えた。

ランサムウェアの増加は形を変えた

Black Kiteは2022年からランサムウェア被害の公表情報を追跡している。最初の報告期間に記録された被害組織は約2,700件だった。その後、4,893件、6,046件へと増え、今回7,551件に達したが、年間の増加数だけでは最新期間に活動がどれほど急激に加速したかを十分に捉えられない。

最初の6カ月間の被害組織は2,904件だったのに対し、2025年10月から2026年3月までには4,647件に上った。3月だけで公表被害組織は861件となり、Black Kiteが4年間で記録した月間最多を更新した。この勢いは報告期間の締め日後も続き、2026年4月から6月までにさらに2,230件の被害が確認された。

従来のランサムウェア拡大局面とは異なり、今回の急増は1つの支配的集団や単一の大事件によるものではなかった。複数の運営者が同時に規模を拡大し、既存集団がアフィリエイト網を広げ、新規参入者がより低コストで参加する方法を得た結果である。

過密化した市場にも強力な主導者がいる

ランサムウェアは、もはや少数の有名ギャングが緊密に組織された犯罪集団として支配する市場ではない。サービス経済としての性格が強まっている。中核の運営者がマルウェアを開発し、リークサイトを維持し、支払いを処理してインフラを提供する一方、アフィリエイトが企業ネットワークへの侵入経路を見つけ、攻撃を展開する。このモデルでは、参加者全員が高度な技術を持っていなくても集団を急速に拡大できる。

Black Kiteは報告期間中に活動していたランサムウェア集団を127組確認し、そのうち61組は初めて登場した。完全な新規組織もあれば、既存組織の消滅後に生まれたブランド変更や分派である可能性があるものも含まれる。その結果、攻撃者がブランド間を移動し、ツールを再利用し、あるいは一から運営を再構築せずに新しいリークサイトを立ち上げられる、より流動的な市場になった。

こうした分散化にもかかわらず、活動の大きな部分は依然として少数の集団が生み出している。最も顕著なのがQilinで、年間1,358件の被害を主張し、2位の競合組織のほぼ2倍に達した。同集団はRansomware-as-a-Serviceの仕組みで活動し、アフィリエイトに攻撃ツールを提供する一方、交渉、支払い、被害公表などの機能を集中管理している。

他のブランドは異なる道をたどった。前回期間に有力組織の1つだったRansomHubは、2026年初めに被害者の掲載を停止した。LockBitは以前の摘発後に復帰したものの、主張した被害は186件にとどまり、かつての影響力を取り戻したというより限定的な回復だった。

こうした変化は、ランサムウェアのブランドを通常の企業のように見るべきでない理由を示している。1つの集団が姿を消しても、そのアフィリエイト、手法、インフラは別名で存続し得る。法執行機関の措置、内部対立、信頼低下を受けて運営者が閉鎖しても、数週間後には新たなリークサイトでおなじみの戦術が再び現れることがある。

したがって、市場は過密化すると同時に集中化している。新規参入者はすぐに現れられるが、規模を拡大するには、信頼できるアクセスブローカー、経験豊富なアフィリエイト、決済インフラ、そして宣伝どおりに動くマルウェアを提供するという評判がなお必要になる。

標的の構成が変化している

ランサムウェア攻撃は通常、暗号化ではなくアクセスから始まる。攻撃者はパッチ未適用でインターネットに公開されたシステムを悪用し、従業員端末から認証情報を盗み、リモートアクセスソフトウェアを悪用し、あるいはヘルプデスクをだましてアカウントをリセットさせる。侵入後は組織内を横移動し、価値の高いシステムを特定し、機密データをコピーして、支払いを要求できるだけの業務上または評判上の圧力を作ろうとする。

Black Kiteのデータでは、米国が引き続き最も頻繁に狙われた国で、確認された被害組織のほぼ半数を占めた。ただし、他の複数市場ではランサムウェア活動がさらに速く増加した。ドイツ、フランス、スペイン、イタリアはいずれも大幅な増加を記録し、アジアの複数国でも、低い基準値からではあるものの急増が見られた。

この地理的拡大は、アフィリエイトが限られた国だけに狙いを絞らず、アクセス可能な組織ならどこでも追うようになった市場を反映している。かつては言語の壁と地域知識の不足が国際展開を難しくしていたが、自動翻訳、広く利用できる偵察ツール、共有される犯罪インフラによって、その摩擦の一部が減った。

製造業は公表被害組織が1,660件で、引き続き最も標的にされた業界だった。短時間の停止でも生産が中断し、注文が遅れ、供給者や顧客に影響するため、製造業は魅力的な標的になる。また、多くの企業が最新の業務システムと古い運用技術を併用しており、パッチ適用や一時停止が難しい環境を抱えている。

