| 被害急増中！ランサムウェア集団Qilin（キリン）とは？ | |
|---|---|
| 作成日時 25/12/08 (08:51) | View 63 |
毎月のように、企業がランサムウェアの被害に遭ったというニュースを耳にするようになりました。最近特に注目を集めているのが、「Qilin（キリン）」と呼ばれる新興の攻撃グループです。
Qilinは、データの暗号化にとどまらず、心理的・法的な圧力も駆使して企業を追い詰める、いわば次世代型のランサムウェアです。その巧妙かつ冷酷な手口は従来型とは一線を画し、すでに日本企業を含む複数の組織が実害を受けています。
自社も知らぬ間に標的とされている可能性があります。情報システム担当者として、万一のことが起きてからでは遅すぎます。
本記事では、Qilinの概要、特徴的な攻撃手法、被害事例、そして取るべき具体的な対策までを体系的に解説します。脅威の実態を正しく把握し、全社で備えるための第一歩として、ぜひご一読ください。
Qilinとは、2022年に登場した「ランサムウェア・アズ・ア・サービス（RaaS）」型の攻撃グループです。
RaaSとは、ランサムウェアの本体に加え、攻撃インフラや運用ノウハウを第三者に提供し、収益を分配するという「サイバー攻撃のビジネスモデル化」を意味します。Qilinはこのモデルを積極的に展開しており、技術力の高い開発チームと、攻撃を実行するアフィリエイト（協力者）による分業体制を構築している点が特徴です。
攻撃対象は、日本、アメリカ、フランスなどの先進国企業が中心です。毎月世界各国で数十件以上の被害が報告されており、現在もっとも活発に活動しているグループのひとつといえるでしょう。
グループ名は中国神話に登場する聖獣「麒麟（きりん）」に由来し、当初は「Agenda」という名称で活動していましたが、2022年後半に現在のQilinへと改称されました。
Qilinの攻撃は段階的かつ組織的に進行し、一つの感染が社内全体の被害に直結します。技術的な侵入、横展開、データ窃取、暗号化、そして脅迫という流れが連続するため、情シスとしては各フェーズでの観察点と遮断策をあらかじめ理解しておくことが重要です。
ここでは、攻撃が始まるまでの典型的な流れを整理します。
攻撃は、社員を標的としたフィッシングメールから始まることが多くあります。たとえば、実在する取引先やクラウドサービスを装ったメールに、不正な添付ファイルやリンクを仕込み、開封させることでウイルスに感染させる手口です。
メールの内容は業務に関連しているように巧妙に偽装されており、わずかな油断で開封してしまう可能性があります。
感染後は、その端末を足がかりに、VPNやRDP（リモートデスクトップ）などリモート接続機能の脆弱性を突いて社内ネットワークへ侵入します。侵入後は「横展開」と呼ばれる手法で他のPCやサーバーへと感染を広げ、企業全体のシステムを掌握していきます。
さらに、管理者権限を奪取し、バックアップデータや基幹システムにアクセスすることで、重要な情報を窃取・暗号化します。
これら一連の攻撃は、Qilin本体（コア）とアフィリエイトと呼ばれる外部協力者によって分担されています。コアがツールや手法を提供し、実際の感染活動はアフィリエイトが担当するという構造で、犯行が発覚しても実行者の特定が困難になる仕組みです。
これこそが、RaaS型ランサムウェアの大きな特徴といえます。最終的には、企業の機密データを人質に取り、「身代金を支払わなければデータを公開する」と脅迫します。
この際、リークサイトでの情報公開を予告したり、取引先やメディアへの拡散を示唆したりするため、企業は業務停止にとどまらず、信用の失墜や訴訟リスクにも直面することになります。
Qilinが用いる高度な攻撃手法の一つに、「LOTL（Living Off The Land）」と呼ばれる戦術があります。これは、企業のシステム内にあらかじめ存在する正規のツールや運用ソフトを悪用し、ウイルス検知を回避しながら攻撃を進めるというものです。
