タイトル

ランサムウェア集団「Qilin」中枢メンバーの拘束──国際連携が追い詰めるRaaSのビジネスモデル

このエピソードで登場するキーワードを説明します。

Qilin (キリン): ロシア語圏を拠点とするサイバー犯罪グループ。身代金要求型ウイルスを第三者に提供するRaaS（Ransomware as a Service）というビジネスモデルを展開している。

RaaS (Ransomware as a Service): ランサムウェアの開発者が、攻撃の実行犯であるアフィリエイト（提携者）にシステムやインフラを貸し出し、得られた身代金の利益を分配する分業型の犯罪ビジネスモデル。

逃亡犯罪人引渡法: 他国で刑事事件を起こした容疑者が日本に滞在している際、条約や外交ルートを通じて身柄を引き渡す手続きを定めた日本の法律。

二重脅迫 (Double Extortion): 企業システムのデータを暗号化して復旧の対価を要求するだけでなく、事前に窃取した機密情報をダークウェブ等で公開すると脅し、身代金の支払いを二重に迫るサイバー攻撃の手口。

それでは解説に入ります。

日本の捜査当局は2026年10月2日、国際的なランサムウェア集団「Qilin」の中心メンバーである28歳のロシア国籍の男を、逃亡犯罪人引渡法に基づきドイツの捜査当局へ引き渡しました。この容疑者は、2024年9月にドイツの物流会社のネットワークへ不正アクセスしてデータを暗号化し、機密情報の公開と引き換えに約16万5千ドル相当のビットコインを脅し取った疑いが持たれています。各国の情報機関の連携により所在が特定され、2026年5月下旬に旅行で大阪市内に滞在していたところを日本の捜査当局によって拘束されていました。

Qilinは、高度に組織化されたRaaSエコシステムを運営する代表的な脅威アクターの一つです。今回拘束された男は、攻撃の基盤となるシステム構築を担う中枢メンバーであり、配下に複数の実動部隊（アフィリエイト）を抱え、彼らが獲得した身代金の一部をシステム利用料として吸い上げる構造を構築していました。日本国内においても、2025年にアサヒグループホールディングスが深刻なサイバー攻撃を受け、商品の受注や出荷が停止する事態に追い込まれましたが、この事件でもQilinが犯行声明を出しています。彼らはRust言語などを駆使してWindowsとLinux双方の環境を標的とする高度なマルウェアを開発しており、世界中の重要インフラや大企業を標的に二重脅迫を繰り返してきました。

今回の日本における中枢メンバーの拘束とドイツへの引き渡しは、サイバーセキュリティの国際的な法執行において極めて重要な意味を持ちます。これまで、ロシア語圏を拠点とするランサムウェア開発の中核メンバーは、地政学的な壁に守られ、安全圏からRaaSインフラを提供し続ける傾向がありました。しかし、直近数年における「LockBit」や「ALPHV/BlackCat」といった巨大RaaSグループに対する欧米当局の共同作戦（オペレーション・クロノスなど）に見られるように、各国の捜査機関は単なる被害の回復から、犯罪インフラの解体や運営者の物理的な特定・拘束へと明確に戦略をシフトさせています。

日本が他国の要請を受けてサイバー犯罪のコアメンバーを拘束し、引き渡しを実現したことは、国際的な包囲網が確実に機能していることを示しています。一方で、RaaSモデルは高度に分散化されているため、一部のシステム開発者が拘束されても、末端のアフィリエイトは容易に別のランサムウェアプラットフォームへと移行できるという厄介な性質を持っています。企業側としては、攻撃者の摘発が進むことを歓迎しつつも、サプライチェーン全体を保護するゼロトラストアーキテクチャの構築や、データのバックアップ体制の見直しといった自衛策への投資を、引き続き経営課題の最優先事項として推進していく必要があります。

今回のエピソードは以上で終了です。また次回お会いしましょう。