こちらはYuruvent Advent Calendar 2025 6日目の記事です。
本記事はサイバーセキュリティ向上とインシデント防止のための情報共有を目的としており、犯罪行為や不正アクセスを推奨・助長する意図は一切ありません。
はじめに
皆さんは3人寄れば文殊の知恵という言葉をご存知でしょうか。
「3人も人間が集まったら、どんな凡人集団であってもなんかすごい発想が一つくらい出るだろ」的な意味のことわざです。だれかAdvent Calenderの題材も一緒に考えてください。
ではもし集まったのが人間ではなくてRaaSだったら、一体全体どうなっちゃうんでしょうね。
背景
2025年10月、RaaS界隈大手のDragonForce、LockBit、Qilinの連携が一部のベンダから報告されました。
（「RaaSが何なのか分かんないよ！」って方は、手前味噌ですがこちらをご参照ください。）
いずれも過去にセキュリティ系のニュースなどで注目されたビッグネーム（と筆者が勝手に思っている）で、連携のニュースが流れてきたときには筆者的にとても衝撃を受けました。
しかし連携と一口で言っても何をどのように連携するのかが判然としません。攻撃インフラ/ツールの共有か？それともTTPs？アフィリエイトに影響があるのか？ランサムウェアに影響があるのか？
色々と考えてみるのですが、結局最後には「なんかすごいことがおきるんだろうなー」という漠然とした言葉が脳内を駆け巡るだけです。
ということで今回は筆者自身の勉強も兼ねて、過去にRaaSが連携したときにはどのようなことが起こったのか、今回の3グループの連携に関する報告はどのような影響があるのかについて調査・考察し、ここにまとめてみようと思います。
※あまり時間をかけた調査は行っていないため、網羅性や正確性に欠ける部分があるかもしれません
参考：
過去の事例
過去の事例を調査したところ、過去にRaaS同士が連携したと明確に語られた存在として「Mazeカルテル」を発見しました。
またDragonForceは3月に形態をRaaSからカルテルへと移行したと発表しましたが、その実態はRaaS同士の連携ではありません。
Mazeカルテル
2020年6月、米セキュリティニュースサイトのBleeping ComputerはMazeと呼ばれるRaaSがLockBitと連携したことで「カルテル」と呼ばれるモデルが形成されたと報じています。
時期：2020年5月 ~ 同年11月頃
関連するRaaS：
・Maze
・LockBit
・Ragnar Locker
・SunCrypt
・Conti
・DoppelPaymerなど
備考：
・Mazeは二重恐喝の戦術を最初期に広く知らしめたランサムウェアとされる
・MazeはRaaS閉鎖時にカルテルの存在を否定
(ただし過去のニュースによるとMazeは自身のデータ漏洩サイトで"CARTEL"の語を使用)
連携事項：
・Mazeが持つデータリークプラットフォームの共有
(当時LockBitはデータリークプラットフォームを自前で持っていなかった)
・攻撃手法、TTPの共有
・盗難・漏洩したデータの共有
・アフィリエイトユーザ重複が確認されている(連携によるものかは不明)
・利益の共有(SunCryptの一方的な主張。事実確認はできていない)
なお米セキュリティメディアのSC MediaはMazeカルテルについて
Counter to initial fears, researchers say the ransomware cartel formed by the Maze cybergang starting in May 2020 never hit its stride.
