ランサムウェア グループ Qilin(キリン、キーリン)とは手口・国内被害一覧・対策【随時更新】

Qilin（キリン／キーリン）は、ランサムウェアの開発・運営側と実際の攻撃を担う実行者が分業するRaaS（Ransomware-as-a-Service）型の犯罪グループです。2022年に「Agenda」の名称で確認され、2025年には日本でも多くの関連事案が観測されました。

2026年10月には、京王電鉄への攻撃を主張する掲載が確認されたほか、池上通信機は一部ファイルの暗号化と、自社保有とみられる情報のリークサイト上での公開を公表しました。また、Qilinの運営を主導した疑いのある人物が日本からドイツへ引き渡され、日独の捜査当局が経緯を明らかにしています。

ただし、「企業がランサムウェア被害を確認した」「Qilinが犯行声明を掲載した」「Qilinが実際の攻撃者だったと認定された」はそれぞれ異なる事実です。セキュリティ対策Labが独自に確認したリークサイトの掲載内容も含め、企業・捜査当局の公式発表と区別して整理します。

Qilinの概要と2026年10月時点のサマリー

• 旧称はAgenda。2022年に活動が確認され、Windowsや仮想化環境を対象とするランサムウェアを使用します。
• RaaSとして運営側が攻撃基盤を提供し、複数のアフィリエイト（攻撃実行者）が異なる侵入方法を用います。
• 典型的な恐喝方法は、ファイルの暗号化とデータ窃取・公開の脅しを組み合わせる「二重恐喝」です。
• Cisco Talosの集計では、2025年に日本で確認された134件のランサムウェア事案のうち、Qilinが22件（16.4％）で最多でした。
• 同社の2026年1～7月の集計では、The Gentlemenが14件、QilinとSafePayが各7件。Qilinが2026年も最多というわけではありません。
• 2026年9～10月、京王電鉄と池上通信機に関するQilinの掲載・主張をセキュリティ対策Labが独自確認。企業側の公式発表とは区別が必要です。
• 2026年10月、Qilinの運営を主導したと疑われるロシア国籍の人物が日本からドイツへ引き渡されました。活動全体の停止は公表されていません。

Qilinの仕組みとRaaSとしての特徴

Qilinは単一の侵入担当者だけで構成される組織ではありません。運営側がランサムウェア本体、攻撃対象の管理機能、身代金交渉やリークサイトなどの基盤を提供し、外部のアフィリエイトが実際の攻撃を行います。このため、同じQilinの名称が付いた事案でも、侵入経路や横展開、データ窃取の有無は異なります。

Group-IBが2023年にQilin内部を調査した際には、攻撃対象、リークサイトの記事、メンバー、支払いを管理する仕組みが確認されました。当時のアフィリエイトへの分配率は身代金額によって80～85％と説明されていましたが、これは2023年時点の観測であり、現在の契約条件を示すものではありません。

技術面では、初期のAgendaはGo言語で実装され、その後Rustによる亜種が確認されています。Windowsに加え、ESXiなどの仮想化環境への攻撃も報告されています。RaaSの分業については、セキュリティ対策LabのQilin・RansomHouseで見るRaaSの仕組みと分業（動画）でも解説しています。

ロシア語による募集投稿や旧ソ連圏の一部地域を処理対象から外す設定など、ロシア語圏との関連を示す痕跡があります。ただし、複数のアフィリエイトが参加するため、個別の事件まで一律に「ロシア国内からの攻撃」と断定することはできません。

Qilinの活動規模｜2025年に拡大、2026年も国内で被害・犯行声明が続く

Group-IBは2025年にQilin関連の1,062件、2026年第1四半期に389件のリークサイト掲載・攻撃主張を集計しています。こうした数値は攻撃者の掲載や調査機関の分類に基づくため、被害企業が確認した侵害件数や情報漏えい件数と同一ではありません。

日本ではCisco Talosが2025年のランサムウェア事案134件中22件をQilinに関連付け、最多のグループと報告しました。一方、2026年1～7月の事案90件ではThe Gentlemenが14件、Qilinが7件、SafePayが7件です。調査期間と分類方法が異なる統計を足し合わせ、国内の確定被害件数として示すことはできません。

2025年にQilinが拡大した背景には、同年春のRansomHubインフラ停止後に攻撃実行者が他グループへ移った可能性も指摘されています。ただし、特定のアフィリエイトがどの攻撃を担ったかは事案ごとに確認が必要です。

