S2Wは10月14日、2026年上半期のランサムウェアと国家支援型APTの動向をまとめた2本のレポート「2026年上半期のランサムウェア動向：統計と主要トピック」と「2026年上半期の国家支援型APT脅威の状況：トレンド・主要キャンペーン・戦略的洞察」の日本語版を公開したと発表した。

これらは、ダークウェブ上のリークサイトや犯罪フォーラムの継続的な観測と、国家支援型APTグループの活動分析に基づくもの。レポートによれば、日本のランサムウェア被害は64件で、2025年の半期平均の約1.6倍だという。

日本のランサムウェア被害、製造業が最多

レポートによれば、リークサイトに掲載された世界のランサムウェア被害は5,984件に上り、2025年上半期の4,429件から35.1％増加。活動が確認されたグループは119で、このうち44グループが新たに確認されたものだった。

日本の被害は64件で、日本、台湾、韓国の東アジア3カ国では最多となった。月別では2月の19件が最も多い。業種別では製造業が13件で最多だった。

グループ別では、2025年半ばに登場した「The Gentlemen」による日本の被害が、2025年までの1件から13件へ急増した。2026年上半期に日本で最も多くの被害を公開したグループとなり、「Qilin」「NightSpire」「Everest」などによる日本企業への攻撃も続いている。

主要な犯罪フォーラム「RAMP」が2026年1月28日に閉鎖された後も、RaaSの宣伝や人材募集は「TierOne」「Rehub」など複数の代替フォーラムへ分散した。S2Wによると、RaaSの宣伝や人材募集は、フォーラムの閉鎖後にかえって活発になったという。

国家支援型APTの報告は7.5％増加

レポートによると、北朝鮮、中国、ロシアの国家支援型APTグループに関する報告は158件。2025年下半期の147件から7.5％増加し、内訳は北朝鮮が99件、中国が33件、ロシアが26件となっている。

北朝鮮のグループでは、偽の採用活動やコーディング課題、npmパッケージなどを使い、開発者や開発環境を狙う攻撃が続いた。生成AIやディープフェイクを利用したなりすましも確認され、主な標的地域には日本も含まれるという。

中国のグループは通信分野を中心に、エネルギーや軍事関連組織へ標的を拡大した。通信基幹網に長期間潜伏するバックドア「BPFDoor」の事例や、日本、韓国、台湾の軍事関連組織を標的とする活動も報告された。

ロシアのグループでは、情報収集に加えて破壊を目的とする活動が確認された。2025年末にはポーランドの電力網を狙ったワイパー攻撃が発生し、2026年1月に報告されている。

このほか、LLMを利用するセキュリティエージェントの解析を妨害する手口も確認された。マルウェア内部に38件のプロンプトインジェクションを埋め込み、解析を中断させようとする事例だという。