ランサムウェアは2026年第2四半期を通じて組織への攻撃を続け、表面的な数字はほとんど変動しなかった。しかし、その数字の背後で起きた変化の方がはるかに興味深い。新たな調査により、構築途上にあるトップクラスの攻撃組織の内部を見る貴重な機会が得られ、小規模で熟練したグループがいかに少ないリソースで業界トップに到達できるかが明らかになった。本四半期が実際に示したこと、そしてそれが防御にとって何を意味するかを以下に示す。

• データリークサイトに記録されたランサムウェア被害者数は2026年第2四半期で2,139件となり、第1四半期とほぼ横ばいで、前年比では33%増加した
• 上位10グループが全被害者の57.6%を占めたが、活動中のグループ数は71から93へと増加し、過去最高を記録した
• The Gentlemenランサムウェア組織から流出したチャット記録により、約9人のコアチームがAIコーディングツールの支援を受けて、わずか数か月で世界トップ3の攻撃組織を構築した様子が明らかになった
• 身代金の支払率は約23%に低下したが、オンチェーンでのランサムウェア支払額は2025年に8億2000万ドルを超え、攻撃者は暗号化よりもデータ窃取へと軸足を移している
• この変化に対抗するには、初期アクセス、データ流出、エクスポージャーの低減を同等に緊急性の高い課題として扱う必要がある

ランサムウェアグループが支払いを拒否した被害者を公開するデータリークサイトには、第2四半期に2,139件の被害者が記録され、第1四半期とほぼ横ばい、前年比では33%増となった。このエコシステムは、2025年を通じて定着した高水準のベースラインを維持している。

変化したのは攻撃の主体である。第1四半期には、わずか71の活動グループのうち上位10グループが被害者の71%を占めるという、緊密でトップヘビーな市場構造だった。第2四半期にはこれが57.6%に緩和され、活動グループ数は過去最高の93に増加した。第1四半期の数字の多くを生み出したOracle E-Business Suiteキャンペーンを展開していたCl0pはほぼ姿を消し、より広範な中堅層がその空白を埋めた。Qilinは4四半期連続で首位を維持し279件の被害者を記録したが、The Gentlemenは62%成長し、6月にはQilinを上回った。

The Gentlemen自身のバックエンドとチャット履歴の流出により、研究者はトップクラスの攻撃組織の内部を垣間見る貴重な機会を得た。コアチームはわずか9人で、実際の侵入作業の大部分を担う広範なアフィリエイト基盤と90対10の分配率で運営されていた。これは市場で提示された中で最も高い分配率である。

記憶に値する詳細として、このグループの管理者であるZeta88は、AIコーディングアシスタントを使用して約3日間でランサムウェア管理パネルを構築した。ただし率直な告白として、これらのツールはコードを十分に理解してガイドし修正できる人材を依然として必要とすることを認めている。これはAIがランサムウェアツールの構築を加速させている確かな証拠だが、ここでの使用は運用やターゲット選定ではなく、ソフトウェアをより速く書くことに関するものだった。より大きなシグナルは、本格的なランサムウェアビジネスを構築する障壁が十分に低くなり、経験豊富な一人の攻撃者が数か月でトップクラスに到達できるようになったことである。

支払率は6年連続で低下し、2019年の85%から現在の約23%となった。これは主にバックアップが暗号化の無力化に成功したためである。しかし、バックアップはデータ窃取には役立たない。ファイルがすでに盗まれ公開されようとしている場合、システムを復元しても流出は止められない。これが攻撃者がまずデータ流出による恐喝に傾倒している理由である。支払総額は支払率の低下に追随していない。オンチェーン支払額は2025年も8億2000万ドルを超えた。

法執行機関はこの四半期、個別グループではなく共有インフラを追跡し、マネーロンダリングプラットフォームの解体、ランサムウェア攻撃者に関連する取引所への制裁、マルウェア署名サービスと主要なインフォスティーラーネットワークの摘発を実施した。これらは第2四半期の被害者数の減少としては現れておらず、押収されたインフラは他の場所で再構築される傾向があるが、マネーロンダリング、署名、認証情報収集のコストを引き上げることで、時間の経過とともに複合的な摩擦が生じる。

この四半期のデータからいくつかの示唆が得られる。初期アクセスは依然として最も重要な戦いである。The Gentlemen自身のパイプラインはVPNスキャン、ブルートフォース、ブローカー経由の認証情報に依存しており、これはエコシステム全体で使用されているのと同じルートであるため、フィッシングと露出したリモートアクセスは、それらが侵入の初手となる頻度に比例した防御が必要である。データ流出検知は現在、バックアップとリカバリが伝統的に受けてきたのと同じ重要度に値する。また、公開から悪用までのギャップが現在では時間単位で測られるため、修復速度もより重要になっている。人間のレビューサイクルで動作している防御は、もはや待つことのないAI支援ツールに対抗できていない。

本レポートが記録している内容の大部分は、通常フィッシングまたは盗まれた認証情報を通じてThe Gentlemenが依存していたのと同じパイプラインに供給される人から始まる。Workspace Securityは、電子メール、ブラウザ、SaaSアプリケーション、エンドポイントにわたってユーザーを保護し、AI駆動の検知を使用してランサムウェアの配信を実行前に阻止し、侵害後の横方向の移動とデータ流出を制限する。

Hybrid Mesh Network Securityは、あらゆる接続ポイントで一貫したAI駆動の制御を適用する。ファイアウォールは悪意のあるファイルがデバイスに到達する前にブロックし、CASBスキャンはアクセスブローカーがますます好むルートであるOneDriveやSlackなどのSaaSプラットフォームを通じて侵入するマルウェアを捕捉する。それでも侵害が発生した場合、SASE Private Access経由のゼロトラストアクセスが影響範囲を制限し、ランサムウェアは侵害されたユーザーが権限を持つ範囲にのみ到達できるようにする。

Exposure Managementは、単に存在する脆弱性ではなく、ランサムウェアグループが実際に到達して利用できる脆弱性はどれかという、より難しい質問に答える。Check Point社の2026年エクスポージャーギャップレポートによると、脆弱性は現在、クリティカルなエクスポージャーの42.6%を占め、前年の2倍以上となっており、現実的には1時間以内に解消できることが判明した。同プラットフォームを使用するユーティリティセクターの組織は、その時間枠内に30%を解決している。

AI Securityは、ランサムウェアグループが使用方法を学んでいるのと同じツールに対処する。ThreatCloud AIは、AI支援による悪用と同じ加速されたタイムラインで保護を進化させ、AI Agent SecurityはZeta88のような管理者が数日でツールを構築できるようにするエージェント権限を管理し、AI Red Teamingは展開前に組織独自のAIアプリケーションをテストし、Workforce AI Securityは従業員がすでに使用しているAIツールを通じた認証情報とデータの流出を阻止する。

全体像を把握したい場合は、完全版のState of Ransomware Q2 2026レポートをこちらからダウンロードしてください。