Qilinが捕まった。でも、組織は動いている。― Qilin逮捕が示す5つの警告
サイバーレジリエンスQilinが捕まった。でも、組織は動いている。
─ Qilin逮捕が示す5つの警告
世界4,000組織・国内53社が被害を受けたランサムウェア集団Qilinの中核メンバーが日本で拘束され、ドイツへ引き渡された。逮捕によって明らかになった侵入手口と組織構造から、今すべき対策を事実ベースで解説する。
📋 今回の3行まとめ
- 1 ランサムウェア集団Qilinの中核メンバー、ロシア国籍の男性（28歳）が2026年5月に大阪で拘束され、10月2日にドイツへ引き渡し。10月8日に警察庁が公式発表した。（出典：警察庁）
- 2 Qilinによる被害は世界約4,000組織・身代金要求総額約30億米ドル。国内では2025年のランサムウェア被害の21.5%を占め最多（警察庁統計）。
- 3 今回逮捕されたのは「攻撃ツールを構築したメンバー」。実行部隊（アフィリエイト）は世界各地に残存しており、攻撃は継続しているとドイツ当局が発表している。
🕐 事実関係のタイムライン
-
20222022年10月Qilinが活動を開始。当初は「Agenda」名義で確認される。組織発足
-
20242024年9月容疑者がドイツ所在の物流会社に不正アクセス。データを暗号化し約2,600万円相当のビットコインを要求した恐喝（ドイツ当局の容疑事実）。容疑事実
-
20252025年9月29日アサヒグループホールディングスでランサムウェアによるシステム障害発生。Qilinがリークサイト上で犯行声明を掲載し、約9,300件超のファイルを取得したと主張（アサヒGHD側はQilinを公式認定していない）。国内事例
-
5月2026年5月下旬容疑者が旅行中に大阪市内で拘束。関東管区警察局サイバー特別捜査部が法務省・東京高等検察庁・ドイツと連携し、逃亡犯罪人引渡法に基づく仮拘禁許可状により身柄を確保。日本で拘束
-
10/22026年10月2日容疑者の身柄をドイツへ引き渡し。ドイツ当局が逮捕。引き渡し
-
10/82026年10月8日警察庁が拘束・引き渡しへの協力を公式発表。ドイツNRW州のHerbert Reul内務大臣が「ドイツの捜査当局がサイバー犯罪との戦いで成し遂げた最大の成果のひとつ」とコメント。公式発表
📌 被害規模（ドイツNRW州当局・警察庁発表）
約4,000
世界の被害組織数
（2024年以降）
（2024年以降）
53社
国内被害企業・
病院等
病院等
21.5%
国内ランサム被害に
占めるQilinの割合
（2025年、最多）
占めるQilinの割合
（2025年、最多）
約30億
米ドル
米ドル
身代金要求総額
（推計）
（推計）
出典：ドイツNRW州当局会見（2026年10月7日）、警察庁発表（2026年10月8日）
🏗️ Qilinの組織構造 ─ なぜ一人を捕まえても止まらないのか
Qilinは「RaaS（Ransomware as a Service）」方式を採用している。警察庁の発表によると、コアメンバーの下に複数の実行役（アフィリエイト）が存在する分業型組織である。
🏗️ RaaS型組織の3層構造
コアメンバー（今回逮捕）
ランサムウェア本体・暗号化機能・リークサイト・管理画面・交渉インフラを構築・提供する。今回逮捕された人物は「犯行用システムの構築担当」とされる（警察庁発表）。
↓ ツール・インフラを提供
アフィリエイト（実行部隊）── 世界各地に複数存在
コアメンバーからインフラを借りて実際に企業へ侵入・攻撃・脅迫を行う。身代金が支払われると運営側と分配する仕組み。コアメンバー逮捕後も活動を継続できる構造になっている（ドイツ当局発表）。
↓ 侵入・暗号化・二重恐喝
被害組織（世界各国）
アサヒグループHD（日本）・ドイツ物流会社・英国NHS・ドイツ左翼政党「Die Linke」など。日本国内では企業・病院を含む53社が被害を受けたと警察庁が発表。
⚠️ 二重恐喝の手口（警察庁・時事通信報道に基づく）
まずデータを外部へ持ち出し、その後システムを暗号化する。「身代金を払わなければデータを公開する」と二段階で脅迫する手口。支払いを拒否しても、データがリークサイトで公開されるリスクが残る。
出典：時事通信（2026年10月8日）、警察庁発表
🚨 逮捕・捜査で明らかになった5つの警告
以下はドイツ当局・警察庁の発表、およびセキュリティ研究機関（CybelAngel・Rocket Boys）の分析に基づく事実です。
-