セキュリティソフトの監視をすり抜けることを目的としており、近年のサイバー攻撃で急速に普及しています。
Qilinが悪用する主な正規ツールには、以下のようなものがあります。
l PsExec:Windows管理者がリモート操作に使用するツール。業務用途で広く利用されているため、侵入後にコマンドを実行しても不審に見えにくい
l Cyberduck：一般的なファイル転送ソフト。これを使って盗んだデータを外部に持ち出すことで、専用マルウェアではなく合法的なツールとして機能し、検知を困難にする
l WinRAR：広く利用されているファイル圧縮ソフト。情報をまとめてパスワード付きで暗号化・圧縮し、外部送信する際に活用される
これらのツールはいずれも業務で利用されるケースが多いため、EDR（エンドポイント検知・対応）やアンチウイルスソフトでも異常と判断しづらいのが現実です。その結果、攻撃の痕跡をほとんど残さずにファイルの持ち出しやシステム制御が行われ、発見や対処が大幅に遅れるリスクがあります。
さらに、LOTLの厄介な点は、防御側がソフトウェアの使用を制限しにくいことです。特定のツールを禁止すれば業務に支障が出る可能性があるため、現場の運用とセキュリティ対策のバランスをどう取るかが、情報システム担当者にとって大きな課題となります。
Qilinが他のランサムウェアと一線を画すのは、単なる暗号化やデータ漏えいにとどまらない多層的な脅迫手法にあります。技術的な攻撃で業務を停止させるフェーズ、盗んだデータを公開すると脅すフェーズに加え、法的・規制上の疑義をほのめかして経営層に直接プレッシャーをかけるフェーズを組み合わせるのが特徴です。
ここでは、Qlinの三重脅迫戦術を見ていきましょう。
従来のランサムウェアは、①データの暗号化、②漏えい予告の二段階で身代金を要求する手法が一般的でした。これに対し、Qilinはさらに一段踏み込み、③法的な不正やコンプライアンス違反、をほのめかすことで、被害企業に対して強い心理的圧力をかけます。
たとえば、重要な顧客情報や従業員の個人データが流出したと主張し、「このまま放置すれば監督当局に通報する」と示唆するケースがあります。実際には通報されないこともありますが、企業側は最悪の事態を想定せざるを得ず、その対応コストや評判リスクを深刻に受け止めることになります。
仮に情報システム部門が技術的に復旧できたとしても、経営層は法的リスクや対外的な説明責任を問われる場面に直面します。結果として、身代金の支払いに関する最終判断は経営判断と直結します。
そのため、インシデント対応計画には技術的な復旧プロセスだけでなく、法務との即時連携体制、広報対応用のテンプレート、監督当局への相談窓口のリストなどを事前に組み込んでおく必要があります。経営層が感情的な圧力に押されて不適切な判断を下さないよう、平時からの準備が欠かせません。
Qilinランサムウェアによる攻撃は、すでに複数の実在企業に深刻な被害をもたらしています。いずれも単なるデータ暗号化にとどまらず、業務停止・顧客対応・法務リスクなど多方面に影響を与えたケースばかりです。
ここでは実際の被害事例をもとに、Qilinの攻撃がどれほど深刻かを具体的に見ていきます。
Qilinによる最も象徴的な攻撃のひとつが、イギリスの病理検査会社「Synnovis」に対するものです。Synnovisは、NHS（イギリス国民保健サービス）と提携する医療検査機関であり、同社が攻撃を受けたことで、血液検査や手術のスケジュールが大幅に中止・遅延しました。
この事件では、医療機関の業務インフラが停止し、人命に関わる深刻なリスクが発生しました。単なる企業被害にとどまらず、公共サービス全体に影響が波及したことで、Qilinの冷酷さと無差別性は国内外で強く非難されています。
サイバー攻撃がもはや経済的損失にとどまらず、社会インフラ全体をも人質に取る脅威であることを示す象徴的な事例です。
日本国内でも、Qilinによる被害はすでに現実のものとなっています。
