ランサムウェア

ソウル警察は、生成AIを利用してハッキング攻撃を行った疑いのある7人を逮捕しました。ソウル地方警察庁によると、関与した組織は約90社で、820万件の記録が盗まれました。これは韓国で初めての大規模なAI支援ハッキング攻撃の容疑者逮捕です。被害の対象には病院、大学、私立塾、ゴルフ場、大企業グループの子会社が含まれ、これらの機関は一般市民の名前、連絡先、記録を大量に保有しています。その中の一つの葬儀サービス企業は122万件の記録を失い、塾のデータには未成年者の情報も含まれているとの報道があります。地元メディアによると、主犯は32歳で、文芸と体育を専攻しており、ITのバックグラウンドはありません。彼は調査官に対し、YouTubeやブログを通じてハッキング技術を独学したと述べていますが、警察は彼が2019年から2022年にかけてあるセキュリティ会社で模擬攻撃の仕事をしていたことを指摘しています。彼は最初にウェブサイトの脆弱性スキャンツールを使用し、8月末にはAIコーディングエージェントと自動化ペネトレーションテストシステムArtexを導入しました。警察によると、彼は8月31日から10月13日の44日間で60社に侵入しました。この攻撃行動は約13ヶ月間続き、2025年9月から今年の10月まで行われました。この事件は6月に一人の被害者の通報により立件されました。警察は、この規模の攻撃は過去にはハッカー集団によってのみ実行可能だったが、AIの登場により一人で短期間に実現できるようになったと述べています。犯罪者は38人の被害者にメールを送り、合計で3.6億ウォン（約27.2万ドル）を脅し取ろうとしましたが、唯一確認された支払いは30万ウォン（約210ドル）でした。主犯は先週の金曜日に拘留され、検察に移送され、韓国の情報通信ネットワーク法違反や恐喝、恐喝未遂などの罪に直面しています。警察は他の6人の共犯者の調査を続け、さらに多くの被害者を確認する予定で、現在15の機関が被害を報告しています。

央视ニュースの報道によると、国家コンピュータウイルス緊急処理センターとコンピュータウイルス防止技術国家工程実験室は、国家コンピュータウイルス協調分析プラットフォームを利用して、我が国の領域内で複数のユーザーが「Weaxor」ランサムウェア攻撃を受けた事例を発見しました。ユーザーの重要なファイルが暗号化された後、ファイル名は元のファイル名に「.weax」などの拡張子が追加されて変更されます。攻撃者はホスト上にランサムノートを残し、ユーザーに連絡して身代金を支払うよう要求しています。

アメリカ・ニュージャージー州のある工業会社の元コアインフラエンジニア、ダニエル・ラインは、雇用主のコンピュータネットワークを攻撃し、ビットコインの身代金を要求したため、32ヶ月の懲役刑を言い渡されました。59歳のラインはミズーリ州カンザスシティ出身で、9月28日にアメリカ合衆国地方裁判官マイケル・A・シップによってトレントンで判決を受けました。彼は今年の4月に有罪を認め、罪状には保護されたコンピュータを脅迫しての恐喝および故意に保護されたコンピュータを破壊したことが含まれています。検察はその会社の名前を明らかにしておらず、本社はニュージャージー州サマセット郡にあり、顧客はバイオ医薬品から石油・天然ガスなどの業界にわたります。FBIの刑事起訴状によると、2023年11月25日の午後4時頃、その会社のネットワーク管理者は数百のアカウントのパスワードリセット通知を受け取り、その後、他のすべてのドメイン管理者アカウントが削除されていることに気付きました。44分後、従業員は「Your Network Has Been Penetrated」という件名のメールを受け取り、会社のIT管理者がロックされ、バックアップが削除されたと主張し、12月2日までに20枚のビットコイン（当時約75万ドル）を支払わなければ、さらに40台のサーバーが毎日シャットダウンされ、10日間続くと警告しました。メールでは身代金が70万ユーロに設定され、ビットコインでの支払いが求められました。調査官は攻撃を2023年11月9日に会社のネットワーク上に作成された未承認の仮想マシンに遡り、そのパスワードは「TheFr0zenCrew!」であり、その後、管理者アカウント、301のユーザーアカウント、および脅迫メールを送信したメールボックスにも設定されました。