(訳：当初の懸念とは裏腹に、研究者らは2020年5月にMazeが結成したランサムウェアカルテルは決して勢いを増さなかったと述べている。)
(SC Media Ransomware cartel model didn’t fulfill potential, yet, but served as cybercrime proving ground https://www.scworld.com/news/ransomware-cartel-model-didnt-fulfill-potential-yet-but-served-as-cybercrime-proving-ground より)
と評しており、その理由を
・犯罪者間での利益分配の合意が難しい
・リソースやインフラの共有、カルテル形成などにより法執行機関に目をつけられやすくなった
ことだとしています。
参考：
DragonForce"カルテル"
今回QilinやLockBitとの連携を呼びかけたDragonForceは、2025年3月に自身の形態がRaaSからカルテルモデルへと移行したと発表しました。
しかしこの形態は他のRaaSとの連携を中心に据えたものではありません。
DragonForceカルテルの仕組み：
・カルテルに参加したアフィリエイトは独自のブランドとしてDragonForce外のマルウェアを展開可能
・アフィリエイトはDragonForceカルテルの提供するインフラを活用することができる
筆者としては、既存のブランドを確立している攻撃者グループがアフィリエイトとして参加できるような枠組みを作ったのだと勝手に考えています。
余談ですがDragonForceがカルテルへの以降を宣言した直後、カルテル化とは何も関係のないところでほかのRaaSとの関連が疑われています。
それによると、リバースエンジニアリングによって
・別の言語で書かれたランサムウェアのソースコード
・身代金要求時のメモ
に類似性が見られたようです。
参考：
おまけ ランサムウェアを使った攻撃者の連携
RaaSではありませんが、DragonForceがLockBitやQilinとの連携を呼びかけたのとほぼ同時期に、3つの攻撃者グループの連合を名乗りはじめたグループが存在します。
英語圏を拠点にし、欧米を標的とするScattered Lapsus$ Huntersです。
このグループは
・Scattered Spider
・Lapsus$
・Shiny Hunters
と呼ばれる攻撃者グループで構成されています。
Scattered Lapsus$ Huntersを構成する上記3グループは
・情報発信/データリークプラットフォームの共有
・それぞれの持つ攻撃の知見の共有
・攻撃の標的の共有
を行っていると考えられています。
またScattered Lapsus$ Huntersは「ShinySp1d3r」という名前でRaaS業界に進出する構想を公表しており、各種レポートでも現在開発中のランサムウェアのサンプルの観測が報告されています。
参考：
RaaSが集まると何になるのか
ということで、大きな前例が1件しか確認できなかったため確実ではありませんが、RaaSが集まるとカルテルになるみたいです。
そして攻撃者グループが集まるとRaaSを形成しようとするみたいです。
カルテルは
・データリークプラットフォーム
・攻撃手法、TTP
・盗難・漏洩したデータ
など技術的なノウハウ、インフラを中心に共有するようです。
また今回の記事を執筆している最中に発見してしまったのですがセキュリティニュースサイトのSuspectFileによると、本記事執筆の原因となったDragonForce、LockBit、Qilinの連携についてQilinは否定しているようです。
そして公開されている技術情報ベースでは、これらのグループ間で「コードやインフラの共有」などの具体的な技術的連携を裏付ける証拠は確認されていません。
加えてある研究者がX上で共有した、DragonForceの協力呼びかけ文では概ね次の点について言及されていました。
・フェアな競争をする
・アフィリエイトに支払う金銭の値下げ合戦をやめる
・RaaSのグループ同士で争うのをやめる
・連絡チャンネルを共有する
(出典はあえて載せません)
このことから筆者個人としては、技術的な協力が行われたMazeカルテルのような連携ではなく、経済的(非技術的)な協力を重視した本来の意味でのカルテルを目指している可能性もあるのかな、と考えています。(筆者の考えですので、事実とは異なります)
ただしそうであってもグループ間が親密になるにつれ技術的なノウハウの共有などが行われるようになる可能性は十分ありますので、注意をするに越したことはないのかなとも思います。
参考：
おわりに
本記事では「RaaS が集まると何になるのか？」という疑問から、Mazeカルテルや DragonForceカルテル、Scattered LAPSUS$ Huntersなどの事例をざっくりまとめてみました。
今回の調査を経て筆者としては、防御側は今回のようなRaaS同士の連携が新たに報告された際に
・連携は技術的な裏取りがすでになされているのか
・技術的な裏取りがなされているなら何が連携されたのか(TTPのようなノウハウ、インフラか)
・裏取りがなされていないなら、どのような点から連携が報告されたのか
という観点で調査を進めるのがよいのかなと感じました。
繰り返しになりますが、本記事はサイバーセキュリティ向上とインシデント防止のための情報共有を目的としており、犯罪行為や不正アクセスを推奨・助長する意図は一切ありません。