最も警戒すべきランサムウェアはもう Qilin ではない 新興『The Gentlemen』が2026年6月の攻撃件数で最多に

Halcyon Japan株式会社


図：2026年6月のランサムウェアグループ別 攻撃件数ランキング（Halcyon「ROC STARレポート」）

ランサムウェア対策に特化した米国のサイバーセキュリティ企業Halcyonの日本法人、Halcyon Japan株式会社（本社：東京都渋谷区、カントリーマネージャー：露木 正樹）は本日、ランサムウェアオペレーションセンター（ROC）が観測した2026年6月のランサムウェア動向をまとめた月次レポート「ROC STARレポート」を公開しました。今回のレポートで目を引くのは、攻撃グループ別の攻撃件数ランキングです。新興ランサムウェアグループ「The Gentlemen（ザ・ジェントルメン）」が、2026年6月の攻撃件数でQilinを上回り最多となりました。最も警戒すべき攻撃グループが入れ替わったのは、今年に入って初めてです。

※ROC（ランサムウェアオペレーションセンター）は、Halcyonが提供する24時間365日体制の監視・対応サービスで、ランサムウェアの兆候を検知・調査し、被害が発生する前に攻撃を阻止します。Halcyonのプラットフォームをご利用のお客様はROCを追加料金なくご利用いただけます。

■ 最も警戒すべき攻撃グループが交代：新興「The Gentlemen」の攻撃が6月に最多に
攻撃件数ランキングでは、新興の「The Gentlemen」が73件で最多となりました。年初来ずっと最も攻撃の多かった「Qilin」は72件で、これに次いでいます。同じグループが長く最大の脅威であり続ける状況は、変わりつつあります。

入れ替わりは、最上位だけの話ではありません。3位には「LockBit」が57件で今月新たにランクインし、トップ15のうち7グループが前月からの新規ランクインでした。少数の強力なグループに攻撃が集中していた時期から、多くのグループが乱立して次々に現れる時期へと変わっています。日本企業にとって、「有名なグループさえ警戒すればいい」という前提はもう通じません。どのグループが来るかを読むのではなく、相手が誰であっても攻撃を入口で止める。そこへ備えの重心を移す必要があります。


■ 「The Gentlemen」とは：Qilinの元アフィリエイトから急拡大した新興グループ
「The Gentlemen」は、2025年8月に姿を現したばかりのグループです。Halcyonのランサムウェアリサーチセンターによれば、もとは今回2位のQilinのアフィリエイト（提携する実行犯）でした。ところが稼ぎの取り分をめぐってQilinと対立し、2025年半ばに袂を分かって独立します。ランサムウェアを他の攻撃者に「サービス」として貸し出すRaaS（Ransomware-as-a-Service）の形をとり、活動開始から1年たらずで、月間の攻撃件数で上位3グループに数えられるほど攻撃を拡大させてきました。そして6月には、かつての親元であるQilinを上回る攻撃を行っています。

手口の幅も広い。Windows、Linux、VMware ESXi、BSD、NASと、標的の環境を選ばずに動く暗号化ツールを用意し、盗んだ認証情報を足がかりに、正規のドライバーやWindowsの管理機能（GPO）を悪用して社内へ一気に暗号化を広げます。標的の中心は製造業で、技術、医療、金融サービスにも及び、被害はこれまで60か国以上で確認されています。Halcyonは同グループの危険度を10段階中8（High）と評価しています。ルーマニアのサイバーセキュリティ当局は、この集団の活動について、ロシアの国家的利益との関連を指摘しています。

出典：Halcyon ランサムウェアリサーチセンター「The Gentlemen」脅威グループ情報（https://www.halcyon.ai/jp/threat-group/thegentlemen）


■ 現場事例：PDFに偽装した不正プログラムを実行直前にブロック
6月にHalcyon ROCが実際に対処した事例のひとつが、PDFファイルに見せかけた不正なプログラム（Rugmiローダー）でした。ファイル名の文字並びを逆に見せる手法（RLO）で実行ファイルをPDF文書に偽装し、正規のベンダーが署名した正規ファイルを悪用して不正なコードを読み込ませる。手の込んだ作りです。Halcyonは、情報の窃取やリモート操作を担う次段階のプログラムが動き出す直前でこれを止め、被害を端末1台に封じ込めました。

