はじめに
こちらはYuruvent Advent Calendar 2025 2日目の記事です。
今回は少し前に話題になったQilinランサムウェアについて、公開情報から得られた情報をまとめてみます。調査・執筆を締め切り駆動行っているため、精度は低いかもしれません。
なお本記事はサイバーセキュリティ向上とインシデント防止のための情報共有を目的としており、犯罪行為や不正アクセスを推奨・助長する意図は一切ありません。
Qilinってなに？
皆さんはQilinという言葉を聞いたことがありますか？
そう、中国の神獣 麒麟です。
何とは言いませんが、お酒好きの方はご存知の方が多いのではないかと思います。かくいう筆者の頭の中でも現在「ラガー」という謎の単語が踊っています。
ですが今回題材とさせていただくのは、この神獣をモチーフにしたランサムウェアに関するグループです。
Qilin基礎データ
[活動開始時期]
2022年7月（記事によって5月、10月説も存在）
[形式]
RaaS（Ransomware as a Service）
[よく使われる言語]
ロシア語
[標的組織]
あらゆる国のあらゆる業種
[攻撃に関する情報]
（初期侵入）
・ネットワーク機器の脆弱性
・スピアフィッシング
・窃取済認証情報の悪用
（標的、悪用技術）
・VMware vCenter/ESXi
・PsExec
・SSH
・Cobalt Strike
[別の呼称]
・Agenda（旧名）
・Water Galura（トレンドマイクロ社）
[参考]
ランサムウェアとはなにか
QilinはRaaS（Ransomware as a Service）と呼ばれる形態をとっていますが、このランサムウェア（Ransomware）とは一体どのようなものなのでしょうか。
警察庁は以下のように説明しています。
ランサムウェアとは、感染するとパソコン等に保存されているデータを暗号化して使用できない状態にした上で、そのデータを復号する対価（金銭や暗号資産）を要求する不正プログラムです。
（警察庁 ランサムウェア被害防止対策
https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html より）
つまり簡単に言うと、
・感染すると中に入っているデータが使えなくなる
・データを復活させるための身代金としてお金を要求してくる
機能を持ったマルウェアを指します。
参考：
RaaSとはなにか
前節ではランサムウェアの正体が解明しましたが、ではQilinの形態として紹介されているRaaS（Ransomware as a Service）とはいったい何なのでしょうか。
警察庁は以下のように説明しています。
ランサムウェアの開発・運営を行う者が、攻撃の実行者にランサムウェア等を提供し、その見返りとして身代金の一部を受け取る態様
（警察庁 令和６年上半期におけるサイバー空間をめぐる脅威の情勢等について
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R6kami/R06_kami_cyber_jousei.pdf より）
つまり
・ランサムウェアの開発、運営者
・攻撃の実行者
が別れていて、一回の攻撃で得られた金銭を山分けする
というのがRaaSの基本的な形態と言えます。
ちなみにRaaSの界隈では開発・運営者を「オペレーター」と呼び、攻撃実行者を「アフィリエイト」と呼びます。
大雑把ではありますが、下図のようなイメージです。
なおもちろんのことですが、このモデルは会社などの被害組織が金銭を払ってくれる前提で成り立っています。
しかし現実では
・金銭を支払っても本当に復旧するかは攻撃者次第
・支払いが法令や規制に抵触する可能性がある
・身代金を支払う組織として目をつけられ、再度標的となる可能性がある
などの理由から、金銭を支払わないことも多いです。
また米国のセキュリティ企業であるProofpointによると、
日本は身代金を支払わない国
としての傾向があるようです。
（Proofpoint 身代金を支払わない結果、日本のランサムウェア感染率は減少？ ランサムウェア感染率/身代金支払率15か国調査 2024
https://www.proofpoint.com/jp/blog/threat-insight/japan-ransomware-payment-result-2024 より）
余談ですが、ランサムウェアを使った攻撃者たちは暗号化したデータの復旧だけでなく、「暗号化する前に盗み出したデータを公開するぞ」と脅迫することもあります。これを二重恐喝といいます。近年ではデータを暗号化せず、盗み出したデータについて脅迫だけをおこなうノーウェアランサムも存在します。
Qilinランサムウェアは二重恐喝を行う典型的なRaaSとされています。またQilinランサムウェアでは、これを用いてロシア及び旧ソ連構成国に所属する組織への攻撃を禁止しています。同様の規約は他のロシア語圏のRaaSなどでも存在します。
参考：
攻撃の動機
ここまでのランサムウェア・RaaSに関する説明を見ていたらわかる通り、ランサムウェア攻撃者の動機のほとんどは金銭目的と言われています。
Qilinも例外ではありません。
参考：
ロシア語圏ではないアフィリエイトも存在する
Qilinランサムウェア周りで使われている言語はロシア語ですが、Qilinランサムウェアを使う攻撃者の中にはロシア語を使わない者も存在します。
例えば英語圏を拠点としていると考えられるScattered SpiderなどはQilinランサムウェアを使用していると考えられています。
参考：
近年の傾向や事件
先日の事件で日本を賑わせたQilinランサムウェアですが、米セキュリティ企業のZEROFOXは2025年第3四半期に観測した北米のサイバーインシデントの中で最も多くの攻撃に関与していると報告しています。ほかにもイスラエルのCheck Point Software Technologiesが2025年10月にQilinが最も活発だったと公表しています。
また近年主な標的となっているのは製造業や科学系サービス、卸売業などであるという報道もなされています。
Qilinランサムウェアが日本に対して過去に攻撃を主張しているなかで有名なものはやはり、
今年9月に発生したアサヒグループHDに対するもの
でしょうか。本攻撃によって工場操業の一時停止や個人情報流出などの影響が発生しました。
またこのほかにもQilinランサムウェアは日本の企業に対するサイバー攻撃を主張しています。
ただしランサムウェアなどサイバー攻撃者は功績を誇張/捏造することがしばしばあるため、そのような情報を扱う際には注意が必要です。
またQilinは今年10月に他の2つのロシア系RaaSとアライアンスを結成したという報道も行われています。
参考：
おわりに
本記事では「Qilin」という名前をよく耳にするけど結局どのような立ち位置なのかという点について、公開情報ベースでざっくりとまとめてみました。
今回はQilinランサムウェアというテーマで追いかけましたが、筆者が個人的に重要だと思っているのはRaaSという仕組みそのものです。
Qilinと同様のエコシステムを採用しているRaaSは世の中にいくつもあり、すでに確立されてしまっています。このような一つの「業界」に対して我々が今後どのように対抗していくのかを考えることが大切です。
本記事がQilin、ひいてはRaaSに対するサイバーセキュリティを考える上での一助となれれば幸いです。
なお重ねて申し上げますが、本記事はサイバーセキュリティ向上とインシデント防止のための情報共有を目的としており、犯罪行為や不正アクセスを推奨・助長する意図は一切ありません。
余談
本当はもっと雑な記事に仕上げるつもりだったのですが、筆が乗ってしまい思った以上に（特にRaaSまわりを）記載してしまいました。
たぶん次のアドベントカレンダーはもっと雑な記事に仕上がっていると思います。