世界的に有名なランサムウェアグループQilinの28歳のロシア国籍の核心メンバーが日本で逮捕され、10月2日に法的にドイツに引き渡されました。報道によると、彼は2024年9月にドイツの物流会社のシステムに不正侵入し、データを暗号化し、約16.5万ドル（約2600万円）のビットコインを要求し、脅迫した疑いがあります。調査によると、彼はQilinの犯罪ネットワークで攻撃システムの構築を担当し、各支部の実行チームから徴収された身代金の一部を取り分として受け取っていました。日本の警察は、今年5月下旬に彼が大阪に旅行中に拘束し、その後東京高等裁判所の判断により条件を満たしていると認定され、ドイツ側に引き渡されました。Qilinは「ランサムウェア・アズ・ア・サービス」（RaaS）モデルで運営しており、2025年には日本の朝日グループに対するサイバー攻撃の責任を主張したことがあります。

Decrypt の報道によると、欧州刑事警察機構の通報に基づき、スペインのアリカンテで 16 歳のルーマニア国籍の容疑者が逮捕され、ランサムウェアグループ KillSec の管理者および主要オペレーターである疑いが持たれています。さらに、20 代の容疑者 2 名がそれぞれイギリスとルーマニアで逮捕されました。また、今年 8 月に 18 歳になったばかりの開発者が特定されましたが、一部の犯罪が未成年の期間に発生したため、逮捕されていません。今回の作戦は Operation KillSwitch と呼ばれ、ドイツのハンブルク州刑事警察局とその市の検察機関が主導し、世界中で約 1000 件の疑わしい攻撃に関する捜査が行われており、現在約 500 件が成功した侵入として確認されています。法執行機関は、スペイン、ギリシャ、ルーマニア、イギリスの 8 か所を捜索し、5 台の中央サーバーを押収し、関連するドメイン名を封鎖通知ページにリダイレクトしました。また、少なくとも 110 TB の盗まれたデータを押収しました。KillSec は 2024 年頃から活動を開始し、ソフトウェアの脆弱性やセキュリティが不十分なクラウドストレージの入り口を利用して企業システムに侵入し、内部データをコピーしてダークウェブの漏洩サイトで被害機関を名指しし、公開文書で脅迫して暗号通貨の身代金を要求し、相手が支払わない場合はデータを無料で公開するとしています。スイス連邦警察は、このグループが二重の脅迫手法を採用しており、まずサーバーを暗号化し、その後圧力をかけると指摘しています。アメリカの検察の起訴によると、イギリスに住むオランダ国籍の Fouad Eltibrizi（通称 Archduke）は 9 月 16 日にプエルトリコの連邦大陪審によって起訴され、その後逮捕されて引き渡しを待っています。最高で 10 年の懲役に直面する可能性があります。欧州刑事警察機構の下にある欧州サイバー犯罪センターは、暗号通貨の資金追跡とデジタル証拠収集の支援を行っています。

ロサンゼルス郡の前副保安官エリック・サーベドラが21ヶ月の禁固刑を宣告されました。裁判所は、彼が法執行データベースを利用して暗号通貨業者の脅迫計画を助けたと認定しました。禁固刑の他に、サーベドラは90984ドルの賠償金を支払うよう命じられました。この件は、彼がアメリカ国税庁に373146ドルの収入を隠していたことに関連しています。

ネットワークセキュリティ会社 Check Point Research は、StopAndProtect ランサムウェアキャンペーンが約 2000 の侵害された WordPress サイトを利用してマルウェアを拡散し、データを盗み、被害者を監視し、ランサムウェアを展開していることを発見しました。このキャンペーンは 5 月中旬に発見されました。7 月 24 日までに、このキャンペーンは 6000 を超える独立した IP アドレスを侵害しており、その中にはアメリカが 1852、ロシアとインドがそれぞれ 630 あります。侵害されたサイトは、マルウェアのホスティング、指令の送信、盗まれたファイル、スクリーンショット、活動ログの保存にも使用されました。攻撃者は偽の CAPTCHA を通じて Windows ユーザーを誘導し、PowerShell コマンドを実行させ、資格情報や暗号通貨ウォレットのリカバリーフレーズを盗み、ネットワークおよび USB デバイスを介して拡散させました。研究者は 3.1 万枚以上のスクリーンショットと 700 以上のデータ圧縮パッケージを収集し、攻撃者が誤って自ら感染した可能性があると考えています。

最近、国家コンピュータウイルス緊急処理センターとコンピュータウイルス防止技術国家工程実験室は、国家コンピュータウイルス協調分析プラットフォーム（https://virus.cverc.org.cn）を利用して、国内で複数のユーザーが「Sorry」ランサムウェア攻撃を受けた事例を発見したと、CCTVニュースが報じています。ユーザーの重要なファイルは暗号化され、ファイル名は元のファイル名+.sorryという後継文字列に変更され、攻撃者はユーザーのホストにランサムノートを残し、ユーザーに暗号化通信ツールをダウンロードして連絡するよう要求しています。