日産自動車のデザイン関連子会社である「Creative Box」が攻撃を受け、最大4テラバイトにおよぶ設計データが流出したと報じられました。流出データには、車両の3D設計情報や財務情報など、極めて機密性の高いファイルが含まれていたとされます。
この事例では、業務停止に加え、知的財産が標的となった点が注目されます。自動車業界において設計データは競争優位性の源泉であり、これが外部に漏洩すれば、製品戦略や市場投入のスケジュールに深刻な影響を及ぼす可能性があります。
製造業におけるサイバーリスクは、もはやIT部門だけの問題ではありません。ブランド価値の毀損や将来の収益性にも直結する重大な経営課題であることを、この事例は示しています。
日本を代表する飲料メーカーであるアサヒグループホールディングスも、Qilinの標的となりました。攻撃者は、財務情報や事業計画、さらには従業員の個人情報を含む、27ギガバイト以上の機密データを盗んだと主張しています。
被害は情報流出にとどまらず、主要工場の稼働停止やコールセンター業務の中断といった、業務インフラへの打撃にも波及しました。メーカーや製造業において「止まらないこと」が最大の価値である中、工場の稼働停止は即座に収益損失へとつながります。
さらに、情報漏洩によるコンプライアンス違反の懸念も生じ、IR対応、法務対応、メディア対応といった全社横断でのリスクマネジメントが求められる状況となりました。
Qilinランサムウェアが他の攻撃グループと一線を画す理由のひとつは、その技術力の高さにあります。単に既存のツールを使い回すだけでなく、対象企業に応じてカスタマイズされた攻撃を実行する柔軟性と、高度な回避能力を兼ね備えた構造が大きな脅威となっています。
Qilinのウイルスは、WindowsやLinuxだけでなく、仮想環境であるVMwareにも対応しています。これは厄介な特徴であり、オンプレミスのWindowsサーバー、社内開発用のLinux環境、仮想サーバー上で稼働する業務システムまで、広範囲にわたる環境が一斉に攻撃対象となります。
このマルチ環境対応を実現しているのが、使用されているプログラミング言語です。Qilinは、クロスプラットフォーム対応に優れたGo言語やRust言語で開発されており、OSを問わず同じ攻撃ロジックを展開できるよう設計されています。
その結果、企業内の複雑なIT環境全体を一括して暗号化・制圧することが可能となり、復旧作業の難易度が大きく上がる要因となっています。
Qilinのもう一つの重要な特徴は、提供されるマルウェアが「攻撃者ごとにカスタマイズ可能」である点です。以下のような項目を、攻撃者自身があらかじめ設定できる仕様となっています。
l 暗号化のスピード：ファイル単位で処理するか、フォルダ単位で処理するかを選択可能
l 除外対象のファイルや拡張：.logファイルなど、一部のファイル形式を暗号化対象から除外
l 暗号化の対象フォルダ：特定の部署の共有フォルダのみを指定するなど、対象範囲を限定
このような設定の柔軟性により、同じQilinによる攻撃であっても、企業ごとに異なる挙動を示すマルウェアが生成されます。その結果、セキュリティベンダーによるパターンマッチング型の検知が極めて困難になる仕組みです。
さらに、暗号化に使用される鍵の管理や被害者との交渉プロセスはすべてクラウド上の専用ポータルで一元管理されています。アフィリエイトに対しても、操作しやすいインターフェースが提供されており、技術的な知識が乏しい攻撃者でも高度な攻撃を実行できる体制が整っています。この点も、RaaSモデルの拡張性を象徴しています。
このようにQilinは、「OSを問わずに感染可能」「攻撃内容の柔軟なカスタマイズ」「高度な検知回避構造」という三つの特性を備えており、従来のアンチウイルス製品では対応しきれない、新世代のランサムウェアと位置づけられます。
Qilinのような高度で悪質なランサムウェアに対抗するためには、単にウイルス対策ソフトを導入するだけでは不十分です。
初期侵入から拡散、暗号化、そして心理・法的な圧力まで、多段階で仕掛けてくるこの脅威に対しては、IT・経営・法務が一体となった多層的な防御体制が欠かせません。ここでは、企業がとるべき具体的な対策を3つのフェーズに分けて整理します。