攻撃の起点は、多くの場合、正規ツールの悪用です。6月に最も多くの組織で悪用されたのも、先月に続いてリモート監視・管理（RMM）ツールでした。上位4製品（ConnectWise／ScreenConnect、AnyDesk、LogMeIn／GoTo、Splashtop）だけで、700を超える組織が影響を受けています。RMMツールは本来、IT管理者が機器を遠隔で運用するための正規のソフトです。これを攻撃者が使うと、マルウェアと見なされにくい形で遠隔操作の足場を築けます。手元に残るのは署名付きの正規ファイルですから、既知のパターン頼みの従来型の防御はすり抜けられてしまいます。


■ 製造業が引き続き最大の標的に
6月も、製造業がランサムウェア攻撃件数（151件）で最も多く狙われました。その数は、2位から4位を足しても届きません。もっとも、ランキングの顔ぶれは今月大きく動きました。建設業、小売、ソフトウェアが順位を上げ、運輸、政府機関、金融が新たにトップ10に入っています。標的は製造業だけにとどまりません。それでも製造業が狙われ続ける理由ははっきりしています。工場が止まれば生産も売上もその場で止まるため、払ってでも早く復旧したいという圧力がかかります。取引先とシステムがつながっているぶん、一社の被害が供給網をたどって連鎖します。加えて、生産設備（OT環境）には古いシステムが残り、攻撃の入口になりやすい。こうした事情が積み重なっています。


■ 被害が出る前に止める
Halcyonのデータでは、6月に観測した攻撃の99.0%を、初期アクセスや偵察、横展開といった初期の段階で止めました。暗号化やデータの窃取を試みる段階まで進んだものは、0.1%に届きません。攻撃を入口でつかまえられれば、事業は止まらずに済みます。Halcyonは、攻撃の準備段階から暗号化の直前まで各段階に防御を張り、多くの製品が見落とす手口も捉えます。初動は24時間365日体制のROCが代行し、身代金の支払いやダウンタイムの発生リスクを抑えます。


■ 2026年6月のデータ（ROC STARレポートより）
6月に最も狙われた業種は製造業で、攻撃は151件。攻撃者が最も多く悪用した正規ツールはRMMツールでした。最も多くの攻撃を行った攻撃グループは新興のThe Gentlemenで、73件（次いでQilinが72件）。観測した攻撃の99.0%は初期の段階で止まり、暗号化やデータ窃取を試みる段階まで進んだものは0.1%に届きません。攻撃を止めたことで防いだ被害額は、推計で1億3,100万ドルを超えます。

※1インシデントあたりの平均修復コスト450万ドルを基にした推計値です。米ドルからの円換算は1ドル＝160円（2026年7月時点）で計算し、約210億円となります。

6月のROC STARレポート全体は、Halcyonのウェブサイトからダウンロードいただけます。
ダウンロードはこちら：https://go.halcyon.ai/jp-roc-star-report-june-26.html


■ Halcyon Japan株式会社 カントリーマネージャー 露木 正樹 コメント
「ランサムウェアの脅威は、毎月のように顔ぶれも手口も変わります。年初来ずっと最も攻撃の多かったグループが初めて交代し、名前も知らないグループが次々に上位へ現れました。特定の有名なグループだけを警戒していれば済む時代は、終わりました。誰が攻撃してくるかを先回りで当てるのは、もう現実的ではありません。日本企業を守る鍵は、相手が誰であっても攻撃を入口で止めることに尽きます。私たちは、ROCが世界中で捉えた検知データを毎月お届けし、脅威の実態を具体的に共有していきます。」


■ Halcyonについて
Halcyon, Inc.は、ランサムウェア対策に特化した米国のサイバーセキュリティ企業です。Halcyonのプラットフォームは、既存のEDR（エンドポイント検知・対応）製品やセキュリティ運用体制（SOC）を補完する独立したレイヤーとして機能し、ランサムウェアによる暗号化や事業停止を阻止します。当社の技術は、実行前段階からデータ窃取、暗号化に至るまで、攻撃ライフサイクルのあらゆる段階で脅威を能動的に無力化する、エンドツーエンドのアプローチを採用しています。24時間365日体制の専門家チームが運用負荷を引き受けることで、Halcyonは身代金支払いの必要性を排除し、事業継続性を確保し、データを使った恐喝から企業を守ります。
日本法人では、業種・規模を問わずランサムウェア対策を必要とするすべての国内企業に対し、プラットフォームの提供と導入支援を本格化します。パートナー経由でのご導入のほか、主要なクラウドプロバイダー経由での調達にも対応しています。詳細はお問い合わせください。
公式サイト：https://www.halcyon.ai/jp　
お問い合わせ：https://www.halcyon.ai/jp/contact