ランサムウェア暗号化の89%が業務時間外に実行される：侵入は「業務時間」、暗号化は「人がいない時間」

Halcyon Japan株式会社
～ Halcyonが2026年7月のROC STARレポートを公開 ～

ランサムウェア対策に特化した米国のサイバーセキュリティ企業Halcyonの日本法人、Halcyon Japan株式会社（本社：東京都渋谷区、カントリーマネージャー：露木 正樹）は本日、ランサムウェアオペレーションセンター（ROC）が観測した2026年7月のランサムウェア動向をまとめた月次レポート「ROC STARレポート」を公開しました。今回のレポートで最も注目すべきは、最終段階である暗号化の89%が業務時間外に実行されていたことです。

攻撃の侵入や偵察は、利用者が働いている日中に起きています。しかし、実際にデータを暗号化してシステムを使えなくする瞬間だけは、人が誰も見ていない深夜から早朝に集中していました。

※ROC（ランサムウェアオペレーションセンター）は、Halcyonが提供する24時間365日体制の監視・対応サービスで、ランサムウェアの兆候を検知・調査し、被害が発生する前に攻撃を阻止します。Halcyonのプラットフォームをご利用のお客様は、ROCを追加料金なくお使いいただけます。

■ 侵入は日中、暗号化は深夜：検知の69%は業務時間内、暗号化の89%は業務時間外
7月の検知データを各地域の現地時間に換算すると、検知全体の69%が現地時間6時～18時、すなわち業務時間帯に発生していました。これには2つの理由があります。
1つは、フィッシングやソーシャルエンジニアリングといった初期侵入の手口が、端末が起動し、利用者が実際に操作していることを前提としているためです。受信したメールを開き、リンクをクリックする人がいなければ、これらの手口は成立しません。
もう1つは、侵入後の環境の偵察が、業務時間帯のほうが紛れやすいためです。攻撃者はこの段階で、新たなツールを持ち込まず、OSに標準搭載された正規のツールをそのまま悪用する「環境寄生型（Living off the Land）」の手法を用います。同じ操作でも、日中であれば通常の業務や運用作業の中に埋もれてしまいますが、深夜に実行されれば、それだけで不審な挙動として際立ちます。攻撃者にとって、日中は最も目立たずに動ける時間帯なのです。

この傾向が唯一反転するのが、最終段階の暗号化です。7月に観測された暗号化イベントの89%は業務時間外に発生し、その大半が利用者のログオフ中である深夜0時～早朝6時に集中していました。攻撃者は、監視の目が薄くなる時間帯を待って暗号化を実行しています。

■ 夜間の空白が被害を広げる
暗号化が深夜・早朝に実行されるということは、多くの組織で被害の発覚が翌朝の出社時になることを意味します。検知から対応までの数時間が、夜間の空白によって失われます。監視や初動対応が日中に偏っている組織ほど、この空白は大きくなります。

夜間の暗号化を防ぐ最大の機会は、その前の日中にあります。初期アクセスや偵察の段階で捕捉できれば、深夜の暗号化には至りません。

■ 緊急ウェビナーの参加率は93%、再開催希望は100%
Halcyon Japanは2026年7月30日、Halcyonランサムウェアリサーチセンター シニアバイスプレジデントで元米連邦捜査局（FBI）サイバー部門幹部のシンシア・カイザーを講師に迎え、緊急ウェビナー「ランサムハウス（RansomHouse）とは何者か？日本企業が今取るべきランサムウェア対策」を開催しました。多数のお申し込みをいただき、当日の参加率は93%に達しました。ウェビナー後のアンケートでは、回答者の100%が「同様のウェビナーの再開催を希望する」と回答しています。

■ そのほかの7月の観測：The Gentlemenが2か月連続で首位
グループ別の攻撃件数ランキングでは、「The Gentlemen（ザ・ジェントルメン）」が170件で2か月連続の首位となりました。

図：2026年7月のランサムウェアグループ別 攻撃件数ランキング（Halcyon「ROC STARレポート」）

ただし、この件数ランキングは世界全体の集計であり、日本企業にとっての危険度と一致するとは限りません。例えば「ランサムハウス（RansomHouse）」は、今月のトップ15に入っていません。Halcyonの観測では、同グループが公表した攻撃のうち米国企業を対象としたものは約40%にとどまり、他の主要グループと比べて低い水準です。標的にはヨーロッパやアジア各国の企業が含まれ、日本もその中にあります。順位表に名前がないことは、安全を意味しません。

■ 日中の侵入段階で止めきり、夜間は自動で遮断する
Halcyonのデータによれば、7月に観測した攻撃の99%を初期アクセスや偵察といった初期の段階で止めています。データの窃取や暗号化に至る前に阻止できた割合は99.8%以上です。暗号化が深夜に実行される以上、対策の要は、日中の侵入段階で止めきることと、夜間に自動で遮断できる仕組みを持つことです。Halcyonは攻撃の準備段階から暗号化の直前まで各段階に防御を張り、多くの製品が見落とす手口も捉えます。初動は24時間365日体制のROCが代行し、身代金の支払いや業務中断のリスクを抑えます。

7月のROC STARレポート全体は、Halcyonのウェブサイトからダウンロードしていただけます。
ダウンロードはこちら： https://www.halcyon.ai/jp/webinar/roc-star-report-july-2026

■ Halcyon Japan株式会社 カントリーマネージャー　露木　正樹　コメント
今月のレポートで最も示唆に富むのは、攻撃の時間帯です。侵入や偵察は、人が働いている日中に起きています。攻撃者が日中を選ぶのは偶然ではありません。人が端末を操作していなければ成立しない手口であり、また正規ツールを使った偵察は日中の業務に紛れて見えなくなるからです。ところが、実際に事業を止める暗号化の89%は業務時間外に実行され、その多くが深夜0時から早朝6時に集中していました。攻撃者は、担当者が席にいない時間を選んでいるということです。多くの日本企業では、この時間帯こそ最も守りが薄くなります。だからこそ、夜間に人を増やすのではなく、日中の侵入段階で止めきること、そして夜間は自動で遮断し、初動を任せられる体制を持つことが現実的な答えになります。私たちはROCが世界中で捉えた検知データを毎月お届けし、日本企業が「気づいたら朝、すべてが暗号化されていた」という事態を迎えないための備えを支援していきます。

■ Halcyonについて
ランサムウェアの脅威は、業種や規模を問わずあらゆる企業に及びます。Halcyonは、ランサムウェアへの耐性を高めることに特化して設計された専用プラットフォームです。既存のツールでは検知が難しい攻撃を阻止し、万一突破された場合でも数分で復旧します。事業の存続を揺るがしかねない事態においても、事業への影響を最小限に抑えます。

日本法人では、業種・規模を問わずランサムウェア対策を必要とするすべての国内企業に対し、プラットフォームの提供と導入支援を本格化します。パートナー経由でのご導入のほか、主要なクラウドプロバイダー経由での調達にも対応しています。詳細はお問い合わせください。
公式サイト：https://www.halcyon.ai/jp　
お問い合わせ：https://www.halcyon.ai/jp/contact