1VPN・RDPの認証情報を「買って」ログインしてくるQilinのアフィリエイトは、ダークウェブで購入した認証情報や盗んだパスワードを使い、VPNやRDP（リモートデスクトップ）に正規ユーザーとしてログインする手口を使う。マルウェアを送り込むのではなく、「正規の入口から入る」ため、ウイルス対策ソフトでは検知されにくい。📌 確認事項：VPN・RDPに多要素認証（MFA）を設定しているか
-
2バックアップを先に削除・暗号化してから本番を攻撃するQilinはネットワークに接続されたバックアップ（Veeam等）を先に削除・暗号化してから、本番データを暗号化する。復旧手段を奪った上で身代金を要求する設計になっている。（CybelAngel分析）📌 確認事項：ネットワークから切り離した「オフラインバックアップ」が存在するか
-
3セキュリティソフト（EDR）を無効化してから動くQilinは侵入後、WindowsをSafe Mode（セーフモード）で再起動させてEDRを停止させる手法や、脆弱なドライバを意図的に読み込ませてセキュリティツールを強制停止する「BYOVD攻撃」を使うことが確認されている。（CybelAngel分析）📌 確認事項：EDRがSafe Mode再起動後も動作するよう設定されているか
-
4IT管理委託先（MSP）を踏み台にして顧客企業全体へ侵入するIT管理を委託しているMSP（マネージドサービスプロバイダー）の管理者アカウント1つを侵害することで、そのMSPが管理する顧客企業全体へのアクセスを得る手口が確認されている。自社のセキュリティが万全でも、委託先経由で被害を受けるリスクがある。（CybelAngel分析）📌 確認事項：IT管理委託先のアクセス権限・MFA設定を把握しているか
-
5逮捕後も組織は活動を継続しているドイツ当局はコアメンバーの逮捕を発表する一方で、アフィリエイト（実行部隊）が世界各地に存在するため組織としての活動は継続していると明言した。警察庁の統計では、Qilinは2025年時点で国内ランサムウェア被害の21.5%を占め最多グループである。📌 今回の逮捕はQilinの完全停止を意味しない（ドイツ当局発表）
✅ 今月のインシデントから学ぶ ── 今週やること
-
VPN・RDPに多要素認証（MFA）が設定されているか確認するQilinの主な侵入経路はVPN・RDPへの正規ログインです。パスワードだけの認証では、盗まれた・買われた認証情報でそのままログインされます。MFAが未設定の場合は最優先で対応してください。⏱ 今週中に確認
-
ネットワークから切り離したバックアップが存在するか確認するネットワークに接続されたバックアップはランサムウェアの攻撃対象になります。「オフラインバックアップ」または「イミュータブル（変更不可）バックアップ」の有無を確認してください。存在しない場合、暗号化されると復旧手段がなくなります。⏱ 今月中に確認
-
IT管理委託先のアクセス権限を棚卸しするIT管理をMSPやベンダーに委託している場合、委託先がどの範囲のシステムにアクセスできるかを確認してください。委託先のMFA設定・アクセスログの監視有無も確認対象です。⏱ 今月中に棚卸し
-
ランサムウェア被害を受けた場合の対応手順を確認する「発見したらまず何をするか」「誰に連絡するか」「業務をどう継続するか」の手順が文書化されているか確認してください。被害後の初動対応が遅れるほど被害範囲が拡大します。⏱ 来月中に確認
📖 知識コラム：「逃亡犯罪人引渡法」とは何か
今回の拘束・引き渡しに使われた「逃亡犯罪人引渡法」は、外国から引き渡し請求を受けた被疑者を日本で拘束し、相手国へ引き渡す手続きを定めた法律です。
- 日本とドイツは1978年に締結した「日独犯罪人引渡条約」に基づき、相互に引き渡しを行う
- 今回は関東管区警察局サイバー特別捜査部が中心となり、法務省・東京高等検察庁と連携して対応した
- サイバー犯罪での国際的な引き渡し事例は国内でまだ少なく、今回は先例となる案件とされる
📅 2026年10月 セキュリティまとめ
- 10月第1週 タイムズカー660万件・免許証画像160万件漏洩。焼肉きんぐ1,078万件（10/5公表）。9月末の11社超インシデント連鎖が続く。
- 10月第2週 Qilin中核メンバー逮捕をドイツ当局が発表（10/7）。警察庁が日本の貢献を公式発表（10/8）。国内53社被害・世界4,000組織の規模が明らかになる。
- 総括 逮捕はサイバー犯罪捜査の大きな成果だが、RaaS型組織の構造上、攻撃は継続する。VPN・MFA・オフラインバックアップの3点確認が急務。
📚 参考文献・情報源
投稿者プロフィール