アメリカ、EU、イギリスは共同で、国家級ハッカー組織、サイバー犯罪グループおよびそのインフラ提供者に対して制裁を実施することを発表しました。対象者は、世界中の企業、重要インフラ、政府機関に数十億ドルの損失をもたらしたとされています。特に注目されているのは、EUがロシア国籍のサイバー犯罪者Vitaly Nikolayevich Kovalev（仮名 "Stern"）に対して行った制裁です。EUは、Sternが悪名高いTrickbot Groupのランサムウェアグループの核心的な管理者の一人であると認定しています。この組織には、ContiランサムウェアやRyukなどの複数の高危険ランサムウェアの変種が含まれています。ブロックチェーン分析によれば、Sternに関連するウォレットアドレスは累計で3億ドル以上のランサムを受け取っており、これにより彼はこれまで確認された中で「最も規模の大きいランサムウェア運営者」となる可能性があります。分析によると、3億ドルはStern個人が得た収益を示すものであり、Trickbotグループ全体の違法収入はこれをはるかに上回る可能性があります。ブロックチェーンの資金の流れは、SternがRyuk、Conti、Diavol、Karakurt、Royal、Quantumなどの複数のランサムウェアエコシステムと取引関係にあったことを示しています。調査によれば、SternはTrickbot組織内で「CEO」のような役割を果たし、予算管理、スタッフの採用、インフラの調達、攻撃計画の策定を担当していました。

Decryptの報道によると、ウクライナの元警官が暗号通貨企業家を誘拐し、暴力、脅迫、虚偽の債務請求を通じて約220万ドルを恐喝した。検察は、このグループが少なくとも4人の被害者をターゲットにし、法執行手段、公式の交通機関、警察を装う手段を利用して犯罪を実行したと述べている。キエフ地域検察庁は、事前

オープンソースデータ可視化ツールGrafanaはXプラットフォームで発表し、最近、無許可の攻撃者がGrafana Labs GitHub環境にアクセスできるトークンを取得し、それを利用してコードリポジトリをダウンロードしたことを発見したと述べています。調査の結果、この事件は顧客データや個人情報の漏洩には関与しておらず、顧客システムやビジネス運営に影響があったことも確認されていません。事件発生後、直ちに証拠分析が開始され、認証情報の漏洩源を特定したと考えられています。また、環境の防護を強化するために追加のセキュリティ対策が講じられました。さらに、Grafanaは攻撃者がコードリポジトリの公開を阻止するために身代金を要求しようとしたことを明らかにしましたが、会社は最終的に身代金の支払いを拒否し、調査が終了した後にさらなる事件の振り返り情報を公開することを決定しました。

27歳のドイツ国籍のハッカー、Noah Christopherがタイのバンコクで逮捕され、彼はヨーロッパで最大74件のサイバー犯罪の逮捕状に直面しています。調査によると、この人物は2021年から2025年の間にランサムウェアプラットフォームおよび「サイバー犯罪サービス」（CaaS）システムを開発・運営した疑いがあり、分散型サービス拒否（DDoS）攻撃ツール（Fluxstress、Neldownerなど）を提供し、世界中の顧客にサイバー攻撃を実行させ報酬を受け取っていました。関連する身代金の支払いには暗号通貨やその他のデジタル資産が含まれ、国際的なサイバー犯罪活動を構成しています。現在、彼のビザは取り消されており、ドイツへの引き渡しを待って拘留されています。

著名なオンチェーン調査者ZachXBTは、本日、Aleksandr（Aleks）KhinkisというロシアのOTCブローカーが、2025年以降、単一の暗号取引プラットフォームアカウントを通じて、ランサムウェアグループのマネーロンダリングを助け、470万ドル以上を洗浄したとする調査結果を発表しました。関連する資金は、合計約796枚のビットコイン（BTC）を含む3件の疑わしい身代金支払いに関与しています。調査によると、これらの資金はビットコインとAvalancheの間でブリッジ転送された後、彼の取引プラットフォームの入金アドレス（0xa756）に分割して送金され、2025年から2026年の間に合計75件の送金が完了しました。さらに、約1660万ドルの資金は現在もAaveに保管されており、徐々に現金化されています。ZachXBTは複数の身代金取引を指摘しています：2025年9月には約72枚のBTCの身代金支払いが関連アドレスにブリッジ転送されたことがあり、2025年10月には約164枚のBTCの身代金も発見され、約380万ドルに変換されました。一部の関連アドレスは2025年11月にTetherによってブラックリストに載せられ、その後凍結されたUSDTは3週間前に焼却され、法執行機関とコンプライアンス機関が介入したことを示しています。さらに遡る2023年には、このアカウントは約560枚のBTCの身代金取引にも関与しており、これらの資金は複数の中介アドレスと取引プラットフォームを通じて流通した後、2024年に再びAvalancheネットワークにブリッジされました。さらに、調査は関連するビットコインの出所アドレスが複数のランサムウェアアドレスと高い関連性を持っていることを指摘しており、支払いの中継ノードとして機能している疑いがあります。部分的な資金は依然として休眠状態にあるものの、ZachXBTは今後も洗浄される可能性があると警告し、被害者に対して関連アドレスを迅速に報告し、資金を凍結できるよう呼びかけています。