2位は専門・科学・技術サービスだった。これらの企業は複数顧客の機密情報を保有していることが多く、1件の侵入が最初の被害組織をはるかに超えた圧力を生み得る。法律事務所、エンジニアリング会社、コンサルティング会社、技術プロバイダーは、攻撃者を別の組織へ導く認証情報やアクセス権を持っている場合もある。

建設業は3位に上昇した。分散したプロジェクトチーム、請負業者、クラウドアプリケーション、決済システムへの依存を反映したものだ。医療分野も引き続き多く狙われた。サービス停止が直ちに業務上および公共安全上の問題になり得るためである。

報告書は、攻撃者が中規模組織をより重視していることも示している。売上高1,000万ドルから1億ドルの企業が、確認された活動の大きな部分を占めた。これらの企業は価値のあるデータを持ち、支払い能力もあり得る一方、最大手企業が持つ専任のセキュリティチームや多層防御を欠いていることが多い。

大企業が無視されているわけではない。ランサムウェア運営者は、見込まれる支払額と攻撃のコスト・難易度を比較しているとみられる。小規模メーカー、地域の請負業者、専門サービス企業は、広範な監視体制とインシデント対応リソースを持つ多国籍企業より、短時間で混乱を起こせる可能性がある。

信頼されるプラットフォームが攻撃対象領域の一部になった

この1年で最も影響の大きかった事件の中には、被害組織の中核ネットワーク内で始まらなかったものがある。Software-as-a-Service連携、OAuthトークン、企業資源計画アプリケーション、サポートプラットフォーム、その他の機密な業務データに接続されたシステムを通じて侵入が進んだ。

報告書は、委任された信頼が攻撃経路になり得る例として、Salesforce (CRM ) 関連のキャンペーンを挙げている。接続アプリケーションに関連する侵害されたOAuthトークンによって、攻撃者が顧客のSalesforce環境へアクセスしたとされる。カスタマーサービスやカスタマーサクセスのプラットフォームとの連携も、データへの追加経路を生み出した。

このような場合、組織が強固な内部統制を維持していても、十分に把握または監視していないベンダー関係を通じて危険にさらされる。数カ月前に発行されたトークン、過剰な権限を与えられたアプリケーション、保護が不十分なサポートアカウントが、従来型のマルウェア感染なしで攻撃者にアクセスを与える可能性がある。

Oracle E-Business Suiteは、同じ問題が大規模悪用として現れた例である。Black Kiteは、Oracle EBS環境からのデータ窃取を主張する攻撃と、パッチ提供前にCVE-2025-61882が悪用された可能性を伴うキャンペーンを説明している。

報告期間後のPeopleSoft関連活動も、より広い教訓を裏付けた。1つの露出したプラットフォームが多数の下流被害者を生み出し、ベンダーのID統制、権限、脆弱性が、すべての顧客のランサムウェア・リスクの一部になり得る。

警告の兆候はしばしば見えていた

Black Kiteの公表前分析では、多くの被害組織がランサムウェアのリークサイトに掲載される前から、外部から観測できる弱点を示していた。分析対象の3分の2超にセキュリティ設定不備があり、公開されたリモートアクセスサービス、ソフトウェア脆弱性、詐欺ドメイン、盗まれた認証情報も頻繁に見られた。

60%以上の組織に、ランサムウェアと関連性の高い3種類の所見、すなわち既知のソフトウェア脆弱性、認証情報の漏えい、インフォスティーラーのログのうち、少なくとも1つが存在した。約10組織に1組は3つすべてを抱えていた。

これらの兆候は、特定の侵入をどの弱点が引き起こしたかを証明するものではない。認証情報が露出していた組織でも、最終的には別の脆弱性を通じて侵害された可能性がある。それでもこの結果は、多くの将来の被害組織が、攻撃が公になる前から魅力的な標的として見えていたことを示す。

報告書のRansomware Susceptibility Indexは、その露出をより直接的に測ろうとするものだ。Black Kiteによると、最高リスク帯の企業は、最低リスク帯の組織より公表されるランサムウェア事件を経験する可能性がはるかに高かった。

実務上の教訓は、ランサムウェア・リスクが均等に分布していないということだ。攻撃者は複数の弱点が重なる組織を狙うことが多い。特に、未修正システム、露出した認証情報、緩いID権限が複数の侵入経路を作る場合にその傾向が強い。

支払い率の低下が恐喝戦術を変えている

ランサムウェア市場は、支払い行動の予測可能性が低下する中でも拡大した。Black Kiteは身代金支払いを直接測定していないが、複数の外部インシデント対応データを比較し、支払いを選ぶ被害組織が減っていることを示している。

あるデータセットは2025年第2四半期の支払い率を26%と報告した。別のデータセットでは次の四半期が23%で、データ窃取のみの事件では19%だった。これらは異なる母集団から得た数値であり、市場全体を連続して測定したものとして読むべきではないが、いずれも同じ方向を示している。

