月刊ランサムウェアモニター 2026年5月版｜国内被害16件、連載開始以来最多を記録

本記事は、Ransomware.live に掲載された情報をベースに、サイバーセキュリティラボが独自に整理・分析したものです。ここで示した件数や内訳は、攻撃者がリークサイトに犯行声明を掲載した事例に限定されるため、実際の被害実態とは一致しない可能性があります。すべてのランサムウェアが犯行声明を出すわけではなく、事情により公開を回避するケースや、企業側が外部公表を行わないケースも多数存在します。そのため、Ransomware.live の統計は氷山の一角に過ぎず、数字以上に被害が広がっている可能性があることをご理解ください。

「月刊ランサムウェアモニター2025年4月版」はこちら↓

Ransomware.live とは、Julien Mousqueton というセキュリティ研究者によって創設された、世界中のランサムウェアリークサイトの被害公開情報を集約して一覧化するポータルサイトを指します。被害企業の名称、業種、公開日、攻撃グループ等が集約されているため世界的なランサムウェア被害の傾向を把握する上で有用なオープンソース・インテリジェンス（OSINT）の1つとされています。

Ransomware.live の集計によると、世界全体では毎月数百件以上の公表事例があり、一部の大手RaaS（Ransomware-as-a-Service）が攻撃件数の大部分を占めています。

一方で、日本国内の公表件数は一桁から十数件と少なく見えますが、これは氷山の一角に過ぎません。大手RaaSの活動拡大や休暇期を狙った攻撃等が増加しているため、今後さらにリスクが高まることが想定されます。

本グラフは Ransomware.live の「attackdate」フィールドを基準に集計しています。

attackdateは、グループ投稿内で示された「攻撃が行われた日」または「被害が公表された日」を指しており、実際の侵入・暗号化・情報流出の発生時期とは前後する場合があります。

上記は世界全体で発生したランサムウェア事例のうち、攻撃の公表があったものを Ransomware.live が取得した件数です。その中で、以下は日本国内に絞った件数を示しています。

以下の表は、2026年5月における日本のランサムウェア被害事例を示したものです。

^{※Ransomware.live で公表があったものに限る}

2026年5月に国内で確認されたランサムウェア被害は16件で、前月の11件から大きく増加しました。これらの数値は、攻撃者がリークサイトなどで犯行声明を公表している事例に基づくものであり、実際に発生している攻撃はこれより多い可能性があります。その点を踏まえても、5月の16件は過去1年半で最も多く、これまでの最多だった13件（2025年11月、2026年2月）を上回りました。国内における被害の増加傾向が続いているとみられ、この傾向が一時的なものか定着するものかを、翌月以降の動向で見極める必要があります。

以下に、今月の特徴を国際的な比較の観点から整理しました。

5月に世界全体で公表されたランサムウェア事例は789件で、2025年10月以降は700〜800件台で推移しており、高い水準のまま横ばいが続いています。一方で日本国内は、3月の10件、4月の11件、5月の16件と、世界の動きとは異なり明確に増加しています。世界全体に占める日本の割合で見ると、4月の約1.5%から5月は約2.0%へと上昇しており、件数だけでなく相対的な比重も高まっています。世界的に被害が頭打ちとなる一方、日本で急増している傾向は、国内組織が狙われやすくなっている恐れがあり注視が必要です。

5月の主要各国の被害件数を見ると、アメリカが308件と突出しており、これは世界全体のおよそ4割を占めています。これにイギリス（49件）、ドイツ（40件）、カナダ（32件）、スペイン（23件）が続き、日本は16件で、メキシコ・フランスと並ぶ水準でした。日本はかねてより英語圏ほど標的にされにくい傾向がありましたが、上位国との差は依然あるものの中位グループにしっかり位置しており、日本が「攻撃者にとって割に合う市場」として大きな影響力を持っています。

以下のグラフから、2026年5月の世界におけるランサムウェア被害件数を見ると、アメリカでは単月で308件が公表されており、依然として突出した攻撃対象国となっています。一方で、被害はアジアやヨーロッパを含む世界各地域にも広がりを見せており、攻撃の裾野がさらに拡大していることがうかがえます。

