要点
- Qilin は、現在最も活発とされるランサムウェアの提携プログラムだ。Krebs は、過去3か月で少なくとも365の組織が被害に挙がったと書いている。
- 調査記者の Brian Krebs は、運営者とみられる人物をロシア在住の男性（A 氏）にたどり着いたと報じた。ただし本人は確認できていない。
- 日本の組織も Qilin に名指しされている。自社だけでなく、委託先が狙われる場合への備えも要る。
何が起きたか
Krebs on Security は 2026年11月11日、Qilin の管理者「Haise」の正体を探る調査記事を出した。これは Krebs 自身の調査であり、この記事の事実の多くはその報道による。
Krebs によると、Qilin は2022年9月ごろから活動している。ランサムウェアの提携プログラム、つまり開発側が道具を貸し、実行役（提携者）が攻撃して身代金の分け前を払う仕組みだ。提携者の取り分は少なくとも80%とされる。データを盗んでから暗号化し、二重に脅す手口を使う。ロシア系の集団には珍しく、英語話者の提携者とも組むという。
規模については、Krebs が NCC Group の報告を引いている。それによると Qilin は現在最も活発な集団だ。Krebs は、過去3か月で少なくとも365の組織が被害に挙がったとも書いている。この数は Krebs の文であり、NCC の数字とは明記されていない。なお、Qilin 自身の公表に基づく数であり、すべてが確認された被害とは限らない。
運営者の特定は、複数の記録をつなぐ形で進められた。Krebs が挙げたのは次のような手がかりだ。
- 2022年に Haise が、FBI が2026年1月に押収したハッキングフォーラム RAMP へ参加を申し込んだ記録。
- そこから、2020年ごろの別名義の利用者へつながること。
- 同じメールアドレスや電話番号が、漏えいした各種の記録に残っていたこと。
Krebs は、Qilin の管理者がこの10年ほどの間にいくつかの重要なミスをしており、それらがロシアのサンクトペテルブルクに住む36歳の男性を指していると書いている。A 氏への連絡はつかなかった。また、この特定は当サイトでは確認できていない。
日本の利用者への影響
日本の組織が被害を主張された例はある。2025年10月、アサヒグループホールディングスの攻撃について、Qilin が自分たちの犯行だと主張した。アサヒはランサムウェア攻撃を受けたと認めたが、集団名には触れず、調査中としていた。Qilin の主張した内容は、報道時点で確認されていない。
今回の Krebs の記事自体は、日本に触れていない。日本での被害の総数も、今回の一次情報からは分からない。
今すぐやること
- 自社の重要データの複製（バックアップ）が、ネットワークから切り離した場所にあるかを確かめる。復元の練習もしておく。
- 管理者のアカウントに、パスワードのほかに本人確認を足す仕組み（MFA）が入っているかを確かめる。CISA は、なりすましに強い方式を管理者に勧めている。
- 外部から使える機器（VPN など）の更新が最新かを点検する。放置された欠陥が入口になりやすい。
- 委託先や取引先のうち、自社のデータやシステムに触れる先を洗い出す。被害時の連絡先と、止まったときの代替手段を決めておく。
- 攻撃を受けたときの連絡先と、判断する人を事前に決める。身代金の扱いも含めて、慌てずに動けるようにする。
背景
Qilin は、運営と実行が分かれた提携型の集団だ。運営者が誰かが分かれば、どんな提携者を集め、どの業種を狙いやすいかなど、攻撃の傾向を読む手がかりになる。Krebs は2026年6月にも、2番目に活発だとする集団 The Gentlemen の管理者を調べている。
Krebs は、Qilin の指導者が Telegram で、Scattered Spider や RansomHub と組んだと述べたと書いている。RansomHub については、CISA などが2024年8月に注意喚起を出している。
運営者が分かっても、被害が止まるとは限らない。備えは、受け手の側でも固めておきたい。
技術者向けの詳細
- Krebs の記事: 一次の調査記事。Intel 471、Flashpoint、SpyCloud、Constella Intelligence、IntelHawk の資料を引く。Flashpoint と SpyCloud は同ブログの広告主だと、Krebs 自身が書いている。
- NCC Group の報告: Krebs は「今月の報告（PDF）」として引いている。報告本体は未確認。365組織は Krebs の文にある「過去3か月」の数。
- CISA AA24-242a は RansomHub の advisory で、Qilin には触れていない。ただし提携者が重なる可能性があるため、対策の参考になる。
- CISA が勧める主な対策: インターネットに面した系で既知の悪用される欠陥を優先して修正、管理者への耐フィッシング MFA、ネットワーク分割、物理的に分離したバックアップ、ログの保存と EDR。
- 侵入の跡（IOC）は、CISA のほか各社の報告を参照のこと。この記事では扱わない。