Qilinのような高度なランサムウェアは、社内ネットワークへの侵入に成功すると、一気に攻撃を展開します。そのため、最初の防衛線として、従業員がフィッシングメールにだまされない体制づくりが不可欠です。メールの差出人やリンク先URLに注意を払い、不審なファイルを開かないようにする習慣を定着させることが、侵入を防ぐ基本となります。
加えて、VPNやリモートデスクトップなどの遠隔アクセス機能に潜む脆弱性への対応も重要です。古いバージョンのまま運用されている機器には、早急にパッチを適用し、アクセス制御を強化する必要があります。
また、パスワードのみに依存した運用はリスクが高く、多要素認証（MFA）の導入は必須です。MFAは、IDやパスワードが漏洩しても不正ログインを防ぐ最後の砦として機能します。
仮に一部の端末が侵害された場合でも、社内全体に感染が広がらない構造をあらかじめ整備しておくことが、被害拡大の防止につながります。
たとえば、ネットワークを部署や業務単位で分割し、必要な通信のみを許可する「セグメンテーション」を実施すれば、攻撃者が社内ネットワーク内を自由に移動するリスクを抑えられます。
Qilinは、「LOTL（Living Off The Land）」と呼ばれる手法を用いて、PsExecやCyberduckといった正規ツールを悪用します。これらは業務上も使用されるため、単に使用の有無だけでは異常と判断することが困難です。
そのため、ツールの利用タイミングや用途に着目し、不審な動きを検知する仕組みが重要になります。たとえば、行動検知型のEDRを導入すれば、正規ツールの異常な利用、権限の不自然な昇格、不審なファイル暗号化といった兆候をリアルタイムで察知し、早期対応につなげることが可能です。
Qilinのような多層的な攻撃を受けた際、企業に残された最後の手段は、被害の拡大を防ぎ、迅速に復旧できる体制を事前に整備しておくことです。
中でも重要なのが、変更・削除ができない「イミュータブルバックアップ」の存在です。本番環境がすべて暗号化された場合でも、攻撃者がアクセスできない安全な領域にバックアップが保管されていれば、そこからの復旧が可能になります。
ただし、バックアップを取得しているだけでは不十分です。実際に復旧できるかを確認するため、定期的な復元テストを行い、所要時間や成功率を把握しておく必要があります。
また、復旧プロセスを技術部門だけに任せるのではなく、経営層や法務部門を含めた全社対応チームを平時から構築するようにしましょう。
特にQilinは、データの暗号化や情報漏洩に加え、「違法行為を通報する」といった法的な脅迫を行うため、セキュリティ対応が経営判断やレピュテーションリスクと直結します。
どの部門がどの判断を行うか、誰が外部対応を担うかといった体制と手順を明文化し、平時から訓練しておくことが、危機時の混乱を防ぎ、企業の信用を守るための備えとなるでしょう。
Qilinは、企業のIT資産を暗号化し、盗んだデータの公開をちらつかせ、さらには法的違反の通報まで示唆するという、三重の圧力をかけるランサムウェア集団です。
この「暗号化・データ漏洩・法的脅迫」による三段階の攻撃は、従来のセキュリティインシデントの枠を超え、企業の信用・業務・法務すべてを揺るがす構造となっています。こうした複合的な脅威に対抗するには、技術的な防御だけでは不十分です。
従業員教育、多要素認証の導入、EDRによる行動監視、イミュータブルバックアップの確保といった対策に加え、万が一の侵入・被害を前提とした、全社横断のインシデント対応体制が不可欠です。
加えて、Qilinのような攻撃者は、盗んだ情報をダークウェブで売買したり、公開を予告したりする特徴があります。そのため、外部脅威に対する見張り役として、ダークウェブ監視の導入も重要です。
漏洩した情報がいつ、どこで流通しているかを早期に把握することで、信用毀損や法的リスクの拡大を最小限に抑えられます。