RansomEXXは、2018年に「Defray」という名前で初めて確認されたランサムウェアグループです。当初はあまり知られていませんでしたが、2020年半ばになると有名な組織を狙った一連の攻撃によってその名が一気に広まりました。バイナリ内に「ransom.exx」という文字列が含まれていたことから、この呼び名が定着しました。同年には盗んだデータを公開するためのリークサイトも開設されています。また、「Defray777」や「Ransom X」といった別名でも知られており、「Sprite Spider」と呼ばれる金銭目的の攻撃者集団が背後にいるとみられています。

このグループの特徴は、標的を絞り込んだ攻撃スタイルにあります。トレンドマイクロの調査「Ransomware Spotlight: RansomEXX」によると、マルウェアの実行ファイルには、あらかじめ攻撃対象となる組織名が直接書き込まれており、これが RansomEXX が標的型攻撃である理由です。無差別にばらまくのではなく、それぞれの企業に応じて丁寧に準備を進め、相手に合った攻撃方法を作り上げます。主な標的は大企業や高い価値を持つ組織で、特に政府機関や医療機関、高付加価値の製造業に集中しています。実際、過去にはテキサス州運輸局、コニカミノルタ、ブラジルの裁判所システム、航空機メーカーの Embraer、PC部品メーカーの GIGABYTE など、広く知られる企業や公的機関が被害に遭ったとのことです。

RansomEXX は、攻撃者が手作業で段階的に侵入を進めていく標的型の攻撃です。

SentinelOne が公表したレポート「RansomEXX Ransomware: In-Depth Analysis, Detection, and Mitigation」によると、初期の侵入手段にはフィッシングメールのほかに、RDP（リモートデスクトッププロトコル）など外部に公開された脆弱なサービスの利用、さらには Vatet Loader、Metasploit、Cobalt Strike^※1といったツールの悪用が含まれます。標的ネットワーク内への侵入後は、ランサムウェア本体が二次的なペイロードとして送り込まれ、攻撃者はネットワーク内部にとどまり、データを探し続けます。また、暗号化の妨げとなるのを防ぐため、感染した端末内で複数のセキュリティソフトを無効化する機能も備えています。

さらに、複数のプラットフォームに対応している点も重要です。もともとは Windows を標的にしていましたが、その後Linux版も登場しました。Windows版は、メモリ上で展開・実行されるファイルレス型^※2のため、従来のアンチウイルスでは検知しにくいという課題があります。さらに、独自の暗号化手法も特徴です。まずファイルをAESという強固なアルゴリズムで暗号化し、その鍵をペイロード内に埋め込んだまま、RSA-4096 ^※3で追加の暗号化を行います。この二重の方式によって、攻撃者が持つ復号鍵がなければファイルを開くことはほぼ不可能です。

RansomEXX は、データの暗号化と情報暴露の両方で組織に圧力をかける「二重恐喝」の手法を用います。まず、システムを侵害した際に攻撃者の管理するサーバーへデータを持ち出し、その後、暗号化を行います。これ以降、被害企業が身代金を支払わない場合は、持ち出されたデータがリークサイトで公開されます。2020年のピーク時ほどの勢いはありませんが、標的を絞った人手による攻撃であるため、被害を受けた組織への影響は依然として大きいままです。グループは2023年にもリブランドを実施し、政府や企業を狙う姿勢を維持しています。そのため、今後も注意深く監視する必要があります。

^{※1 Vatet Loader、Metasploit、Cobalt Strike：攻撃の足がかりに悪用されるツール群。Vatet Loaderは別のマルウェアを呼び込む運び役、MetasploitとCobalt Strikeは本来ペネトレーションテスト用の正規ツールなのだが、攻撃者に悪用されると遠隔操作や侵入拡大に使われる。
※2 ファイルレス型：マルウェア本体をディスク上のファイルとして保存せず、メモリ上だけで動作させる手法。こうした特徴から、従来型のセキュリティソフトでは検出しにくくなっています。
※3 AES、RSA-4096：いずれもデータの暗号化に使われる規格。RSA-4096は鍵の桁数が大きく、破るのが極めて難しい。}