ランサムウェア攻撃が国内企業に広がる中、攻撃者による生成AIの利用も確認されている。シスコの脅威インテリジェンス部門「Cisco Talos」は、攻撃者が使用していたサーバを調査し、生成AIで作成された可能性が高いスクリプトを発見した。

同部門のセキュリティリサーチエンジニアの武田貴寛氏に、国内のランサムウェア被害の動向や生成AIによる攻撃手法の変化について話を聞いた。

  • シスコシステムズ Cisco Talos Security Research Engineer 武田貴寛氏

    シスコシステムズ Cisco Talos Security Research Engineer 武田貴寛氏

国内ランサムウェア被害は前年比4.7％増、製造業が最多

Cisco Talosは、世界193カ国に及ぶネットワークから収集した脅威情報を分析する、シスコの脅威インテリジェンスグループだ。製品から収集するテレメトリや政府・法執行機関との連携などを通じて情報を収集し、ランサムウェアや国家が関与するサイバー攻撃などを調査している。

同グループがまとめた2026年1～7月の国内ランサムウェア被害件数は90件で、前年同期の86件から4.7％増加した。月平均では約13件の被害が確認されている。

被害組織を業種別に見ると、製造業が34％で最多となり、情報通信業が11％、サービス業が9％で続いた。武田氏によると、製造業の被害が多い傾向は例年と変わっておらず、引き続き主要な攻撃対象となっている。

また、資本金別では1億円未満の企業が48％、1億円以上10億円未満が30％を占めた。資本金10億円未満の企業の割合は前年の69％から78％に上昇しており、比較的規模の小さい企業に被害が集中している状況がうかがえる。

武田氏は、大企業だけでなく、セキュリティ対策が十分に行き届いていない中小企業が攻撃対象になっていると指摘する。被害を公表している企業以外にも、侵入や情報窃取に気づいていない組織が存在する可能性があるという。

新興ランサムウェア集団「The Gentlemen」が台頭

国内で観測されたランサムウェアグループでは、「The Gentlemen」が最多となった。The Gentlemenは2025年7月ごろから活動が確認されている新興グループで、ランサムウェアをサービスとして提供する「RaaS（Ransomware as a Service）」の形態をとる。

  • 国内で観測されたランサムウェアグループの比較。The Gentlemenが最多となった（出典：Cisco Talos）

    国内で観測されたランサムウェアグループの比較。The Gentlemenが最多となった（出典：Cisco Talos）

RaaSは、ランサムウェアの開発・運営を担うグループと、実際に攻撃を実行するアフィリエイトが役割を分担する仕組みだ。攻撃によって得た身代金は、両者の間で分配される。

The Gentlemenのリークサイトに掲載された被害組織の数は、2026年1月の48件から2月には87件に増加。その後も高い水準で推移し、6月には108件、7月には105件となった。1月と比較すると、7月の掲載数は約2.2倍に増えている。

  • The Gentlemenのリークサイトに掲載された被害組織数の推移（出典：Cisco Talos）

    The Gentlemenのリークサイトに掲載された被害組織数の推移（出典：Cisco Talos）

武田氏は、活動が活発化している背景として、攻撃を実行するアフィリエイトへの報酬配分を挙げた。一般的なRaaSでは報酬の80％をアフィリエイトが受け取るケースがあるのに対し、The Gentlemenでは90％に達するともいわれているという。

一方、攻撃手法そのものに目立った独自性はなく、既存の手法を組み合わせて効率的に攻撃を実行していると説明した。

Cisco Talosは、The Gentlemenが使用していたサーバの公開ディレクトリを発見し、攻撃に使われたツールや操作履歴を調査した。通常、攻撃者が使用するサーバは外部からアクセスできないように管理されているが、設定不備などによって内部のファイルが閲覧可能になっているケースがあるという。

調査では、攻撃用サーバの構築から標的の偵察、脆弱性の悪用、内部ネットワークへの侵入、情報の持ち出しに至るまでの操作履歴が確認された。

例えば、情報の持ち出しにはクラウドストレージへのファイル転送に利用できるツールが使われていた。攻撃者は転送時の設定を変更しながら、データを確実に外部へ持ち出そうとしていたという。