据 Criptonoticias 报道，西班牙加利西亚自治区桑亨霍（Sanxenxo）市政府遭受勒索软件攻击，黑客加密了数千份行政文件并阻断系统访问，要求支付 5,000 美元比特币赎金。攻撃は1月26日に発生し、自治体のサーバーが完全にダウンし、17,000人以上の住民を抱えるこの都市の基本サービスの運営に影響を与えました。市政府はスペインの民間警察に通報し、身代金の支払いを拒否し、システムを復元するために毎日のバックアップを有効にしていると述べています。

根据《巴黎人报》报道，法国加密货币税务申报平台 Waltio 宣布，其遭到名为 "Shiny Hunters" 的黑客组织勒索。该组织声称已获取平台约 5 万名客户（其中大部分位于法国）的个人数据，并以此索要赎金。Waltio 是一家为加密货币持有者提供投资组合追踪和税务计算服务的公司。该公司表示已就此次 "企图勒索和破坏自动数据处理系统" 的事件向警方报案。报道指出，黑客据称在 2024 年就已获得了相关客户的电子邮件和账户余额信息。

据 Cointelegraph 报道，网络安全公司 Group-IB 研究人员发现，一款名为 "DeadLock" 的勒索软件正利用 Polygon 智能合约隐藏自身并轮换代理地址。该勒索软件于去年 7 月首次被发现，其通过调用特定智能合约动态更新用于与受害者通信的命令与控制基础设施地址。一旦受害者被感染且数据被加密，DeadLock 将发出勒索信，威胁若要求未获满足将出售被盗数据。研究人员指出，将代理地址存储在链上使得其基础设施极难被破坏，因为不存在可关闭的中心服务器，且区块链数据在全球节点上永久留存。这种滥用智能合约传递代理地址的方法具有极强变异性。尽管 DeadLock 目前曝光度较低且已知受害者数量有限，但其新颖的攻击手法仍对未予以重视的组织构成潜在威胁。

据 Group-IB 监测，勒索软件家族 DeadLock 正利用 Polygon 智能合约分发和轮换代理服务器地址，以逃避安全检测。该恶意软件于 2025 年 7 月首次被发现，通过在 HTML 文件中嵌入与 Polygon 网络交互的 JS 代码，利用 RPC 列表作为网关获取攻击者控制的服务器地址。这种技术与之前发现的 EtherHiding 类似，旨在利用去中心化账本构建难以被屏蔽的隐蔽通信通道。DeadLock 目前已出至少三个变体，最新版本还嵌入了加密通信应用 Session 以直接与受害者对话。

米国司法省の発表によると、2人のアメリカ人男性が ALPHV BlackCat ランサムウェアを使用してアメリカの複数のターゲットに対して攻撃を行った罪を認めました。ジョージア州出身のライアン・ゴールドバーグ（40歳）とテキサス州出身のケビン・マーティン（36歳）は、2023年4月から12月の間に ALPHV BlackCat ランサムウェアを展開したことを認めました。2人はネットワークセキュリティ業界の従事者であり、別の共謀者と共に ALPHV BlackCat 管理者に対して20%の身代金分配を支払ってランサムウェアの使用権を取得しました。1人の被害者から約120万ドルのビットコインを成功裏に奪った後、3人はそのうちの80%の身代金を分け合い、さまざまな方法でマネーロンダリングを行いました。2人の被告は2026年3月12日に判決を受ける予定で、最高で20年の懲役が科される可能性があります。

据 The Hacker News 报道，Qilin 勒索组织通过攻破韩国一家 IT 服务商 GJTec，发起 "Korean Leaks" 供应链攻击，导致 28 家金融企业受害、100 多万文件共计 2 TB 数据被窃。Bitdefender 调查发现该行动与朝鲜背景 APT "Moonstone Sleet" 有关，疑似与俄语系 Qilin 组织合作，目标对韩国金融市场施压。

ChainCatcher のメッセージによると、Bitcoin News が報じたところによれば、ランサムウェア組織「Rhysida」がアメリカ・メリーランド州の交通局から敏感なデータを盗み、これらのデータを 30 ビットコイン（約 340 万ドル）の価格でオークションにかけているとのことです。