2026年10月の重要動向｜京王電鉄、池上通信機、日独の捜査

京王電鉄｜9月26日のランサムウェア攻撃、Qilinが10月に犯行を主張

京王電鉄は2026年9月26日未明、グループ内でランサムウェア攻撃によるシステム障害を確認しました。10月16日付の第2報では、攻撃を行ったと名乗る組織が京王グループの保有情報の一部を公開したと主張していることを把握し、外部専門家と調査していると説明しています。同社の第2報は攻撃主体をQilinと特定しておらず、個人情報漏えいの確定発表でもありません。

一方、セキュリティ対策Labは10月16日、Qilinのリークサイトの掲載画面と業務資料とみられるサンプル画像を確認しました。提供された掲載画面には「KEIO CORPORATION」、掲載日「2026年10月15日」、「27 photos」の表示があります。編集部が確認したサンプルには、業務委託契約書形式の文書、社内メールとみられる画面、人事関連集計資料などが含まれていました。

「27 photos」はサイト上の表示であり、編集部が27点すべての真正性を検証した意味ではありません。 掲載画像が京王電鉄から不正取得されたものか、Qilinが攻撃を行ったか、個人情報がどの程度流出したかについては、企業側の調査結果と区別する必要があります。

詳細：Qilinが京王電鉄への攻撃を主張、掲載資料をセキュリティ対策Labが確認

池上通信機｜ファイル暗号化を確認、リークサイト上に自社情報とみられる資料

セキュリティ対策Labは9月22日、Qilinのリークサイトで池上通信機を被害対象とする掲載を確認しました。そこには「66.00 GB」「106288 files」の表示と11枚のサンプル画像があり、社内資料・予算資料・システム構成図などに見える情報が含まれていました。この66GB・106,288ファイルはQilin側の申告値であり、池上通信機が窃取量として確定した数値ではありません。

その後、池上通信機は9月30日に一部サーバーで不正アクセスが疑われる痕跡と、一部ファイルの暗号化を確認したと発表しました。さらに10月2日、自社が保有していたと思われる情報がダークウェブ上の攻撃者のリークサイトで公開されていることを確認したと明らかにしています。

このため、9月24日時点の「サイバー攻撃があったか調査中」という状況のまま扱うのは不正確です。一方、同社はQilinを攻撃主体と公式認定したわけではなく、公開情報の内容と漏えい範囲を引き続き調査しています。

詳細：池上通信機へのQilin犯行声明と掲載内容を独自確認した記事

Qilin運営を主導した疑いの人物、日本からドイツへ引き渡し

2026年10月8日、警察庁は、Qilinの運営を主導したとみられるロシア国籍の被疑者について、日本警察が法務省、東京高等検察庁、ドイツ当局と連携し、逃亡犯罪人引渡法に基づく仮拘禁とドイツへの引き渡しに協力したと発表しました。

ドイツの関係当局は10月7日、Qilinのネットワークへ捜査員が潜入し、活動を継続監視していたことも公表しています。身柄の引き渡しは10月2日に行われました。容疑者の関与・具体的な役割は捜査や司法手続きで判断されるものであり、今回の身柄確保によってQilinの活動全体が停止したと発表されたわけではありません。

詳細：Qilin関係者とされる人物の日本からドイツへの引き渡し

Qilinが犯行を主張した国内・日系企業の主な事例一覧【2026年】

以下はQilinの主張や掲載が確認された、またはQilinとの関連が調査機関・報道で言及された事例です。表の掲載組織すべてについて、Qilinが攻撃者だったと企業側が認めたわけではありません。 また、同じ事件の初報と続報を別件として数えていません。

あなぶきハウジングサービス｜最終調査の207,773件は「漏えいした可能性がある個人情報」

同社は2月3日にランサムウェア被害を確認し、外部へのファイル流出も把握しました。5月21日の第6報では、流出したファイルを精査した結果、外部へ漏えいした可能性のある個人情報の件数は207,773件と説明しています。これは当初示した最大約49万6,000件とは異なる最終調査値であり、207,773人全員について同一項目が流出したという意味でもありません。

また、同社はグループ会社のネットワーク機器の脆弱性が侵入に悪用され、横展開を防げなかったことを原因として公表しました。攻撃者のブランド名と、企業がフォレンジックで確認した侵入原因を混同しないことが必要です。