また、スクリプトやコマンドの履歴にはロシア語の使用を示す痕跡も残されており、Cisco Talosは攻撃者がロシア語話者である可能性が高いと分析している。

生成AIで攻撃用スクリプトを作成、RaaSの運用も効率化

武田氏がもう一つ注目するのが、ランサムウェア攻撃における生成AIの悪用だ。

Cisco Talosは、ランサムウェアグループ「Qilin」が使用していたサーバの公開ディレクトリを調査し、生成AIで作成された可能性が高いPythonスクリプトを確認した。

スクリプトには処理内容を説明するコメントが整然と記述され、各処理が段階的に整理されていた。こうした特徴は生成AIによって作成されたコードによく見られるもので、武田氏は生成AIを利用した可能性が極めて高いと分析している。

  • Qilinが使用していたPythonスクリプト。処理内容が段階的に記述されており、生成AIの利用が疑われる（出典：Cisco Talos）

    Qilinが使用していたPythonスクリプト。処理内容が段階的に記述されており、生成AIの利用が疑われる（出典：Cisco Talos）

Qilinは2024年ごろから活動しているランサムウェアグループで、以前から存在する攻撃者だ。武田氏によると、2025年の調査では生成AIの利用を示す痕跡はほとんど確認されなかったが、2026年の調査では複数のスクリプトから同様の特徴が見つかったという。

では、生成AIの利用によってランサムウェア攻撃はどのように変わるのか。

武田氏は、ランサムウェア自体の機能が高度化するというよりも、RaaSの運用効率が向上する点に注目する。

生成AIで作成したスクリプトは、処理内容がコメントで説明されるなど可読性が高く、専門的な知識が十分ではないアフィリエイトでも理解しやすい。運営側が個別に操作方法を説明する負担を減らせるほか、スクリプトの作成時間も短縮できる。

つまり、生成AIは攻撃を実行する人材の裾野を広げるとともに、RaaSという犯罪ビジネスの効率化にも利用されている可能性がある。

さらに、Cisco Talosは攻撃者のコマンド履歴から、LLMを利用したツールの使用を示す痕跡も確認した。武田氏は、2026年2月ごろから、LLMを利用したペネトレーションテストツールを攻撃に使用する動きも観測していると説明した。

ペネトレーションテストツールは本来、システムの脆弱性を検証するためのものだ。しかし、攻撃者が悪用すれば、標的の調査や脆弱性の発見、侵入に向けた作業を効率化できる。

武田氏は、こうしたツールの普及によって、従来は専門知識が必要だった攻撃を、経験の浅い人物でも実行しやすくなる可能性を指摘する。

侵入からランサムウェア実行まで平均6.1日、早期検知が重要に

生成AIによる攻撃の効率化は、企業が対応に使える時間にも影響する可能性がある。

武田氏によると、Cisco Talosが調査したQilinの事例では、侵入からランサムウェアが実行されるまでの期間は平均6.1日だった。

従来は、攻撃者が侵入後に数カ月間潜伏し、内部環境を調査してから攻撃を実行するケースもあった。しかし、近年は侵入後の情報収集や攻撃準備に要する時間が短くなっているという。

武田氏は、生成AIを悪用することで、攻撃対象の調査やスクリプトの作成、侵入後の行動判断などが効率化されている可能性があると説明した。

ランサムウェアが実行される段階では、すでに情報の窃取が終わっているケースもある。そのため、企業には侵入を防ぐだけでなく、侵入後の不審な活動を早期に発見し、被害の拡大を防ぐ対応が求められる。

実際に、Cisco Talosが調査した国内の被害事例では、VPNやリモート接続環境、ネットワーク機器の脆弱性や設定不備、流出した認証情報の悪用などが目立ったという。委託先や子会社を経由して侵入されるケースも確認されている。

武田氏は、こうした攻撃への対策として、外部公開システムの脆弱性修正を迅速に適用することや、多要素認証の導入、不要なアカウントの整理などを挙げた。

また、EDRなどのセキュリティ製品を導入していても、検知のみの設定になっており、攻撃を遮断できていないケースがあるという。製品を導入するだけでなく、適切に設定・運用することも重要になる。

武田氏は、攻撃者による生成AIの活用が進むなか、企業側も従来以上の速度で脆弱性に対応する必要があると指摘。侵入を完全に防ぐことだけを目指すのではなく、早期検知と迅速な対応によって被害を最小限に抑えることが重要だとアドバイスしていた。