S2W、2026年上半期の国家支援型APT・ランサムウェア動向レポートを公開

相次ぐサイバー攻撃の背景に何があるのか ― 株式会社S2W、

2026年上半期の国家支援型APT・ランサムウェア動向レポートを公開

株式会社S2W（本社：東京都千代田区、代表取締役：三好平太、以下S2W）は、グループ会社S2W Inc.の統合分析室による「2026年上半期の国家支援型APT脅威の状況：トレンド・主要キャンペーン・戦略的洞察」と「2026年上半期のランサムウェア動向：統計と主要トピック」の2本のレポートの日本語版を公開しました。ダークウェブ上のリークサイトや犯罪フォーラムの継続的な観測と、国家支援型APTグループの活動分析に基づくものです。

直近のサイバー攻撃との関係

2026年9月下旬以降、日本と韓国では企業や組織を狙ったサイバー攻撃が相次いでいます。本レポートの対象は2026年1〜6月ですが、上半期の時点ですでに、日本を狙うランサムウェアグループの増加と多様化、いわゆる「RaaS（Ransomware as a Service）」の分業化、外部に公開された機器や正規の管理ツールを足掛かりにする侵入手口の定着が確認されていました。

ランサムウェア動向の主なポイント

• 世界の被害は前年同期比35.1%増：リークサイトに掲載された被害は5,984件で、2025年上半期の4,429件から増加しました。活動が確認されたグループは119、うち新たに確認されたグループは44でした。
• 日本の被害は64件：2025年の半期平均（39件）の約1.6倍で、日本・台湾・韓国の東アジア3か国の中で最多です。月別では2月が19件と突出しました。
• 新興グループの急伸：2025年半ばに登場した「The Gentlemen」が、2025年までの1件から13件へと急増し、日本で最も多くの被害を公開したグループとなりました。「Qilin」「NightSpire」「Everest」など既存グループによる日本企業への攻撃も続いています。業種別では製造業（13件）が最多です。
• 犯罪フォーラム閉鎖後も活動は拡大：主要フォーラム「RAMP」が2026年1月28日に閉鎖された後も、RaaSの宣伝や人材募集は「TierOne」「Rehub」など複数の代替フォーラムへ分散し、かえって活発になりました。
• 報道機関への接触を図る動き：窃取データをもとに記事や動画を作成し記者へ直接送付するサービスや、ジャーナリストとの「協力」を募る投稿が確認されました。被害企業への社会的圧力を強める役割が、攻撃のプロセスに組み込まれつつあります。

国家支援型APTの主なポイント

• 北朝鮮・中国・ロシアの国家支援型APTグループに関する報告は158件で、2025年下半期の147件から7.5%増加しました（北朝鮮99件、中国33件、ロシア26件）。
• 北朝鮮：偽の採用、コーディング課題、npmパッケージなどを使い、開発者や開発環境を狙う攻撃が続きました。生成AIやディープフェイクを使ったなりすましも確認されています。主な標的地域には日本も含まれています。
• 中国：通信分野を軸に、エネルギーや軍事関連組織へと標的を広げました。通信基幹網に長期間潜伏するバックドア「BPFDoor」の事例も報告されています。日本・韓国・台湾の軍事関連組織を標的に含む活動も確認されました。
• ロシア：情報収集に加え、破壊を目的とした活動も確認されました。2025年末にはポーランドの電力網を狙ったワイパー攻撃が発生し、2026年1月に報告されています。
• AIを使った解析そのものを妨害する手口が登場：マルウェア内部に38件のプロンプトインジェクションを埋め込み、LLMベースのセキュリティエージェントによる解析を中断させようとする事例が確認されました。

代表取締役 三好平太のコメント

「上半期のデータからは、攻撃者が分業化し、ツールやアクセス権を融通し合いながら、日本を含む東アジアを継続的に攻撃対象としている姿が見えてきます。被害が出てから対処するのではなく、ダークウェブ上で自社に関する情報や攻撃の準備の兆しを先回りして把握することが、これまで以上に重要になっています。本レポートを今後の監視対象と優先順位の見直しなどにおいて参考にして頂ければ幸いです。」

🔗 レポート全文をご希望の方は、以下のフォームよりお問い合わせください。
https://s2w.inc/ja/contact