詳細：あなぶきハウジングサービスのランサムウェア被害と最終調査

武蔵野大学・ロジックベイン｜復旧後に流出が明らかになる事例

武蔵野大学は6月のランサムウェア感染後、9月の調査結果で共有フォルダの複数ファイルが外部へ流出していたことを公表しました。ロジックベインの事案でも2025年12月の不正アクセスから数か月後に影響人数やリークサイト掲載の確認が進みました。

こうした事例では、暗号化されたシステムを復旧できても情報漏えい調査は終わりません。Qilin側の掲載時刻と、被害組織が実際に流出を確認・公表した日時も分けて読む必要があります。

2025年の国内でのQilin犯行声明・関連事例

2025年にはアサヒグループホールディングスなどへの掲載が相次ぎました。ただし、以下の「窃取量」は攻撃者側が示した数字であり、企業・第三者の確認値ではありません。

アサヒグループの事案は、業務システムへの攻撃が受発注・生産などの業務へ及ぶ可能性を示しました。一方、セキュリティ対策Labが2025年11月に報じたスーパーバリューの事案では、Qilinの掲載画像は確認できたものの、企業側による攻撃や漏えいの公式確認とは結び付けられませんでした。

詳細：アサヒグループへのサイバー攻撃と事業影響／スーパーバリューに対するQilinの犯行声明を独自確認

海外の主なQilin関連事例｜英国Synnovis、米ATF

2024年6月、英国NHSの病理検査サービスを担うSynnovisがランサムウェア攻撃を受け、医療機関の検査や診療に広範な影響が生じました。Qilinが犯行を主張した代表的な海外事案です。医療機関などではファイルサーバーの復旧だけでなく、予約・検査・診療の代替運用が長期間必要となる場合があります。

2026年8月には、米国のアルコール・たばこ・火器及び爆発物取締局（ATF）への攻撃をQilinが主張しました。ATFは独立したシステムへのサイバー攻撃を公表し、重大なインシデントとして扱いましたが、Qilinによる攻撃、ランサムウェアの展開、データ窃取を公式に確認したわけではありません。海外の政府機関をめぐる犯行声明でも、同じ区別が必要です。

詳細：米ATFへのサイバー攻撃をQilinが主張

Qilinの主な攻撃手法｜侵入から暗号化・情報公開まで

VPN認証情報や外部公開機器の弱点を狙う

Cisco Talosは複数のQilin事案について、流出した管理者認証情報を用いたVPN接続が初期侵入に使われた可能性を評価しています。Arctic Wolf Labsは2026年6月、Palo Alto NetworksのGlobalProtectを通じてCVE-2026-0257を悪用した後、Qilinランサムウェアが展開された複数の事案を報告しました。

CVE-2026-0257は特定の製品・条件での悪用事例であり、Qilinの全攻撃がこの脆弱性から始まるわけではありません。多要素認証を設定していても、認証自体を迂回する脆弱性が残っていれば別途対応が必要です。

管理者権限を悪用して横展開、暗号化前にデータを窃取

侵入後には認証情報の収集、管理者権限の悪用、リモート管理機能を使った端末・サーバー間の移動が観測されています。Cisco Talosが分析した複数事案では、初期侵入からランサムウェア実行まで平均約6日を要しました。ただし平均値は調査対象に限られ、短時間で暗号化まで進む攻撃もあります。

Qilinを含む二重恐喝では、ファイルを暗号化する前に内部資料などを外部へ持ち出し、復号と公開回避を交渉材料にします。バックアップから復旧できたとしても、顧客・従業員情報の外部公開や二次被害への対応は残ります。

EDRの無効化と生成AIの利用を示す痕跡

Cisco Talosは2026年4月、Qilin攻撃で使われるEDR妨害ツールを分析し、300種類を超えるEDRドライバを停止対象とする機能を報告しました。監視エージェントを無効化しようとする挙動を検知する仕組みや、特権アカウントの利用制限が必要です。

同社は9月、Qilin関連の公開ディレクトリから確認したPythonスクリプトについて、生成AIによって作成された可能性を中～高程度の確度で指摘しました。これは作業用スクリプトの生成にAIが関与した可能性を示すものであり、AIが自律的にQilinの攻撃を実行していると確認したものではありません。