一方、支払いに応じた組織の金額は依然として大きい。報告書が引用したデータセットの1つでは、データ復旧のために支払った調査対象組織の支払額中央値は100万ドルだった。

支払いに至る割合の低下は、必ずしもランサムウェアの収益性を下げない。運営者がより多くの被害者を狙い、攻撃1件当たりのコストを下げ、あるいは圧力の種類を増やす方向へ進む可能性がある。現在では暗号化とともに、データ窃取、公表、なりすまし、顧客への直接連絡、規制当局や取引先を巻き込む脅迫が頻繁に使われている。

暗号化されたシステムの復旧だけを理由に支払う被害組織が減れば、バックアップから復元した後も残る不利益を作る動機が攻撃者に生まれる。

復旧しても露出が消えたとは限らない

報告書のインシデント後の所見は、最も懸念される部分の1つである。被害公表後、一部の表面的なセキュリティ対策は改善した。平均サイバー評価は上がり、平均ボットネット活動は低下した。

しかし、ランサムウェアに固有のより深い指標はしばしば反対方向に動いた。インシデント後の比較ではインフォスティーラーのログへの露出が大幅に増え、多くの被害組織でランサムウェア感受性とソフトウェア脆弱性への露出も上昇した。

この傾向は、組織が最も目につく衛生上の問題だけを修正し、攻撃者にとって魅力的な条件を残している可能性を示す。最初の侵害原因とみられる脆弱性を閉じても、盗まれた認証情報の失効、ベンダーアクセスの見直し、休眠アカウントの削除、他の露出システムの調査まで行っていない場合がある。

Black Kiteの現状分析もこの懸念を裏付ける。過去の被害組織の多くで、メールセキュリティ記録の設定不備、重大な未修正脆弱性、既知の悪用済み脆弱性、インフォスティーラーのログに流通する従業員の認証情報が引き続き確認された。

インシデント対応は通常、業務復旧と確認済み侵入の封じ込めを中心に進められる。報告書は、それだけでは不十分だと論じる。復旧には、最初の事件に関連したシステムだけでなく、組織の外部から見える攻撃対象領域全体を新たに評価する作業を含めるべきである。

AIが参入コストを下げている

報告書は、人工知能がランサムウェアの急増を引き起こしたとは主張していない。既存の作業をより速く、より安くする増幅要因としてAIを説明している。

偵察結果を短時間で要約し、フィッシングや音声フィッシングの台本を現地向けに調整し、盗まれた記録をより説得力のある物語に整理し、小規模なチームで交渉メッセージを作成できる。下位層の攻撃者も、AI支援ツールを使ってスクリプトの問題を解決し、マルウェアを改変し、反復作業を自動化できる。

現時点で最も明確な影響が表れているのは、人間に接する層である。音声クローン、多言語のおとり、ディープフェイク音声、ヘルプデスクの操作、リアルタイムでの人物像の調整により、ソーシャルエンジニアリングを大規模に展開しやすくなる。攻撃者はAIを使って、話せない言語でも信頼できるように聞こえさせたり、数百人の従業員向けに個別化したメッセージを手作業なしで生成したりできる。

Black Kiteは、AIが技術的な実行と恐喝のブランディングの両方に入り始めた初期兆候を指摘する。当面のリスクは、必ずしも完全自律型ランサムウェアではない。より小さなチームが、以前なら多くの時間、専門知識、調整を要した作業を実行できる、半自動化された犯罪活動である。

AIは、アクセス経路や熟練した運営者を不要にするわけではない。攻撃の各段階の間にある摩擦を減らし、より多くの参加者に、組織化されたランサムウェア事業者のように行動する能力を与える。

今後への示唆

中心的なメッセージは、ランサムウェアが少数の有名ブランドに率いられた市場から、より広範で運用の整ったエコシステムへ進化しているということだ。防御側は引き続き脆弱性を修正し、エンドポイントを保護する必要がある。しかしデータは、それに加えて、ベンダーアクセス、Software-as-a-Service連携、ID統制、メールインフラ、露出した認証情報、インシデント後の状態を継続的に見直すという、より広い責任を示している。

組織は復旧の測り方も再検討すべきである。システムを復元すれば直近の事件は収束するかもしれないが、盗まれた認証情報が無効化され、ベンダーの過剰な権限が削除され、他の露出資産が対処されたことの証明にはならない。

2026年ランサムウェア報告書が最終的に示すのは、被害数だけを見てももはや十分ではないということだ。持続する攻撃量、高い生産性を持つRansomware-as-a-Service運営者、中規模市場への標的拡大、サプライチェーンの利用、運営コストの低下が組み合わさって脅威を成長させている。事件を収束させれば通常業務は戻るかもしれない。しかし再発の可能性を下げるには、露出を復旧プロセスの完了時に終わる案件ではなく、継続的な状態として扱う必要がある。