情報システム部門・CSIRTが確認したいQilin対策

1. VPN・境界機器の棚卸しと緊急修正： 公開機器の製品名・バージョン・設定・管理者・修正期限を管理し、CISA KEVやベンダーの実悪用情報と照合します。緊急時に外部公開を止める判断者も決めます。
2. 認証情報の保護： VPN、委託先アカウント、特権IDに多要素認証を導入し、未使用IDを停止します。漏えいした資格情報や通常と異なる地域・端末からのログインを監視します。
3. 暗号化前の兆候を検知： 異常な管理者操作、短時間での多数端末へのアクセス、認証情報の大量参照、ファイル圧縮、外部への大容量転送、EDR停止を監視します。端末側だけでなく、ネットワークや認証基盤のログも保全します。
4. EDR無効化への備え： 改ざん防止機能、管理者権限の最小化、アプリケーション・ドライバ制御、監視サービス停止時の通知を組み合わせます。EDRの基本機能や導入時の選び方はEDR解説・製品選定で整理しています。
5. 復旧用データを分離： 本番環境の特権IDでは消去できないバックアップを保持し、復元テストを実施します。同時に、情報窃取の有無を確認するためのフォレンジック用ログ・証拠の保全手順を用意します。
6. 「暗号化＋リークサイト掲載」の同時対応： 経営層、法務、広報、個人情報保護担当が、顧客・委託元への連絡、行政報告、漏えい情報の真偽確認、二次被害注意喚起を判断できるようにします。訓練では「攻撃者が自社資料とする画像を公開したが真偽は未確定」という条件も設定します。

Qilinについてよくある質問

Qilinがリークサイトに社名を掲載したら、ランサムウェア被害が確定しますか？

確定しません。攻撃者の掲載はその組織を標的にしたという主張であり、実際の侵入、データ取得、ランサムウェアの実行は別々に検証する必要があります。公開サンプルを確認できても、真正性と取得経路を断定できない場合があります。

Qilinの中核関係者が逮捕されたため、活動は終わりましたか？

2026年10月の日本・ドイツ当局の発表は、運営を主導した疑いのある人物の拘束と引き渡しに関するものです。グループ全体が解体・停止したとの公式発表ではありません。

Qilinは現在、日本で最も多いランサムウェアグループですか？

Cisco Talosの2025年通年集計ではQilinが最多でしたが、2026年1～7月の調査ではThe Gentlemenが最多で、QilinとSafePayが続いています。単一グループの名称に限定せず、複数のRaaSに共通する侵入手口を監視することが必要です。

出典

捜査当局・被害企業の一次情報

• ロシア国籍ランサムウェア被疑者逮捕に関するドイツの広報について ― 警察庁
• ランサムウェア攻撃によるシステム障害に関するお知らせ 第2報 ― 京王電鉄、2026年10月16日（PDF）
• 当社に対するサイバー攻撃に関するお知らせ ― 池上通信機、2026年9月30日
• 当社に対するサイバー攻撃に関するお知らせ（第3報）― 池上通信機、2026年10月2日
• 情報漏えいに関する調査結果および今後の取り組みについて（第6報）― あなぶきハウジングサービス、2026年5月21日

セキュリティ研究機関の調査

• Ransomware incidents in Japan in the first half of 2026 ― Cisco Talos
• Qilin EDR killer infection chain ― Cisco Talos
• Cookie Crumbles: How Exploitation of CVE-2026-0257 Leads to Qilin Ransomware ― Arctic Wolf
• Qilin Ransomware: Tactics, Attack Methods & Mitigation Strategies ― Group-IB
• Techniques of the recent Qilin ransomware attacks ― Group-IB
• Ransomware in 2026: Same Business, New Rules ― Group-IB

セキュリティ対策Labによる独自確認・関連取材

• 京王電鉄へのQilin犯行声明と公開サンプルを確認
• 池上通信機へのQilin犯行声明、66GB・106,288ファイルとの主張を確認
• Qilin運営関係者とされる被疑者の日独引き渡し
• Qilinによるスーパーバリューへの犯行声明とサンプルを確認
• あなぶきハウジングサービスの調査結果
• デンソー海外グループ会社へのサイバー攻撃とQilinの主張
• サカタのタネ米国子会社への攻撃とQilinの主張
• 東山産業への攻撃とQilinの主張
• 穴吹興産への攻撃とQilinの主張